EACG Sicherheitsrichtlinie

Gültig bis: 2027-01-10

Bei EACG nehmen wir die Sicherheit unserer Dienste und Produkte ernst. Die folgenden Abschnitte zeigen Ihnen, wie Sie mit uns in Sicherheitsfragen in Kontakt treten können.

Sicherheitsinformationen

Informationen zur Sicherheit unserer Dienste finden Sie hier:

• Atom-Feed zu Schwachstellenmeldungen: Vulnerability Disclosure Feed
• Unsere security.txt (RFC 9116)
• Produkt-spezifische Sicherheitsinformationen in der SECURITY.TXT im Root jedes Code-Repositories

Schwachstelle melden

Bevorzugter Meldekanal ist unser Report-Formular. Bitte nutzen Sie die E-Mail-Meldung nur als Ausnahme, falls das Formular für Sie nicht in Frage kommt.

Meldeformular (bevorzugt)

Melden Sie die Schwachstelle über unser Report-Formular. Alle Angaben werden vertraulich behandelt. Sie erhalten eine Eingangsbestätigung und wir melden uns bei Rückfragen innerhalb von 1 Werktag.

Per E-Mail (nur als Ausnahme)

1. E-Mail an psirt@eacg.de mit dem Betreff Security Alert. Die E-Mail sollte enthalten:
   • Beschreibung der Situation und kurze Zusammenfassung des Problems
   • Genaue, nachvollziehbare Schritte zur Reproduktion (inkl. Screenshots)
   • Betroffenes Werkzeug und Version
   • Nachgewiesene Auswirkung, die über die aktuelle Benutzersitzung hinausgeht
   • Ihre Umgebungsdetails, falls relevant
   • Mögliche Gegenmaßnahmen, falls bekannt
   • Ihre Kontaktdaten, damit wir Rückfragen stellen und Sie würdigen können
2. Bitte verschlüsseln Sie Ihre Nachricht mit unserem öffentlichen PGP-Schlüssel:
   EACG Public Key für Schwachstellenmeldungen

   -----BEGIN PGP PUBLIC KEY BLOCK-----
   
   mQINBGrOVo0BEADXVJ3CxjUeWiP4a1HrC051mc3ZMg+tu+yCYEz+ZxKPINusT/PF
   G4VHilAN4NtmPIWTqsDl9GtH47Y/6RP3ynPvvXp2nMQkQc/LkEylWjbxyMYnY2ml
   RilLmHXWSFsQeHtXkUZK03MtObZ+Aij8EBxHXrNJmzeoRsDq1o6j4wWP72gEe2Vt
   daVIM4t9ewEALCNZQ0IBYwGXbFnIjncrC7Gi0R9bvm8QIRuZJwnCL9//eTX0Q4oC
   UUzjKk2ElL6OhZV6n8J6YcxeM7voX5kSUalBMPq32VVlZqNfvAGYzFONlT+YQlYY
   /5RvWJnzPKt0176vos+tRzCks0YTTYMPumDM9D42GFZqTrfHBwF5pDlBuxa9sNRw
   pr3NvsqVUd/JzYypfzaZadi9xCYrRDIPUA8lI086vX9QipThHfcilm9u3KeEW0hM
   qAFCDu4+K8M4ZjCue+a/PzV5+rqu8+1S0lMGhTRqf6ukmTuffvd55oL1YoykQaEi
   heLgz57aOSEJvBaXIemvBsI/+T0NhvYsUSDZVnov1Aob5lgC38QaP6tevqS0Qy8k
   SNYQil4cPvK+9SJSdDipJBJ65maToCpdv1rk3Dd/HoEPozE4DUcBkwPSv9NBsj8+
   qjVjtAdOS7vSo0h9E4fIzPfKQpdrnebsxah6KtfRRjaq1eqbP4ooTJPqgwARAQAB
   tB5FQUNHIFBTSVJUIEtleSA8cHNpcnRAZWFjZy5kZT6JAlQEEwEIAD4WIQSkR3B4
   U+6dbayY5uYyJsx+RZYLfQUCas5WjQIbAwUJB4YfRAULCQgHAgYVCgkICwIEFgID
   AQIeAQIXgAAKCRAyJsx+RZYLfVvbD/9JDUYsTee/FHTDCb5SEjAfjwgWwYTMEzTL
   7PY9nLd+fYbB8Kq6L8+oQTVr3lEHESJdk4hXy/HGFyzEtlHCQL33y3B5L429F+ug
   k1E3aZju1A3gTF/HnkHO7mI9OWiSnyOkbtpGobibWhOh8GJhfBCk9gN5+XazSmRU
   Iva1VDdEdOKKoQrtpCHx0kUc7zvSUgg5gbI+xAW0dAvvJEJ/TC8u1Q/QnzgG76cQ
   sufVjyK0KJq03/+qOivpmzpRTdjb1iniiL01AFoV+CvWqWTbNDuFuj1prgz//Tx+
   0jpuezmt2zY+pHXycM0IvXtFfLoYA105GI3Sd1ddOWID3Vq/6HXruZupXLLsRHUf
   Ruz0AkfL/iRDIbrNekI2+rCk4uRODpiQCwp+8V6ToiBfMvtLCjCb04MIc2be/9mx
   uvos+Ip2NHRQRnBN3jhakNaKrT/1/H3dH6CMF36+vwgdYUaSLe1Y2WxjEOGY63CW
   hV76soCBe1a4cZRd2kc/iuKv5VdcWCtb/et1+6q41JLmPPwqB84VNomuB3dw1ulm
   lGLU7Xd9+5oBu+HO1gEIEPGQawG5YVUMLa7lxkH9+wYrVd7TqDuv0gteK004YtyU
   tyFv6IDN5Ks7Tgvq2+bYJggJQsMt0q54gQVfrJyH8aUSCCRXx98dOZVcAG4iXNuw
   d7QzYpRSVrkCDQRqzlaNARAAwfv60l6R7iaEidUktjFX3+tt9AkjG5e73WKk4b4e
   I/Dn1gPCyDzGHI4so+VjGpyGr6Q+ahTNq7Qt4VWYhb3L3nx72aYlBZsh3ydPcZMl
   jC4p/4jdcHTk3o+pW5esKBFPmo1TRAPXTErSMCUf8ruPJkUceJIjdHvwLHUQuB9e
   tWN4cVWyIZos4951VSyv/IQHrPftCvH9fH42OqqX4h0gWAdIj8JFstpW1BlaaRlG
   bvFXmpJFxxFoKhCMq/wzXKCYABrWAnUtE8uoKNkGdFbP/9mDLqbKntgrJdGXJ74d
   2ZNEw0kn3CmkXon5nruF/l5QOdmrk3hAPCSAt6y1xooEjS9wuMRJX/zzqWYiKSDZ
   vt+WEet0pjiduWj/MdTSemQVLWdeJnrNr1zOdY4OTxcfQshdacxRennuJz9B7QkJ
   Y3ob9hp1M483uSBQn7mCRZFZrfXiQjYVRlLB9gUHG167vK+uAEWX4Y+eiorQAQoT
   YFY5bIA9j8tPrywdqA3hnLZqQYBSzeKgm5oP0EQIL6GU7LUeY9XKN1YvFSK1JwqC
   sbF+6asaPtuLvVUnvuzWqcq/aXlHeabzNLkLVgGMtYNcyyDNVz+8t4yJ5Dl9NcQq
   RVAX4yVqqwMr+pu/I9zY9kJMyLx2ZB2ShHoDbFDk+K8sVhyYQ2bcmi+6m0/wzliv
   SpsAEQEAAYkCOgQYAQgAJhYhBKRHcHhT7p1trJjm5jImzH5Flgt9BQJqzlaNAhsM
   BQkHhh9EAAoJEDImzH5Flgt9/LcP8Psh27svLzl+dV10CnpeUTlosEiIfY10s/cK
   DVlIWeNJIk68gPFMVr3+M6nV7JeDmN5vnkjwO760o3En9f3LsQfE9xm1PUxGz7JI
   HlMZULc5HxKquyZjYCaIkLDD82J6Hdc6BcISrqB2ixsML0rF+57D5JOb0l4HawwU
   rFUNc7RaAP/7F7DS9wDnrMmOJa0Z0eOyizUKJN1MtDuks71RUJa/gkU6dnu3QBYr
   kKW9NUeqBccSTyGp/RAnawK0H+3zKw2Fdb+9nZp6vGVQoTPZmCnb2ZDuaoDhVVz8
   H0ru3+WNkkBvDFdLFyBKSVhCORsov/HSTSd2olOCb4IStNuTGU7+h5vV25trVIwQ
   axQJ2uiXCMaOOUgs8w08SnAuJ7IGSwTj/xavwJ3OEAVxdDYgjxKc2RooobFqWRWc
   vYd/msMtuIafvglDyaJJa0MN7LQ97t/ZBMc2v6wwfRav/UYHVjKqRog2EVVXHzgJ
   cs6UNegiiVg9bzvfRvEPvHnVB9nBFpmQBMq5urxzAAI+I0c82bmAoxuN6wq8khVg
   V/Cmn7/Aoku8LfJm7ryAnLsG7AuuAThE6Lz2cUYBVDAsuRSTF+yCHXdtYX00ykuR
   C8zkaNtZJXEWxos7BZi0nv2rjnEAEBoRzqL81UpPXLy9tmMYH4sYHInjQG2LBwo7
   5dGqoA==
   =A49P
   -----END PGP PUBLIC KEY BLOCK-----

   Fingerprint: A447707853EE9D6DAC98E6E63226CC7E45960B7D

   Verschlüsselung mit GPG

   1. Kopieren Sie den Schlüssel oben (inkl. -----BEGIN und -----END) und speichern Sie ihn als eacg-pubkey.txt
   2. Speichern Sie Ihre Nachricht als myMsg.txt im gleichen Verzeichnis
   3. Schlüssel importieren: gpg --import eacg-pubkey.txt
   4. Nachricht verschlüsseln: gpg --encrypt -r psirt@eacg.de -o myMsg.gpg myMsg.txt
   5. Datei myMsg.gpg an die E-Mail anhängen

   Falls GPG nicht installiert ist: gpgtools.org

3. Sie erhalten innerhalb von 1 Werktag eine Eingangsbestätigung von einem unserer Ingenieure.
4. Wir melden uns bei Rückfragen, um den Umfang des Problems zu verstehen.

Disclosure-Zeitraum

Wir bearbeiten Meldungen so schnell wie möglich. Je nach Komplexität der Dokumentation, Auswirkungsanalyse und Gegenmaßnahmen kann dies einige Zeit in Anspruch nehmen. Sie können davon ausgehen, dass wir einen maximalen Disclosure-Zeitraum von 90 Tagen einhalten.

Bug Bounty

Wir schätzen alle Security-Forscher, die zur Sicherheit unserer Dienste beitragen, und würdigen ihren Beitrag. Gelegentlich führen wir ein Bug-Bounty-Programm durch — bei Interesse wenden Sie sich gerne per E-Mail an psirt@eacg.de.

Wir vergeben keine Bounty für Meldungen, die:

• Keine nachgewiesene Auswirkung über die aktuelle Benutzersitzung hinaus zeigen
• Das Deaktivieren von Antivirensoftware oder das Zusenden von Schadsoftware erfordern
• Das Umgehen normaler Sicherheitskontrollen voraussetzen
• Schwachstellen betreffen, für die seit weniger als einem Monat ein offizieller Patch verfügbar ist
• Self-XSS oder XSS mit unwahrscheinlicher Nutzerinteraktion betreffen
• Open Redirect betreffen — sofern kein zusätzliches Sicherheitsrisiko nachgewiesen wird
• Man-in-the-Middle-Angriffe (MITM) erfordern
• Tabnabbing betreffen
• E-Mail-Konfigurationsprobleme (SPF, DKIM, DMARC) betreffen
• Erzwungenes Login/Logout-CSRF betreffen
• Kontosperrung durch wiederholte Fehleingaben betreffen
• Passwort-Komplexität oder Kontowiederherstellungsrichtlinien betreffen
• HTTPS Mixed Content betreffen
• Fehlende HTTP-Security-Header betreffen (Strict-Transport-Security, X-Frame-Options, X-XSS-Protection, X-Content-Type-Options, Content-Security-Policy)
• Die Aktivierung der HTTP-Methode OPTIONS betreffen

Für eine Bounty muss eine ernsthafte Meldung mit nachgewiesenem Schaden eingereicht werden, der über die aktuelle Benutzersitzung hinausgeht. Zudem honorieren wir nur Forscher, die sich mit vollständigem Namen und Adresse identifizieren. Die Auszahlung erfolgt ausschließlich auf ein internationales Bankkonto — Zahlungen per PayPal oder Kryptowährung sind nicht möglich.