NEXGAP nimmt Sicherheit sehr ernst und untersucht alle gemeldeten Schwachstellen über unser Bug Bounty. Auf
dieser Seite wird unser Umgang mit potenziellen Schwachstellen in allen Aspekten unserer Produkte und Services beschrieben. Senden Sie uns eine E-Mail an
security@nexgap.com, falls Sie eine Schwachstelle entdeckt haben. Bitte beachten Sie, dass Sie den Inhalt der E-Mail mit unserem öffentlichen
PGP-Schlüssel verschlüsseln können.
Informationen, die Sie im Rahmen dieser Vorgehensweise an NEXGAP weitergeben, werden innerhalb von NEXGAP vertraulich behandelt. NEXGAP gibt diese Informationen nur an Dritte weiter, wenn festgestellt wird, dass die von Ihnen gemeldete Sicherheitsanfälligkeit ein Produkt eines Drittanbieters betrifft. In diesem Fall geben wir diese Informationen an den Autor oder Hersteller des Drittanbieterprodukts weiter. Andernfalls gibt NEXGAP diese Informationen nur wie von Ihnen erlaubt weiter.
1. Richtlinien
Kunden vertrauen darauf, dass wir ihnen dabei helfen, eines ihrer wichtigsten Güter, und zwar die Infrastruktur vor möglichen Kompromittierungen zu schützen, indem wir mit geprüften und zertifizierten Hackern zusammenarbeiten. Unsere Arbeit basiert hauptsächlich auf Vertrauen — dieses Vertrauen muss durch Transparenz, Sicherheit, Datenschutz sowie durch die Einhaltung von Richtlinien verdient werden.
Ein qualitativ hochwertiger Bericht ist wichtig, damit wir schnellstmöglich die betroffene Schwachstelle bestätigen und beheben können. Machen Sie sich bitte mit den Richtlinien bekannt, bevor Sie uns kontaktieren.
—Ein vollständiger Bericht enthält
Eine ausführliche Beschreibung eines oder mehrere Schwachstellen sowie das Resultat, welches Sie durch das Ausnutzen eines Exploits und oder anderen Werkzeugen, festgestellt haben,
Eine nummerierte Liste der Schritte, die erforderlich sind, um dieses Problem zu reproduzieren,
Ein zuverlässiger und funktionierender Exploit für das von Ihnen gemeldete Problem (wir akzeptieren kein PoC),
Ihre Kontaktdaten (E-Mail-Adresse, XMPP oder andere Kontaktmöglichkeiten),
Wir empfehlen dringend, einen funktionierenden Exploit anstelle eines PoC beizufügen. Wir akzeptieren Berichte ohne diese Information, jedoch wären Berichte mit mehr Details sinnvoll. Wenn Ihre Meldung nicht die erforderlichen Informationen enthält, die es uns ermöglichen, das Problem zu reproduzieren, können wir Ihrer Meldung möglicherweise nicht nachkommen.
—Rahmenbedingungen für unser Bug Bounty
Wir bieten eine Vergütung in Höhe von bis zu 5'000,00 EUR als Gegenleistung für Informationen und Meldungen über Schwachstellen im Rahmen dieses Programms zur verantwortungsvollen Offenlegung von Schwachstellen. Die Höhe der Auszahlung hängt beispielsweise von der Kritikalität der Schwachstelle ab,
Wir können uns dazu entschließen, mit Personen, die sich nicht identifizieren möchten, den Kontakt zu verweigern oder anderweitig mit ihnen zu interagieren.
Für Parteien, die im guten Glauben eine Schwachstelle gemeldet haben und mit Übereinstimmung mit diesen Richtlinien sind, wird NEXGAP keine Strafverfolgungs- oder Zivilprozesse im Zusammenhang mit diesen Aktivitäten einleiten oder empfehlen und im Falle einer Strafverfolgung oder eines Zivilprozesses, der von einer anderen Person als NEXGAP angestrengt wird, wird NEXGAP angemessene Schritte unternehmen, um bekannt zu machen, dass diese Aktivitäten gemäß und in Übereinstimmung mit diesen Richtlinien durchgeführt wurden.
—Welche Aktivitäten wir untersagen
NEXGAP autorisiert, erlaubt oder gestattet (ausdrücklich oder stillschweigend) niemandem, sich an illegalen Aktivitäten zu beteiligen. Wenn Sie sich an Aktivitäten beteiligen, die mit diesen Richtlinien oder mit geltendem Recht unvereinbar sind, können Sie u.a. haftbar gemacht werden.
Benutzer, die Aktivitäten durchführen, die den Richtlinien unterliegen, dürfen keinen Schaden anrichten, einschließlich, aber nicht beschränkt auf das Ausnutzen von Sicherheitslücken, die über den minimalen Aufwand hinausgehen, der erforderlich ist, um das Vorhandensein einer potenziellen Schwachstelle nachzuweisen, die Beeinträchtigung der Privatsphäre oder der Sicherheit von NEXGAP-Mitarbeitern, NEXGAP-Kunden oder Dritten, die absichtliche Beeinträchtigung des geistigen Eigentums oder anderer kommerzieller oder finanzieller Interessen von NEXGAP, das Veröffentlichen, Übertragen, Hochladen, Senden, Ausführen oder Speichern von bösartiger Software in unseren Systemen.
3. Öffentliche Bekanntgabe
Sofern zutreffend, koordiniert NEXGAP die öffentliche Bekanntgabe einer bestätigten Schwachstelle mit Ihnen. Wir ziehen es nach Möglichkeit vor, dass unsere jeweiligen öffentlichen Bekanntgaben gleichzeitig veröffentlicht werden.
Zum Schutz unserer Kunden bittet NEXGAP Sie, keine Informationen zu einer potenziellen Schwachstelle zu veröffentlichen, bis wir die gemeldete Schwachstelle untersucht, darauf reagiert, uns ihrer angenommen und Kunden bei Bedarf informiert haben. Außerdem bitten wir Sie höflich, keine Daten zu veröffentlichen oder mit anderen zu teilen, die unseren Kunden gehören. Das Beheben einer gültigen gemeldeten Schwachstelle dauert einige Zeit, und der Zeitplan hängt vom Schweregrad der Schwachstelle und von den betroffenen Systemen ab.
NEXGAP macht öffentliche Bekanntgaben in Form von Sicherheitsberichten, die im NEXGAP-Sicherheitszentrum veröffentlicht werden. Einzelpersonen, Unternehmen und Sicherheitsteams veröffentlichen ihre Ratschläge zumeist auf ihren eigenen Websites oder in anderen Foren. Sofern relevant, fügen wir in NEXGAP-Sicherheitsberichten Links zu den Ressourcen von Dritten hinzu.
