Unsere Kunden vertrauen darauf, dass wir ihre Infrastruktur vor Kompromittierungen schützen. Dieses Vertrauen setzt voraus, dass wir auch unsere eigenen Systeme kontinuierlich prüfen und verbessern. Hinweise externer Sicherheitsforschender unterstützen uns dabei. Bitte lesen Sie die folgenden Regeln, bevor Sie uns kontaktieren.

—Geltungsbereich

Die Richtlinie gilt ausschließlich für Websites, Anwendungen und Systeme, die von NEXGAP selbst betrieben werden, insbesondere für NEXGAP.COM und deren Subdomains. Systeme von Kunden, Partnern und Dienstleistern sind ausdrücklich ausgenommen und dürfen nicht getestet werden. Für Plattformen und Infrastruktur Dritter, über die einzelne Dienste bereitgestellt werden, gelten die Richtlinien des jeweiligen Anbieters. Schwachstellen in Produkten Dritter melden Sie bitte direkt dem jeweiligen Hersteller.

—Inhalt einer Meldung

Damit wir eine Meldung zügig prüfen können, sollte sie Folgendes enthalten:

· eine nachvollziehbare Beschreibung der Schwachstelle und des betroffenen Systems (z.B. URL, Komponente, Version),

· eine nummerierte Schrittfolge zur Reproduktion,

· einen Nachweis, der die Schwachstelle belegt, ohne Schadfunktion und ohne über den zum Nachweis erforderlichen Umfang hinauszugehen,

· eine Einschätzung der möglichen Auswirkungen,

· eine Kontaktmöglichkeit für Rückfragen.

Bitte übermitteln Sie keine einsatzfähigen Angriffswerkzeuge und keine Schadsoftware. Meldungen ohne ausreichende Informationen können wir gegebenenfalls nicht bearbeiten. Wir behalten uns vor, die Kommunikation mit Personen, die sich nicht identifizieren möchten, abzulehnen.

—Vergütung und Rechtsverhältnis

NEXGAP gewährt für Meldungen grundsätzlich keine Vergütung. Aufwendungen, die Ihnen im Zusammenhang mit der Identifizierung, Analyse oder Meldung einer Schwachstelle entstehen, werden nicht erstattet. Bei Meldungen, die NEXGAP als kritisch einstuft, kann NEXGAP im Einzelfall nach freiem Ermessen eine freiwillige Anerkennungszahlung von bis zu 5.000 EUR leisten.

Ob eine Zahlung erfolgt, wie eine Meldung eingestuft wird und in welcher Höhe gezahlt wird, entscheidet allein NEXGAP. Ein Rechtsanspruch auf eine Zahlung besteht nicht, auch nicht bei wiederholter Gewährung. Eine Zahlung ist ausgeschlossen, wenn gegen diese Richtlinie verstoßen, eine Zahlung gefordert oder die Schwachstelle vor ihrer Behebung veröffentlicht wurde.

Durch die Übermittlung einer Meldung kommt kein Vertragsverhältnis zwischen Ihnen und NEXGAP zustande. Diese Richtlinie ist insbesondere keine Auslobung im Sinne des § 657 BGB, kein Preisausschreiben im Sinne des § 661 BGB und kein Angebot zum Abschluss eines Auftrags-, Dienst- oder Werkvertrags. Sie handeln weder im Auftrag noch im Namen von NEXGAP.

Mit der Übermittlung räumen Sie NEXGAP unentgeltlich das zeitlich und räumlich unbeschränkte Recht ein, die Inhalte Ihrer Meldung zur Analyse, Behebung und Information Betroffener zu nutzen und weiterzugeben. Meldungen, deren Übermittlung, Vervollständigung oder Nichtveröffentlichung von einer Zahlung oder sonstigen Gegenleistung abhängig gemacht wird, fallen nicht unter diese Richtlinie.

—Untersagte Aktivitäten

Im Rahmen dieser Richtlinie ist insbesondere untersagt:

· jede Maßnahme, die die Verfügbarkeit oder Integrität von Systemen beeinträchtigt, einschließlich Denial-of-Service-Angriffen und automatisierter Scans mit erheblicher Last,

· der Zugriff auf Daten Dritter sowie deren Veränderung, Löschung, Kopie oder Weitergabe über den zum Nachweis zwingend erforderlichen Umfang hinaus,

· das Einbringen, Ausführen oder Speichern von Schadsoftware sowie das Einrichten dauerhafter Zugänge,

· Social Engineering, Phishing und physische Zugriffsversuche gegenüber Mitarbeitenden, Kunden oder Räumlichkeiten von NEXGAP,

· Tests an Systemen außerhalb des Geltungsbereichs, insbesondere an Systemen von Kunden oder Dritten.

Erhalten Sie Zugriff auf personenbezogene oder vertrauliche Daten, brechen Sie den Test bitte sofort ab, informieren Sie uns unverzüglich und löschen Sie sämtliche Kopien, sobald wir den Eingang Ihrer Meldung bestätigt haben. NEXGAP gestattet niemandem, weder ausdrücklich noch stillschweigend, rechtswidrige Handlungen vorzunehmen. Wer gegen diese Richtlinie oder geltendes Recht verstößt, haftet nach den gesetzlichen Vorschriften.

—Rechtliche Zusicherung

Handeln Sie in gutem Glauben und im Einklang mit dieser Richtlinie, wird NEXGAP wegen dieser Aktivitäten weder Strafanzeige erstatten noch Strafantrag stellen noch zivilrechtliche Ansprüche gegen Sie geltend machen. Diese Zusicherung gilt ausschließlich für Systeme, die NEXGAP selbst betreibt. Sie erstreckt sich nicht auf Rechte Dritter und bindet weder Strafverfolgungsbehörden noch Gerichte. Auf Anfrage bestätigt NEXGAP, dass Ihre Aktivitäten im Einklang mit dieser Richtlinie erfolgt sind, sofern dies zutrifft.

Wir bestätigen den Eingang Ihrer Meldung in der Regel innerhalb von drei Werktagen und informieren Sie nach Möglichkeit über den weiteren Stand. Benötigen wir für die Reproduktion weitere Informationen, kommen wir auf Sie zu. Die Bearbeitungsdauer hängt vom Schweregrad der Schwachstelle und von den betroffenen Systemen ab. Alle genannten Zeiträume sind Zielwerte und begründen keinen Rechtsanspruch. Ob, wann und auf welche Weise eine Schwachstelle behoben wird, entscheidet NEXGAP.

Zum Schutz unserer Kunden bitten wir Sie, Informationen zu einer gemeldeten Schwachstelle erst dann zu veröffentlichen oder an Dritte weiterzugeben, wenn die Schwachstelle behoben ist und wir den Zeitpunkt der Veröffentlichung mit Ihnen abgestimmt haben. Daten, die NEXGAP, unseren Kunden oder Dritten gehören, dürfen weder veröffentlicht noch weitergegeben werden. Eine namentliche Nennung in Veröffentlichungen von NEXGAP erfolgt nur mit Ihrer Zustimmung.

Informationen aus Ihrer Meldung behandeln wir vertraulich. Eine Weitergabe an Dritte erfolgt nur, soweit sie zur Behebung erforderlich ist, insbesondere an den Hersteller eines betroffenen Drittprodukts, soweit wir gesetzlich oder behördlich dazu verpflichtet sind oder soweit Sie eingewilligt haben. Ihre personenbezogenen Daten verarbeiten wir ausschließlich zur Bearbeitung Ihrer Meldung und zur Kommunikation mit Ihnen. Einzelheiten finden Sie in unseren Datenschutzrichtlinien.

NEXGAP kann diese Richtlinie jederzeit mit Wirkung für die Zukunft ändern oder das Programm beenden. Maßgeblich ist die zum Zeitpunkt des Eingangs Ihrer Meldung auf dieser Seite veröffentlichte Fassung. Es gilt das Recht der Bundesrepublik Deutschland.