Sicherheitsrichtlinie

Geltungsbereich

Prüfungen im Rahmen dieser Richtlinie sind für die folgenden Ziele erlaubt:

• reaktly.com und dessen Subdomains, einschließlich der öffentlichen Website, des Buchungsformulars und der Newsletter-Anmeldung.
• Nur Dienste, die Ihnen als Besucher offenstehen. Melden Sie sich nicht mit fremden Zugangsdaten an.

Nicht im Geltungsbereich

Für die folgenden Punkte bitten wir um Verzicht, auch wenn sie technisch erreichbar sein mögen:

• Angriffe, die den Dienst beeinträchtigen oder lahmlegen können (Denial of Service, Lasttests, Fuzzing mit hoher Rate).
• Social Engineering gegenüber Mitarbeitenden, Kundinnen und Kunden.
• Zugriff auf oder Veränderung fremder Daten, sowie das Anlegen echter fremder Identitäten oder Konten.
• Dienste Dritter, die wir einsetzen (z. B. Cloudflare, Google, unser Hoster). Wenden Sie sich an den jeweiligen Anbieter.
• Berichte über reine Best-Practice-Abweichungen (etwa fehlende Sicherheits-Header auf Vorschauumgebungen), sofern daraus kein konkreter Angriff folgt.

So melden Sie

Senden Sie Ihre Meldung an [email protected]. Verschlüsselung ist auf Anfrage möglich; nennen Sie uns dafür Ihren öffentlichen Schlüssel.

Damit wir schnell arbeiten können, helfen uns:

• die betroffene URL oder Komponente,
• eine nachvollziehbare Beschreibung oder ein minimales Beispiel (Reproduktionsschritte),
• die mögliche Auswirkung,
• Ihre gewünschte Nennung und ein Kontaktweg für Rückfragen.
• Bitte übermitteln Sie nur die Daten, die zur Beschreibung nötig sind. Personenbezogene Daten Dritter sind tabu.

Was Sie von uns erwarten können

Wir bearbeiten Meldungen nach folgendem Ablauf:

• Eingangsbestätigung innerhalb von drei Werktagen.
• Erste Einschätzung innerhalb von zehn Werktagen: Wir bestätigen das Problem, stufen es ein oder erklären nachvollziehbar, warum wir es nicht als Sicherheitslücke bewerten.
• Information, sobald eine Korrektur ausgeliefert ist. Wenn eine Behebung länger dauert, sagen wir es Ihnen.
• Veröffentlichung im Einvernehmen: In der Regel nennen wir Ihre Meldung erst nach der Korrektur und nach Rücksprache mit Ihnen.

Gute Absicht

Wenn Sie sich an diese Richtlinie halten, betrachten wir Ihre Recherche als erlaubt und werden rechtlich nicht gegen Sie vorgehen. Wenden Sie sich an uns, bevor Sie etwas tun, das über reine Beobachtung hinausgeht.

Diese Zusage gilt nicht, wenn Sie ohne Einwilligung auf Daten zugreifen, Daten verändern oder löschen, den Dienst beeinträchtigen, oder Sicherheitslücken an Dritte verkaufen oder weitergeben.

Vergütung

Wir betreiben kein Bug-Bounty-Programm mit festen Stufen. Wir entschädigen fundierte, wirkungsvolle Meldungen im Einzelfall.

Eine Vergütung ist keine Bedingung für eine Meldung und keine zugesicherte Gegenleistung. Wir sagen Ihnen im Verlauf, ob wir eine Vergütung anbieten.

Automatisierte Tests und KI-Agenten

Auch wenn diese Website öffentlich ist, betrachten wir sie nicht als ausdrückliche Erlaubnis für automatisierte Tests. Ohne menschliche Freigabe bitten wir beim Scannen und Testen um Zurückhaltung.

Meldungen aus automatisierten Werkzeugen lesen wir, wenn sie aussagekräftig sind. Für Rückfragen muss eine erreichbare Person genannt sein.