Sicherheitslücken verantwortungsvoll melden.

1 Sicherheitskontakt

2 Scope

• Authentifizierungs- oder Autorisierungsfehler;
• API-/Web-Schwachstellen;
• Datenexposition oder Mandanten-/Family-/Team-Trennungsfehler;
• Band-/Hub-/BLE-/Firmware-Sicherheitsprobleme;
• Secret-/Token-Leaks;
• Supply-Chain-/Dependency-Risiken mit konkretem Fleeny-Bezug.

3 Nicht erlaubt ohne ausdrückliche Genehmigung

• DoS/DDoS oder Lasttests gegen Produktion;
• Social Engineering oder Phishing gegen Mitarbeitende oder Nutzer;
• physischer Zutritt, Diebstahl oder Manipulation fremder Geräte;
• Zugriff auf Daten anderer Personen über das für den Nachweis absolut Erforderliche hinaus;
• Löschen oder Verändern von Produktionsdaten;
• automatisiertes Massenscanning, das Betrieb oder Nutzer beeinträchtigt;
• Veröffentlichung personenbezogener Daten oder Secrets.

4 So sollte eine Meldung aussehen

1. Problem verständlich beschreiben und betroffene URL/API/Version/Gerät nennen.
2. Minimalen reproduzierbaren Nachweis und mögliche Auswirkung senden.
3. Keine unnötigen personenbezogenen Daten oder Secrets beilegen.
4. Fleeny bestätigt Eingang und triagiert Schweregrad und Scope.
5. Fleeny koordiniert Fix, Retest und gegebenenfalls abgestimmte Offenlegung.

5 Koordinierte Offenlegung

Wir bitten darum, Details nicht zu veröffentlichen, bevor eine angemessene Triage und Behebung möglich war. Eine weitergehende Safe-Harbor-Zusage gilt nur, wenn sie ausdrücklich im final freigegebenen Wortlaut und Scope bestätigt wurde.

6 Datenschutz bei Meldungen

Bitte keine Gesundheitsdaten, fremden Kontoinhalte, vollständigen Tokens, privaten Schlüssel oder andere Secrets senden, wenn sie für den Nachweis nicht zwingend erforderlich sind. Falls sensible Daten unvermeidbar sind, kontaktieren Sie uns zuerst zur Abstimmung eines geeigneten Übertragungswegs.