Richtlinie zur Offenlegung von Schwachstellen (VDP)

1 Einleitung

Bei Scatter Instruments haben die Sicherheit unserer Systeme und der Schutz der Kundendaten höchste Priorität. Wir schätzen die Rolle unabhängiger Sicherheitsforscher, die uns helfen, ein hohes Sicherheitsniveau zu halten.

Wir arbeiten mit der Security-Community zusammen, um bestätigte Schwachstellen zeitnah und verantwortungsvoll zu beheben.

2 Safe Harbor

Scatter Instruments leitet keine rechtlichen Schritte gegen Personen ein, die Sicherheitslücken gemäß dieser Richtlinie entdecken und melden. Sicherheitsforschung im Rahmen dieser Richtlinie betrachten wir als autorisiert.

Um diesen Schutz zu genießen, müssen Sie:

• Alle Regeln und Vorgaben dieser Richtlinie einhalten
• Die Privatsphäre und Sicherheit unserer Kunden und ihrer Daten nicht gefährden
• Unsere Dienste in keiner Weise stören oder beeinträchtigen
• In gutem Glauben handeln, um Datenschutzverletzungen, Datenverlust und Dienstunterbrechungen zu vermeiden

3 Geltungsbereich

Diese Richtlinie gilt für folgende öffentlich zugängliche Websites und Dienste von Scatter Instruments:

Systeme im Geltungsbereich

• scatterinstrumentsonline.com
• www.scatterinstrumentsonline.com
• Alle weiteren Subdomains von scatterinstrumentsonline.com

Systeme und Handlungen außerhalb des Geltungsbereichs

Jeder nicht ausdrücklich genannte Dienst liegt außerhalb des Geltungsbereichs. Folgende Handlungen sind streng verboten:

• Tests an Diensten Dritter (Zahlungsanbieter, Analysedienste, Social-Media-Widgets)
• Physische Angriffe auf unsere Einrichtungen oder Geräte
• Social Engineering (Phishing, Vishing) gegenüber Mitarbeitern, Auftragnehmern oder Kunden
• Denial-of-Service-Angriffe (DoS oder DDoS)
• Spam oder der Einsatz automatisierter Tools zum aggressiven Crawlen unserer Website
• Zugriff auf fremde Daten, deren Änderung oder Abfluss

4 So melden Sie eine Schwachstelle

Wenn Sie glauben, eine Sicherheitslücke gefunden zu haben, senden Sie Ihre Meldung per E-Mail an contact@scatterinstruments.com.

Für sensible Informationen empfehlen wir, Ihre Meldung mit unserem PGP-Schlüssel zu verschlüsseln, den Sie in unserer security.txt-Datei finden.

Eine gute Meldung enthält:

• Einen klaren, aussagekräftigen Titel
• Art der Schwachstelle und mögliche Auswirkungen
• Die vollständige URL bzw. das betroffene System
• Detaillierte Schritt-für-Schritt-Anleitung zur Reproduktion
• Proof-of-Concept-Code, Screenshots oder Bildschirmaufnahmen

5 Unsere Zusage

Wenn Sie eine Schwachstelle gemäß dieser Richtlinie melden, sagen wir Ihnen zu:

• Den Eingang Ihrer Meldung innerhalb von 2–3 Werktagen zu bestätigen
• Ihnen eine Ansprechperson zu nennen und Sie über den Fortschritt zu informieren
• Ihre Meldung zu untersuchen und zu verifizieren
• Bestätigte Schwachstellen so schnell wie vertretbar zu beheben
• Details der Schwachstelle nicht zu veröffentlichen, bevor eine Behebung vorliegt

6 Belohnung und Anerkennung

Scatter Instruments bietet derzeit keine finanziellen Bug-Bounties an, ist aber für die Beiträge der Community sehr dankbar.

Für bestätigte und anerkannte Meldungen bieten wir mit Ihrer Zustimmung eine öffentliche Würdigung in unserer Hall of Fame der Sicherheitsforscher.