Verantwortungsvolle Schwachstellenmeldung

1. Geltungsbereich

Erfasst sind ausdrücklich benannte, öffentlich erreichbare PhiShark-Systeme. Kundensysteme, Drittanbieter, Produktionsdaten, Social Media und physische Standorte sind ohne schriftliche Erlaubnis ausgeschlossen.

2. Forschungsregeln

• Nur eigene Konten/Daten verwenden und beim Kontakt mit fremden Daten stoppen.
• Kein DoS, Social Engineering, Phishing, Malware, Persistenz, massenhafter automatisierter, destruktiver oder physischer Test.
• Nur minimalen Zugriff zum Nachweis; unnötige Daten nicht ändern, laden, behalten oder offenlegen.
• Keine Veröffentlichung, bevor PhiShark angemessen prüfen und beheben konnte.

3. Meldung

Beschreibung, Asset, Schritte, Wirkung und sicheren Nachweis mit Betreff „Security Vulnerability“ an [email protected] senden. Keine aktiven Zugangsdaten, personenbezogenen Daten oder Exploit-Payloads mailen; sicheren Kanal anfordern.

4. Safe Harbor bei gutem Glauben

Bei gutgläubiger Einhaltung leitet PhiShark nicht allein wegen der Forschung rechtliche Schritte ein und klärt Bedenken. Dies erlaubt keine Rechts-/Drittrechtsverletzung und bindet weder Dritte noch Behörden.

5. Reaktion und Anerkennung

Wir wollen Eingang, Schweregrad und wesentliche Fortschritte mitteilen, garantieren aber ohne schriftliche Vereinbarung weder Frist noch Prämie. Duplikate, Spam, rein theoretische, Self-XSS- oder automatisierte Kleinstfunde können ohne Vergütung geschlossen werden.