security.txt und Richtlinie zur Meldung von Sicherheitslücken

1. Inhalt /.well-known/security.txt

# Sicherheitskontakt für WerkstattKlar ([[FIRMA]])
# Security contact for WerkstattKlar

Contact: mailto:[[EMAIL-SICHERHEIT]]
Expires: [[SECURITY-EXPIRES]]
Encryption: [[PGP-SCHLUESSEL-URL]]
Preferred-Languages: de, en
Canonical: https://[[DOMAIN]]/.well-known/security.txt
Policy: https://[[DOMAIN]]/sicherheit

Hinweise:

• Expires im Format nach RFC 3339, z. B. 2027-09-28T23:00:00.000Z.
• Die Zeile Encryption entfällt, wenn kein Schlüssel veröffentlicht wird.
• Keine Felder Acknowledgments oder Hiring, solange es keine entsprechende Seite gibt.

2. Richtlinie zur Meldung von Sicherheitslücken (Veröffentlichung unter /sicherheit)

Sicherheitslücke gefunden?

Wir nehmen die Sicherheit von WerkstattKlar und der Daten unserer Kunden ernst und freuen uns über Hinweise. Bitte melden Sie vermutete Schwachstellen an [[EMAIL-SICHERHEIT]].

Was in eine Meldung gehört

• betroffene Adresse bzw. Funktion,
• Beschreibung der Schwachstelle und ihrer möglichen Auswirkung,
• Schritte zur Nachvollziehbarkeit (Proof of Concept),
• Ihre Kontaktmöglichkeit für Rückfragen (optional; anonyme Meldungen sind möglich).

Unsere Zusagen

• Wir bestätigen den Eingang innerhalb von 3 Werktagen.
• Wir halten Sie über den Stand der Bearbeitung auf dem Laufenden.
• Wir behandeln Ihre Meldung vertraulich und geben Ihre Daten nicht ohne Ihre Zustimmung weiter.
• Wenn Sie sich an diese Richtlinie halten, sehen wir von rechtlichen Schritten gegen Sie ab. ⚠ PRÜFEN: Reichweite dieser Zusage (Strafantrag, zivilrechtliche Ansprüche; § 202a ff. StGB bleibt Offizialdelikt).
• Auf Wunsch nennen wir Sie nach Behebung als Finder.

Ein Bug-Bounty-Programm mit Geldprämien bieten wir derzeit nicht an.

Regeln für Tests

Bitte

• greifen Sie nur auf Daten zu, die zum Nachweis der Schwachstelle unbedingt nötig sind, und nur auf Ihre eigenen Konten. Speichern oder verbreiten Sie keine fremden Daten und löschen Sie versehentlich erlangte Daten unverzüglich;
• verwenden Sie keine fremden Portal-Links und probieren Sie keine Zugangslinks durch (Brute Force);
• führen Sie keine Denial-of-Service-Angriffe, Lasttests, Spam-Versand, Social Engineering oder physischen Angriffe durch;
• verändern oder löschen Sie keine Daten und installieren Sie keine dauerhaften Zugänge;
• testen Sie nicht die Infrastruktur unserer Dienstleister (Vercel, Supabase, E-Mail-Anbieter); dafür gelten deren eigene Programme;
• geben Sie uns eine angemessene Frist zur Behebung (in der Regel 90 Tage), bevor Sie Informationen veröffentlichen.

Nicht im Umfang

• Berichte automatisierter Scanner ohne nachgewiesene Auswirkung,
• fehlende Sicherheits-Header ohne konkreten Angriffsweg,
• Clickjacking auf Seiten ohne sensible Aktionen,
• Rate-Limit-Hinweise ohne Nachweis eines Schadens,
• Selbst-XSS,
• Schwachstellen in veralteten Browsern.