Sicherheit
Sicherheitslücke melden
Du hast eine Schwachstelle in Lucil gefunden? Danke, dass du sie uns vertraulich meldest. Hier steht, wie das geht und was dann passiert.
So meldest du
Schreib eine E-Mail an security@lucil.app, auf Deutsch oder Englisch.
Bitte nenne, welche Adresse oder Funktion betroffen ist, die Schritte zum Nachvollziehen, was man damit erreichen kann und wie wir dich erreichen (E-Mail oder Telefon).
Verschlüsselte Mail bieten wir noch nicht an. Schick deshalb keine Daten anderer Personen mit, eine Beschreibung genügt.
Ein Pseudonym reicht. Ohne Kontaktweg können wir aber nicht nachfragen und eine Meldung nur eingeschränkt bearbeiten.
Was dann passiert
- Innerhalb von 5 Werktagen bestätigt dir ein Mensch den Eingang, keine automatische Antwort.
- Innerhalb von 10 Werktagen sagen wir dir, ob wir die Lücke bestätigen, stellen Rückfragen oder erklären, warum es länger dauert.
- Bestätigte Lücken beheben wir so schnell wie möglich und halten dich auf dem Laufenden.
- Die Veröffentlichung stimmen wir mit dir ab. Unser Ziel: sobald die Lücke behoben ist, spätestens 90 Tage nach deiner Meldung.
- Wurde eine Lücke ausgenutzt, informieren wir betroffene Kunden und, wo das Gesetz es verlangt, die zuständigen Stellen.
- Auf Wunsch danken wir dir nach Abschluss öffentlich, mit Namen oder Pseudonym. Eine Prämie zahlen wir derzeit nicht.
Spielregeln
- Teste nur mit einem Zugang, der dir gehört, oder an öffentlich erreichbaren Seiten. Geh nur so weit, wie es für den Nachweis nötig ist.
- Keine Angriffe, die den Betrieb stören (zum Beispiel durch Überlastung), kein Spam und keine Täuschung von Mitarbeitenden oder Kunden.
- Greif nicht auf Daten anderer zu und ändere oder lösche nichts. Was du dabei versehentlich gesehen hast, behältst du für dich und löschst es nach der Meldung.
- Veröffentliche nichts, bevor die Lücke behoben ist und wir uns abgestimmt haben.
- Gib keine Werkzeuge zum Ausnutzen der Lücke an andere weiter.
Was gemeint ist
lucil.app mit der Web-App, der Lucil-Assistent im Chat und per WhatsApp, die Server-Schnittstellen dahinter und die Lucil-App für iPhone und Android, sobald sie erschienen ist.
Nicht gemeint sind Lücken in Diensten anderer Anbieter, die Lucil nutzt (bitte dort melden), Ergebnisse automatischer Scans ohne nachvollziehbare Auswirkung und fehlende Best Practices ohne konkretes Risiko.
Rechtlicher Rahmen
Entwurf, noch nicht anwaltlich geprüft.
Handelst du in gutem Glauben und hältst dich an diese Spielregeln, gehen wir rechtlich nicht gegen dich vor und erstatten keine Strafanzeige. Das gilt nicht, wenn erkennbar kriminelle Absichten verfolgt werden.
Wir behandeln deine Meldung vertraulich und geben deine persönlichen Daten nur mit deiner ausdrücklichen Zustimmung weiter, es sei denn, ein Gesetz verpflichtet uns dazu.
Eine Verschwiegenheitserklärung verlangen wir nicht.
Diese Zusage gilt für uns. Für andere, etwa unsere Kunden, andere Anbieter oder Behörden, können wir nicht sprechen.