Sicherheit — fairEXA

Sicherheitslücken melden

Wenn Sie eine Schwachstelle in einem unserer Produkte oder auf dieser Website gefunden haben, melden Sie sie bitte an:

Bitte melden Sie Schwachstellen ausschließlich an diese Adresse und nicht öffentlich, damit wir sie beheben können, bevor sie ausgenutzt wird.

Diese Angaben sind zusätzlich maschinenlesbar unter /.well-known/security.txt hinterlegt (RFC 9116).

Geltungsbereich

die Software-Suite des fairEXA Instituts (fairEXA Identity, Studio, Relay, Ink, Stage, Flow, Insight, Cast und Journey)
die Website www.fairexa.de
von uns betriebene Dienste, die Kunden im Rahmen eines Vertrags nutzen

Nicht umfasst sind Systeme Dritter, auch wenn unsere Software dort betrieben wird. Bitte wenden Sie sich in dem Fall zuerst an den Betreiber; auf Wunsch vermitteln wir.

Was wir brauchen

Eine gute Meldung enthält:

eine Beschreibung der Schwachstelle und ihrer möglichen Auswirkungen
betroffenes Produkt und Version, bzw. die betroffene URL
eine nachvollziehbare Schritt-für-Schritt-Anleitung zur Reproduktion
optional: Logs, Screenshots, Proof-of-Concept
wie wir Sie erreichen und ob Sie in einer Danksagung genannt werden möchten

Deutsch, Englisch und Französisch sind willkommen.

Was Sie von uns erwarten können

Schritt	Frist
Eingangsbestätigung	innerhalb von 3 Werktagen
Erste Einschätzung (Gültigkeit, Schweregrad)	innerhalb von 10 Werktagen
Statusmeldung während der Bearbeitung	mindestens alle 14 Tage
Koordinierte Veröffentlichung	in der Regel innerhalb von 90 Tagen nach Eingang

Wir halten Sie über den Fortschritt auf dem Laufenden und stimmen den Zeitpunkt einer Veröffentlichung mit Ihnen ab. Auf Wunsch nennen wir Sie als Finderin oder Finder; ebenso können Sie anonym bleiben.

Gesetzliche Meldepflichten

Als Hersteller von Produkten mit digitalen Elementen unterliegen wir dem Cyber Resilience Act (Verordnung (EU) 2024/2847). Erlangen wir Kenntnis von einer aktiv ausgenutzten Schwachstelle oder einem schweren Sicherheitsvorfall, melden wir diesen gemäß Art. 14 CRA an die ENISA und das zuständige CSIRT — innerhalb von 24 Stunden als Frühwarnung, innerhalb von 72 Stunden als Schwachstellenmeldung. Ihre personenbezogenen Daten übermitteln wir dabei nicht.

Regeln für sicherheitsrelevante Untersuchungen

Wir gehen nicht gegen Personen vor, die in gutem Glauben handeln und sich an folgende Regeln halten:

keine Beeinträchtigung der Verfügbarkeit (kein DoS, keine Lasttests)
kein Zugriff auf fremde Daten über das hinaus, was zum Nachweis nötig ist — insbesondere keine Prüfungs- oder Personendaten
keine Veränderung oder Löschung von Daten
kein Social Engineering, kein physischer Zugang, kein Phishing gegen Mitarbeitende oder Kunden
keine Veröffentlichung vor der abgestimmten Frist

Diese Zusage gilt nur für Systeme in unserem Geltungsbereich. Verstöße gegen geltendes Recht können wir nicht freistellen.