Richtlinie zur verantwortungsvollen Offenlegung

Bei WebinarGeek ist uns die entscheidende Rolle der Sicherheit für hochwertige Dienstleistungen für unsere weltweite Nutzerschaft bewusst. Trotz unserer kontinuierlichen Maßnahmen zum Schutz unserer Systeme, die hier, erläutert sind, können Sicherheitslücken auftreten. Wir setzen auf die Zusammenarbeit mit der Sicherheitsforschungs-Community, um Probleme schnell und effizient zu erkennen und zu beheben. Forschende und ethische Hacker sind eingeladen, uns verantwortungsvoll dabei zu unterstützen, unsere digitale Umgebung zu verbessern.

Richtlinien zum Melden von Sicherheitslücken

Sicherheitsforschende und Interessierte können potenzielle Sicherheitslücken in unseren Systemen unter Beachtung der folgenden Richtlinien melden:

Kontakt: Sende deine Erkenntnisse an security@webinargeek.com. Bitte gib detaillierte Informationen an, einschließlich der Schritte zur Reproduktion der Sicherheitslücke, damit unser Sicherheitsteam das Problem zeitnah prüfen und beheben kann. Wir sind überzeugt, dass die übliche E-Mail-Verschlüsselung ausreichend Schutz bietet, um eine Sicherheitslücke zu melden. Falls dein Bericht jedoch eine PGP-Verschlüsselung erfordert, findest du unseren öffentlichen Schlüssel am Ende dieser Seite.
Bestätigung: Wir bestätigen den Eingang deines Berichts innerhalb von zwei Werktagen.
Untersuchung & Behebung: Unser zuständiges Team untersucht gemeldete Sicherheitslücken und strebt an, diese innerhalb einer Woche nach der Bestätigung zu beheben. Die Komplexität und Schwere des Problems können die Bearbeitungszeit beeinflussen.
Geheimhaltung: Bitte behandle entdeckte Sicherheitslücken geheim, bis wir sie behoben haben. Die öffentliche Offenlegung von Erkenntnissen stimmen wir mit dir ab.
Belohnungen & Anerkennung: Nicht jeder Bericht qualifiziert sich für eine Belohnung. Wir prüfen jede Einreichung einzeln auf eine mögliche Anerkennung oder Belohnung. Art und Umfang der Belohnung richten sich nach Schwere und Auswirkung der entdeckten Sicherheitslücke.
Rechtlicher Schutz: Wir versichern, keine rechtlichen Schritte gegen Personen einzuleiten, die Sicherheitslücken gemäß diesen Richtlinien melden, sofern sie keine rechtswidrigen Aktivitäten ausgeübt oder die entdeckte Sicherheitslücke missbraucht haben.

Was wir nicht akzeptieren

Versuche, auf Daten anderer zuzugreifen, sie herunterzuladen oder zu verändern.
Denial-of-Service-Angriffe (DoS).
Spam.
Social Engineering oder physische Angriffe auf unser Eigentum oder unsere Daten.

Belohnungsprogramm

Belohnungen werden anhand des Risikoniveaus der gemeldeten Sicherheitslücke festgelegt und liegen im Ermessen von WebinarGeek.
Bei doppelten Meldungen erhält die Person, die zuerst gemeldet hat, die Belohnung.
Belohnungen können sich ändern und je nach Einzigartigkeit und Schwere der Sicherheitslücke variieren.
Außerhalb Europas können Belohnungen nur über PayPal ausgezahlt werden. Innerhalb Europas (IBAN) unterstützen wir auch Banküberweisungen.

Nicht im Geltungsbereich

Meldungen zu Problemen, die keine Sicherheitsprobleme sind, oder Anfragen.
Dienste und Software von Drittanbietern, die nicht direkt von WebinarGeek verwaltet werden.
Öffentlich bekannte Sicherheitslücken, die bereits behoben wurden.
Sicherheitslücken, die Folgendes betreffen:
- HTTP-404-Codes oder andere Codes außer HTTP 200
- Versionsbanner bei öffentlichen Diensten
- Clickjacking auf Seiten ohne Anmeldung
- Cross-Site Request Forgery (CSRF) bei Formularen, auf die anonym zugegriffen werden kann
- Fehlende Flags „secure“ / „HTTP Only“ bei nicht sensiblen Cookies
- Hinweise zu SSL-Zertifikaten (z. B. schwache Verschlüsselung)
- Verwendung der HTTP-OPTIONS-Methode
- Host-Header-Injection
- Fehlende SPF-, DKIM- und DMARC-Einträge
- Fehlendes DNSSEC
- Fehlende HTTP-Sicherheitsheader
- Meldung veralteter Softwareversionen ohne Proof of Concept oder funktionierenden Exploit
- Fehler in der Geschäftslogik, einschließlich Missbrauch vorgesehener Produktabläufe, Logik für Preise oder Abrechnungen, bewusst angelegter Berechtigungsmodelle oder Probleme, die unrealistisches Nutzerverhalten erfordern – es sei denn, sie weisen eine eindeutige Sicherheitslücke mit direkter Auswirkung nach
- Best Practices

Abschließende Erklärung

Deine Beiträge sind für die Sicherheit und Integrität unserer Dienste von unschätzbarem Wert. WebinarGeek verpflichtet sich zu einer offenen Zusammenarbeit mit der Sicherheits-Community, um Sicherheitslücken verantwortungsvoll zu mindern und zu beheben. Wir freuen uns auf deine Einreichungen und danken dir für deinen Einsatz, unsere Systeme sicher zu halten.

Bei weiteren Fragen oder Einreichungen wende dich bitte an security@webinargeek.com.

Öffentlicher PGP-Schlüssel

Verwandte Artikel