RICHTLINIE FÜR VERANTWORTUNGSVOLLE OFFENLEGUNG

Inkrafttreten: 18. Juni 2025 

Letzte Aktualisierung: 18. Juni 2025 

Bei Addverb Technologies Private Limited und ihren Tochtergesellschaften („Addverb“) nehmen wir Sicherheit sehr ernst. Wir wissen um die wichtige Rolle, die unabhängige Sicherheitsforscher bei der Einhaltung höchster Cybersicherheitsstandards spielen. Diese Richtlinie zur verantwortungsvollen Offenlegung („Richtlinie“) beschreibt, wie Sicherheitsforscher potenzielle Sicherheitslücken in den digitalen Assets von Addverbauf rechtmäßige, verantwortungsvolle und ethische Weise melden können. 

Durch die Einhaltung dieser Richtlinie können Sicherheitsforscher zur allgemeinen Sicherheit und Widerstandsfähigkeit unserer Systeme beitragen und gleichzeitig sicherstellen, dass sie vor rechtlichen Schritten geschützt bleiben, vorausgesetzt, sie halten sich strikt an die hierin festgelegten Bedingungen. 

Geltungsbereich der Richtlinie 

Diese Richtlinie gilt für addverbund seine Subdomains, die von Addverb betrieben oder verwaltet werden und ausdrücklich unter öffentlich zugängliche Domains fallen. 

Diese Richtlinie berechtigt nicht zu Folgendem: 

1. Jeglicher Zugriff auf Systeme, der über den vorgesehenen Umfang hinausgeht. 

2. Tests an nicht-öffentlichen oder Drittanbieter-Assets. 

3. Verstoß gegen geltende Gesetze. 

Im Sinne dieser Richtlinie bezeichnet „Sicherheitsforscher“ jede natürliche oder juristische Person, die in gutem Glauben mit den Systemen, Diensten oder Produkten von Addverbinteragiert, um gemäß dieser Richtlinie eine Sicherheitslücke zu melden. Dies umfasst ethische Hacker, unabhängige Forscher, Bug-Bounty-Teilnehmer und alle anderen, die solche Berichte einreichen. 

Verfahren zur verantwortungsvollen Offenlegung 

Wir bitten alle Sicherheitsforscher: 

1. Handle in gutem Glauben und im Rahmen des Gesetzes. 

2. Vermeiden Sie jegliche Handlungen, die Addverb oder seinen Kunden Schaden, Störungen oder Verluste zufügen könnten. 

3. Bitte erstellen Sie einen detaillierten Bericht, der die Schritte zur Reproduktion des Problems, die potenziellen Auswirkungen und empfohlene Abhilfemaßnahmen enthält. 

4. Die Sicherheitslücke darf weder der Öffentlichkeit noch Dritten zugänglich gemacht werden, bevor Addverb nicht im Voraus eine ausdrückliche schriftliche Genehmigung erteilt hat. 

Berichterstattung 

Um eine Sicherheitslücke zu melden, senden Sie uns bitte eine E-Mail an [email protected] 

Ihr Bericht sollte Folgendes enthalten: 

1. Eine klare Beschreibung der Schwachstelle. 

2. Datum und Uhrzeit der Entdeckung. 

3. Angenommene Auswirkungen 

4. Betroffene Dienste oder URLs. 

5. Schritt-für-Schritt-Anleitung zur Reproduktion des Problems. 

6. Alle relevanten Screenshots, Protokolle oder Proof-of-Concept-Codes. 

7. Empfohlene Lösung 

Addverb bestätigt den Eingang innerhalb von 7 Werktagen und ist bestrebt, berechtigte Anliegen innerhalb eines technisch angemessenen Zeitraums zu prüfen und zu lösen. Addverb behält sich das Recht vor, Einsendungen von Parteien, die eine große Anzahl qualitativ minderwertiger Berichte einreichen, nicht zu berücksichtigen. 

Ausnahmen 

• Schwachstellen, die keine Auswirkungen auf die Sicherheit nachweisen können, werden von diesem Programm nicht berücksichtigt. 

• Schwachstellen in Bezug auf SPF/DMARC/DKIM-Einträge ohne nachweisbaren Beweis für Spoofing  

• Bei der Auswahl bewährter Verfahren sollten Aspekte wie nicht als sicher gekennzeichnete Nicht-Sitzungs-Cookies und HTTP-only-Cookies, SSL/TLS-Konfiguration, fehlende Sicherheitsheader usw. berücksichtigt werden. 

• Von automatisierten Tools und Scannern gemeldete Schwachstellen ohne zusätzlichen Machbarkeitsnachweis 

• Denial-of-Service-Angriffe (DoS) und verteilte Denial-of-Service-Angriffe (DDoS) 

• Spam, Brute-Force-Angriffe oder Tests mit personenbezogenen Daten. 

• Exploits, die physischen Zugriff auf das Gerät des Opfers erfordern 

• Host-Header-Injektion 

• Bisher bekannte, anfällige Bibliotheken ohne funktionierenden Proof of Concept 

• Jegliche Art von Spoofing-Angriffen oder Angriffe, die zu Phishing führen (z. B. E-Mail-Spoofing, Abfangen von Anmeldedaten mit gefälschten Anmeldeseiten) 

• Bugs, die eine äußerst unwahrscheinliche Benutzerinteraktion erfordern, d. h. Social-Engineering-Angriffe, insbesondere sowohl gegen Benutzer als auch gegen Mitarbeiter Addverb . 

• Offenlegung von API-Schlüsseln Dritter ohne jegliche Auswirkungen oder solche, die eigentlich öffentlich zugänglich sein sollten. Konkret handelt es sich um offengelegte Google Maps API-Schlüssel und Schlüssel in Android-XML-Dateien.  

• OPTIONS / TRACE HTTP-Methoden aktiviert 

• Offenlegung bekannter öffentlicher Dateien oder Verzeichnisse (z. B. robots.txt, CSS/Bilder usw.) 

• Vorhandensein der Autovervollständigungs- oder Passwortspeicherfunktion der Anwendung oder des Webbrowsers 

• Jegliche Art von Sicherheitslücken, die die Installation von Software wie Browser-Add-ons usw. auf dem Rechner des Opfers erfordern 

• Brute-Force-Angriff auf Formulare (z. B. Newsletter-/Kontaktseite) 

• Fehlende Best Practices in der Content Security Policy. 

• Fehlende SSL- und CAA-Header 

• Funktionale, UI- und UX-Bugs sowie Rechtschreibfehler. 

Verstöße gegen die oben genannten Ausschlussklauseln können zum Verlust des Schutzes durch die Safe-Harbour-Regelung und zu rechtlichen Schritten führen. 

Keine Belohnungen 

Für die Meldung von Sicherheitslücken wird keine finanzielle Vergütung angeboten oder gezahlt. Diese Richtlinie soll weder Penetrationstests, Scans noch Hacking-Versuche gegen die IT-Infrastruktur von Addverbfördern oder genehmigen, sondern vielmehr einen verantwortungsvollen und sicheren Rahmen bieten, in dem legitime Sicherheitslücken gemeldet und behoben werden können. 

Addverb behält sich das Recht vor, jeden Beitrag individuell zu prüfen. Nach eigenem Ermessen kann Addverb , vorbehaltlich einer gegenseitigen Vereinbarung und nur dann, wenn der Sicherheitsforscher alle Bestimmungen dieser Richtlinie eingehalten hat, nicht-monetäre Anerkennungsgesten wie eine öffentliche Würdigung oder ein Anerkennungsschreiben aussprechen. 

Wichtige Punkte 

• Nutzen Sie keine Sicherheitslücke über das zur Feststellung ihrer Existenz notwendige Maß hinaus aus. 

• Greifen Sie nicht auf Daten zu, die Ihnen nicht gehören, kopieren, laden Sie diese nicht herunter und verändern Sie sie nicht. 

• Die Verfügbarkeit von Systemen oder Diensten darf während der Tests nicht beeinträchtigt werden. 

• Versuchen Sie nicht, sich Zugang zu Konten oder Zugangsdaten anderer Benutzer zu verschaffen. 

• Alle Aktivitäten müssen im Rahmen der in dieser Richtlinie festgelegten Bestimmungen und Grenzen bleiben. 

Entschädigung 

Mit der Einreichung eines Schwachstellenberichts gemäß dieser Richtlinie verpflichtet sich der Sicherheitsforscher, Addverb, seine verbundenen Unternehmen, leitenden Angestellten, Direktoren, Mitarbeiter und Vertreter von allen Ansprüchen, Schäden, Haftungen, Verlusten, Kosten und Ausgaben (einschließlich Anwaltskosten) freizustellen, zu verteidigen und schadlos zu halten, die sich aus dem Verhalten, den Handlungen oder Unterlassungen des Sicherheitsforschers ergeben oder damit in Zusammenhang stehen, die gegen die Bestimmungen dieser Richtlinie verstoßen, geltende Gesetze verletzen oder Addverb oder Dritten Schaden zufügen. 

Rechtliche Hinweise und Haftungsausschluss 

Addverb behält sich im Falle eines Verstoßes gegen diese Richtlinie alle gesetzlichen Rechte vor, einschließlich des Rechts, strafrechtliche oder zivilrechtliche Verfahren gemäß den geltenden Gesetzen und einschlägigen internationalen Rechtsvorschriften einzuleiten. 

Diese Richtlinie gewährt keine (ausdrückliche oder stillschweigende) Lizenz für den Zugriff auf die Systeme von Addverboder für die Durchführung von Sicherheitstests. Addverb behält sich das Recht vor, diese Richtlinie jederzeit und ohne Vorankündigung zu ändern oder zurückzuziehen. Die Teilnahme begründet kein Vertragsverhältnis zwischen Addverb und dem Sicherheitsforscher. 

Kontaktieren Sie uns 

Alle Fragen, Kommentare oder Meldungen über Sicherheitslücken im Rahmen dieser Richtlinie sollten an [email protected]