Koordinierte Offenlegung · RFC 9116
Schwachstelle melden
Sie haben etwas gefunden. Danke, dass Sie es uns sagen, statt es zu behalten.
sicherheit@seriax.eu
A
Was wir zusagen
Empfangsbestätigung in 2 Werktagen
Sie erfahren, dass die Meldung angekommen ist und wer sie bearbeitet. Kein automatischer Textbaustein, sondern eine Antwort von einem Menschen.
Erste Einschätzung in 5 Werktagen
Ob wir das Problem nachvollziehen können, wie wir es einordnen und wie es weitergeht.
Kein rechtliches Vorgehen bei gutgläubiger Forschung
Wer sich an die Regeln unten hält, hat von uns nichts zu befürchten. Das gilt auch dann, wenn sich der Fund am Ende als harmlos herausstellt.
Nennung, wenn Sie möchten
Wir nennen Sie im Änderungsprotokoll, wenn Sie das wünschen, und schweigen, wenn Sie das vorziehen.
Kein Preisgeld. Wir zahlen nichts für Funde, und wir sagen das lieber offen, als es im Kleingedruckten zu verstecken. Ein Programm mit Belohnungen, das wir nicht durchhalten, wäre schlimmer als keines.
B
Woran Sie sich halten
Vier Regeln, hinter denen jeweils ein Kunde steht, nicht eine Rechtsabteilung.
Keine fremden Daten
Kein Zugriff auf Daten anderer Nutzer, kein Herunterladen fremder Bestände. Legen Sie sich ein eigenes Konto an; die Registrierung steht offen.
Kein Ausfall
Keine Lastangriffe, kein massenhaftes Ausprobieren, nichts, was den Betrieb stört. An diesem System hängen Meldefristen, die niemand nachholen kann.
Keine Veränderung
Nichts löschen, nichts verändern, keine Hintertür einbauen. Ein Nachweis genügt, den Rest klären wir.
Zeit vor Veröffentlichung
Geben Sie uns 90 Tage, bevor Sie den Fund veröffentlichen. Brauchen wir länger, sagen wir es Ihnen mit einer Begründung. Bei einer aktiv ausgenutzten Lücke reden wir sofort über einen kürzeren Weg.
C
Was in eine gute Meldung gehört
Schreiben Sie auf Deutsch oder Englisch, was Sie gefunden haben, wie man es nachstellt und was im schlimmsten Fall passieren könnte. Ein Bildschirmfoto oder ein Mitschnitt hilft mehr als eine lange Beschreibung.
Wenn Sie eine Kennung vergeben wollen: Wir arbeiten mit CVE-Kennungen und veröffentlichen Hinweise im Format CSAF 2.0, weil Hersteller genau dieses Format maschinell verarbeiten.
Verschlüsselt melden: Sagen Sie kurz Bescheid, dann tauschen wir einen Schlüssel aus. Wir hinterlegen bewusst keinen öffentlichen Schlüssel, den niemand pflegt.
Unsere Antwort kommt von anfragen@seriax.eu, nicht von der Meldeadresse. Das ist Absicht und kein Versehen: Beide Adressen führen in dasselbe Postfach, und wir richten für eine Adresse, die dreimal im Jahr gebraucht wird, kein zweites Konto ein. Antworten Sie einfach darauf.
D
Und was wir selbst nicht sind
Seriax ist Software als Dienst und damit kein Produkt mit digitalen Elementen im Sinne der Verordnung (EU) 2024/2847. Die Meldepflichten nach Artikel 14 treffen den Maschinenhersteller, nicht dieses Werkzeug.
Was uns trifft, ist die Sorgfalt gegenüber den Daten, die Hersteller uns anvertrauen: Auslieferungen, Kunden, Schwachstellen, die sie noch nicht gemeldet haben. Deshalb diese Seite.
Wie wir das technisch absichern, steht unter Sicherheit und Betrieb.