• Wir reagieren zeitnah auf Ihre Meldung und arbeiten gemeinsam mit Ihnen daran, die gemeldete Schwachstelle zu verstehen und zu validieren.
• Wir halten Sie nach Möglichkeit über den Fortschritt bei der Bearbeitung der Schwachstelle auf dem Laufenden.
• Wir beheben entdeckte Schwachstellen unter Berücksichtigung unserer betrieblichen Rahmenbedingungen zeitnah.
• Wir gewähren Ihnen einen Safe-Harbor-Schutz für Ihre sicherheitsrelevanten Forschungsaktivitäten, sofern diese im Einklang mit dieser Richtlinie stehen.
  ‍

Unsere Erwartungen

• Sie halten sich an die Regeln, einschließlich dieser Richtlinie und aller weiteren relevanten Vereinbarungen. Sollte ein Widerspruch zwischen dieser Richtlinie und anderen geltenden Bedingungen bestehen, haben die Bestimmungen dieser Richtlinie Vorrang.
• Sie melden jede entdeckte Schwachstelle unverzüglich.
• Sie respektieren die Privatsphäre anderer, beeinträchtigen unsere Systeme nicht, zerstören keine Daten und beeinträchtigen nicht die Nutzererfahrung.
• Sie nutzen ausschließlich die offiziellen Kommunikationskanäle, um Schwachstelleninformationen mit uns zu teilen.
• Sie gewähren uns eine angemessene Frist zur Behebung der Schwachstelle, bevor Sie diese öffentlich offenlegen (mindestens 180 Tage ab der Erstmeldung).
• Sie führen Tests ausschließlich auf den als „innerhalb des Geltungsbereichs“ definierten Systemen durch und respektieren Systeme sowie Aktivitäten, die ausdrücklich außerhalb des Geltungsbereichs liegen.
• Falls eine Sicherheitslücke unbeabsichtigten Zugriff auf Daten ermöglicht, beschränken Sie den Zugriff bitte auf das für den Nachweis der Schwachstelle (Proof of Concept) unbedingt erforderliche Minimum. Sollten Sie während Ihrer Tests auf Benutzerdaten stoßen – insbesondere auf personenbezogene Daten (PII), Gesundheitsdaten (PHI), Kreditkartendaten oder andere vertrauliche Informationen – beenden Sie die Tests unverzüglich und reichen Sie umgehend einen Bericht bei uns ein.
• Sie interagieren ausschließlich mit Testkonten, die Ihnen gehören oder für die Sie eine ausdrückliche Genehmigung des Kontoinhabers besitzen.
• Sie unterlassen jegliche Form von Erpressung oder Druckausübung.
  ‍

Offizielle Kanäle

Safe Harbor

• im Hinblick auf geltende Anti-Hacking-Gesetze autorisiert. Wir werden keine rechtlichen Schritte gegen Sie einleiten oder unterstützen, wenn es im Rahmen Ihrer gutgläubigen Forschung zu unbeabsichtigten Verstößen gegen diese Richtlinie kommt;
• im Hinblick auf relevante Gesetze zum Schutz technischer Maßnahmen autorisiert. Wir werden keine Ansprüche gegen Sie wegen der Umgehung technischer Schutzmechanismen geltend machen
• on Einschränkungen unserer Nutzungsbedingungen (Terms of Service, TOS) und/oder unserer Richtlinie zur zulässigen Nutzung (Acceptable Use Policy, AUP) ausgenommen, soweit diese die Durchführung von Sicherheitsforschung beeinträchtigen würden. Diese Einschränkungen setzen wir hierfür in begrenztem Umfang außer Kraft; und
• rechtmäßig, förderlich für die allgemeine Sicherheit des Internets und in gutem Glauben durchgeführt.
  ‍