Adapt2Move

Responsible Disclosure

Sie haben eine Sicherheitslücke in einer unserer Webanwendungen oder APIs gefunden? So erreichen Sie uns, und so gehen wir damit um.

Wie Sie uns melden

Schreiben Sie uns an info@adapt2move.de. Verschlüsseln Sie sensible Inhalte bitte mit unserem PGP-Schlüssel (öffentlicher Schlüssel, Fingerabdruck 2898 C62C D156 9BAD 606C 9AAC 5E7B 5DAA 0D61 B752). Die maschinenlesbare Fassung dieser Angaben finden Sie unter /.well-known/security.txt, clearsigniert mit demselben Schlüssel.

Beschreiben Sie bitte, welche Schwachstelle Sie gefunden haben, auf welcher URL oder in welchem Endpunkt, mit welchen Schritten sie sich reproduzieren lässt, und welche Auswirkung sie hat. Screenshots, Logs oder ein Proof of Concept helfen uns, die Meldung schnell einzuordnen. Bitte keine echten Kundendaten in die Meldung selbst aufnehmen, es reicht ein Nachweis, dass der Zugriff möglich war.

Umfang

Im Umfang sind unsere eigenen Webanwendungen und APIs auf unseren Domains, insbesondere adapt2move.de und fleet-insights.eu sowie deren Subdomains.

Nicht im Umfang sind:

  • Social Engineering, zum Beispiel gegen unsere Mitarbeitenden oder Kunden
  • Physische Angriffe auf unsere Büros oder Infrastruktur
  • Denial-of-Service-Angriffe und volumetrische Last- oder Stresstests
  • Spam, etwa über Kontaktformulare oder E-Mail
  • Funde in Diensten Dritter, die wir lediglich einbinden
  • Fehlende Best-Practice-Header oder ähnliche Härtungshinweise ohne gezeigte Auswirkung

Unsere Zusagen

Wir bestätigen den Eingang Ihrer Meldung innerhalb von drei Werktagen. Wir halten Sie über den Fortschritt auf dem Laufenden, solange die Meldung bearbeitet wird. Wie schnell wir eine Lücke schließen, richtet sich nach ihrem Schweregrad. Die Veröffentlichung stimmen wir mit Ihnen ab, damit Nutzerinnen und Nutzer zuerst geschützt sind. Gegen gutgläubige Forschung, die diese Regeln einhält, gehen wir nicht rechtlich vor. Auf Wunsch nennen wir Sie als Entdeckerin oder Entdecker der Lücke.

Ein Bug-Bounty-Programm bieten wir derzeit nicht an.

Regeln für Ihre Recherche

  • Greifen Sie nur auf Daten zu, die zum Nachweis der Lücke nötig sind, nicht mehr
  • Zerstören oder verändern Sie keine Daten
  • Stören Sie unseren Betrieb oder den anderer Nutzer nicht
  • Geben Sie uns angemessene Zeit, die Lücke zu schließen, bevor Sie sie veröffentlichen, in der Regel rund 90 Tage

Vielen Dank, dass Sie uns und unsere Kunden auf diesem Weg sicherer machen.