Sicherheitslücke melden

Sie haben eine Schwachstelle in Symiko gefunden? Dann möchten wir davon erfahren – bevor jemand sie ausnutzt. Diese Richtlinie beschreibt, wie Sie uns Schwachstellen melden, was Sie von uns erwarten können und unter welchen Bedingungen wir Ihre Sicherheitsforschung nicht verfolgen.

Sie gilt für die Website und Web-App unter symiko.de mit ihren Schnittstellen sowie für die Symiko-Apps für iOS und Android, die Stempeluhr und den Bildschirm-Player. Dienste anderer Anbieter, die wir nutzen (etwa Hosting, Datenbank oder Maildienst), gehören nicht dazu; Schwachstellen dort melden Sie bitte dem jeweiligen Anbieter.

Schreiben Sie bitte an hello@symiko.de mit dem Betreff „Sicherheit“. Die Kontaktdaten stehen auch maschinenlesbar unter /.well-known/security.txt.

Einen eigenen verschlüsselten Kanal (etwa PGP) bieten wir derzeit nicht an. Bitte schicken Sie deshalb keine personenbezogenen Daten Dritter, Passwörter oder Schlüssel mit – eine Beschreibung, wie sich der Fund nachvollziehen lässt, genügt. Brauchen Sie für weitere Unterlagen einen sicheren Weg, vereinbaren wir ihn mit Ihnen.

• eine Beschreibung der Schwachstelle und ihrer möglichen Auswirkungen,
• die Schritte, mit denen sie sich nachvollziehen lässt (gern mit Beispielanfrage oder Proof of Concept),
• die betroffene Adresse (URL) oder Schnittstelle, bei Apps die Plattform, App-Version und das Gerät,
• den Zeitpunkt Ihrer Tests und eine Kontaktmöglichkeit für Rückfragen.

• Wir bestätigen den Eingang Ihrer Meldung innerhalb von drei Werktagen.
• Wir prüfen die Meldung, teilen Ihnen unsere Einschätzung mit und halten Sie über die Behebung auf dem Laufenden.
• Wir beheben bestätigte Schwachstellen so schnell wie möglich, je nach Schwere vorrangig.
• Den Zeitpunkt einer Veröffentlichung stimmen wir mit Ihnen ab. Wenn Sie möchten, nennen wir Sie dabei als Finderin oder Finder.
• Eine Prämie (Bug Bounty) zahlen wir derzeit nicht.

Wenn Sie in gutem Glauben handeln und die folgenden Regeln einhalten, leiten wir keine rechtlichen Schritte gegen Sie ein, erstatten keine Strafanzeige und stellen keinen Strafantrag:

• Sie greifen nur so weit auf Daten zu, wie es für den Nachweis der Schwachstelle nötig ist. Sie verändern, kopieren oder löschen keine fremden Daten. Stoßen Sie auf personenbezogene Daten, brechen Sie ab, behalten nichts davon und informieren uns sofort.
• Sie beeinträchtigen den Betrieb nicht: keine Überlastungs- oder Denial-of-Service-Tests, kein massenhaftes automatisiertes Abfragen und keine Massen-Mails, etwa über unsere Formulare.
• Sie setzen kein Social Engineering ein (zum Beispiel Phishing oder Anrufe), greifen keine Räume oder Geräte an und richten sich nicht gegen unsere Kunden, deren Beschäftigte oder unsere Dienstleister.
• Sie verwenden nur eigene Testzugänge, keine fremden Konten. Symiko hat keine offene Registrierung – wenn Sie einen Testzugang brauchen, schreiben Sie uns.
• Sie melden die Schwachstelle umgehend und nur an uns.
• Sie behandeln die Schwachstelle vertraulich, bis sie behoben ist oder wir eine Veröffentlichung mit Ihnen abgestimmt haben, und knüpfen Ihre Meldung an keine Forderungen.

Diese Zusage gilt für Symiko. Für Rechte Dritter – etwa unserer Kunden oder Dienstleister – können wir nicht sprechen; sollten Dritte gegen Sie vorgehen, machen wir auf Wunsch deutlich, dass Sie im Rahmen dieser Richtlinie gehandelt haben.

Sicherheitsupdates für unsere Apps verteilen wir ausschließlich über den App Store von Apple und Google Play. Bitte installieren Sie Updates zeitnah, am besten mit automatischen Updates. Die Web-App unter symiko.de aktualisieren wir selbst; dort müssen Sie nichts tun.

Aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden wir, soweit gesetzlich vorgeschrieben, den zuständigen Stellen – etwa nach der Cyberresilienz-Verordnung (EU) 2024/2847 über die einheitliche Meldeplattform der ENISA. Betrifft ein Vorfall personenbezogene Daten, informieren wir unsere Kunden als Verantwortliche unverzüglich, damit sie ihren eigenen Meldepflichten nachkommen können (Art. 33 DSGVO).

E-Mail: hello@symiko.de
Sprachen: Deutsch und Englisch

Rechtswidrige Inhalte melden Sie bitte über das Meldeformular. Die Anschrift steht im Impressum.