Richtlinie zur Meldung von Sicherheitslücken

Die Sicherheit unserer Produkte und der Daten unserer Kunden hat für MOYAFLOW höchste Priorität. Wenn Sie glauben, eine Sicherheitslücke in einem unserer Systeme oder Produkte gefunden zu haben, möchten wir davon erfahren. Diese Richtlinie beschreibt, wie Sie uns Sicherheitslücken melden und was Sie im Gegenzug von uns erwarten können.

Geltungsbereich

Diese Richtlinie gilt für:

STREAM Cloud und alle zugehörigen Komponenten
STREAM Connect Agent
Von MOYAFLOW betriebene Websites und Dienste unter moyaflow.de, moyaflow.com und deren Subdomains

Nicht im Geltungsbereich sind:

Denial-of-Service-Angriffe, Last- oder Stresstests
Social Engineering (z. B. Phishing) gegen Mitarbeitende, Kunden oder Partner von MOYAFLOW
Physische Angriffe auf Büros oder Rechenzentren
Sicherheitslücken in Diensten Dritter, die wir nutzen (z. B. Google Workspace, Cloudflare). Bitte melden Sie diese direkt an den jeweiligen Anbieter
Ergebnisse automatisierter Scanner ohne nachgewiesene Sicherheitsauswirkung, z. B. fehlende HTTP-Sicherheitsheader, SPF-/DKIM-/DMARC-Konfiguration oder die Anzeige von Softwareversionen

So melden Sie eine Sicherheitslücke

Bitte senden Sie Ihre Meldung per E-Mail an security@moyaflow.de. Wir nehmen Meldungen auf Deutsch und Englisch entgegen.

Damit wir das Problem schnell bewerten können, geben Sie bitte Folgendes an:

Eine kurze Beschreibung der Sicherheitslücke und ihrer möglichen Auswirkungen
Das betroffene Produkt, die Version, den Mandanten oder die URL
Schritte zur Reproduktion oder einen Proof of Concept
Relevante Zeitstempel, Request-IDs oder Log-Auszüge
Eine Möglichkeit, Sie für Rückfragen zu kontaktieren

Bitte senden Sie keine Passwörter, Zugangstoken, privaten Schlüssel oder vertraulichen Kundendaten mit und schwärzen Sie sensible Werte in Screenshots und Logs.

Regeln für Tests

Bitte beachten Sie bei der Untersuchung einer Sicherheitslücke:

Greifen Sie nur auf Ihre eigenen Daten zu und verändern oder löschen Sie nur diese. Greifen Sie nicht auf Daten anderer Kunden zu
Vermeiden Sie alles, was die Verfügbarkeit unserer Dienste beeinträchtigen oder dauerhafte Änderungen verursachen könnte
Brechen Sie Tests sofort ab und kontaktieren Sie uns, wenn Sie auf Kundendaten stoßen oder ein Problem den Produktivbetrieb beeinträchtigen könnte
Nutzen Sie eine Sicherheitslücke nicht weiter aus, als für ihren Nachweis notwendig ist
Behandeln Sie die Sicherheitslücke vertraulich, bis sie behoben ist und wir uns über die Veröffentlichung abgestimmt haben

Was Sie von uns erwarten können

Wir bestätigen den Eingang Ihrer Meldung innerhalb von 3 Werktagen.
Wir senden Ihnen innerhalb von 10 Werktagen eine erste Einschätzung.
Wir informieren Sie mindestens alle 30 Tage über den Fortschritt, bis das Problem behoben ist.
Wir behandeln Ihre Meldung vertraulich und geben Ihre personenbezogenen Daten nicht ohne Ihre Zustimmung an Dritte weiter.

Koordinierte Veröffentlichung

Wir verfolgen einen Prozess der koordinierten Veröffentlichung (Coordinated Disclosure). Bitte veröffentlichen Sie keine Details zu einer Sicherheitslücke, bevor eine Korrektur verfügbar ist oder bevor 90 Tage nach Ihrer Meldung vergangen sind, je nachdem, was zuerst eintritt. Falls eine Korrektur mehr Zeit erfordert, sprechen wir mit Ihnen über eine Verlängerung. Zeitpunkt und Inhalt einer Veröffentlichung stimmen wir mit Ihnen ab.

Rechtliche Zusicherung (Safe Harbor)

Wir werden keine rechtlichen Schritte einleiten und keine Strafanzeige gegen Personen erstatten, die eine Sicherheitslücke in gutem Glauben und im Einklang mit dieser Richtlinie entdecken und melden. Sollte ein Dritter rechtliche Schritte gegen Sie einleiten wegen Handlungen, die im Einklang mit dieser Richtlinie stehen, werden wir klarstellen, dass Ihr Vorgehen von uns autorisiert war.

Anerkennung

Wir bieten derzeit kein Bug-Bounty-Programm und keine finanziellen Belohnungen an. Mit Ihrer Zustimmung nennen wir Sie gerne namentlich in unseren Release Notes oder Sicherheitshinweisen.

Produktspezifische Informationen

Produktspezifische Hinweise zur Meldung sowie Release Notes zu STREAM Cloud und dem STREAM Connect Agent finden Sie in der STREAM-Dokumentation.