Richtlinie zur Meldung von Sicherheitslücken

Diese deutsche Fassung ist eine zur Information bereitgestellte Übersetzung. Bei Abweichungen ist die türkische Fassung maßgeblich. Die rechtliche Prüfung dieses Dokuments steht noch aus.

Diese Richtlinie erläutert, wie Sie eine Sicherheitslücke melden können, die Sie in EnaTTO oder den zugehörigen Diensten finden. Wir schätzen die in gutem Glauben geleistete Arbeit von Sicherheitsforschenden und nehmen jede Meldung ernst. Da Organisationen mit EnaTTO vertrauliche Erfindungsmeldungen und unveröffentlichte Forschungsergebnisse verwalten, sind diese Meldungen für uns von besonderer Bedeutung.

1. So melden Sie eine SicherheitslückeLink kopieren

Senden Sie Ihre Meldung an support@enainnovation.com. Geben Sie nach Möglichkeit Folgendes an:

• die Art der Sicherheitslücke und die betroffene Adresse, Anwendung oder Version
• eine Schritt-für-Schritt-Anleitung zur Reproduktion
• einen Machbarkeitsnachweis (Screenshot, Beispielanfrage/-antwort, kurzes Video)
• eine Einschätzung der voraussichtlichen Auswirkungen, zum Beispiel ob eine Person Datensätze oberhalb ihrer Vertraulichkeitsklasse einsehen könnte
• einen Vorschlag zur Behebung, falls vorhanden
• wie wir Sie erreichen können

Sie können auf Türkisch, Englisch oder Deutsch schreiben. Bitte machen Sie die Sicherheitslücke weder öffentlich noch Dritten bekannt, bevor sie behoben ist. Fügen Sie Ihrer Meldung keine echten personenbezogenen Daten und keine echten Erfindungsinhalte bei.

2. GeltungsbereichLink kopieren

Erfasste Systeme:

Nicht erfasst:

• Domains und Dienste von ENA Innovation, die oben nicht aufgeführt sind. Sie können auch hierzu Befunde melden, die Zusicherungen in Abschnitt 4 gelten jedoch nur für erfasste Systeme.
• Dienste und Infrastruktur Dritter (zum Beispiel Cloud-Hosting, der Netzwerkschutzdienst, der Identitätsdienst, E-Mail-Anbieter, der KI-Anbieter, ORCID, OpenAlex, Crossref und das Europäische Patentamt). Melden Sie Sicherheitslücken in diesen Diensten dem jeweiligen Anbieter.
• Denial-of-Service (DoS/DDoS), Lasttests und Tests mit hohem Volumen, die Ratenbegrenzungen ausreizen
• Social Engineering, Phishing und Versuche, die sich gegen Beschäftigte von ENA Innovation, Kundenorganisationen, Erfinderinnen und Erfinder oder andere Nutzer richten
• Physische Angriffe
• Ausgaben automatisierter Scanner, die ohne nachgewiesene Ausnutzbarkeit eingereicht werden
• Fehlende oder schwache Sicherheits-Header, Offenlegung von Versionsangaben oder Vorschläge zur SPF/DKIM/DMARC-Konfiguration ohne konkretes Angriffsszenario
• Clickjacking auf Seiten ohne sensible Aktionen, Logout-CSRF und Self-XSS
• Befunde, die physischen Zugriff, ein gerootetes bzw. per Jailbreak entsperrtes Gerät oder einen veralteten Browser voraussetzen

3. RegelnLink kopieren

Während Ihrer Untersuchung gilt:

• Nutzen Sie ausschließlich eine Testumgebung, die Ihnen ausdrücklich zur Verfügung gestellt wurde. Eine Testumgebung können Sie unter support@enainnovation.com anfordern.
• Greifen Sie nicht auf Daten in echten Organisationsumgebungen zu und ändern oder löschen Sie diese nicht. Tun Sie nur das Mindestmaß, das zum Nachweis der Sicherheitslücke erforderlich ist.
• Reichen Sie keine Testeinträge über die öffentlichen Formulare echter Organisationen ein und versuchen Sie nicht, Zertifikatscodes, Bestätigungslinks oder Einladungslinks in großem Umfang zu erraten.
• Gelangen Sie unbeabsichtigt an personenbezogene Daten, Erfindungsinhalte oder Daten einer anderen Organisation, brechen Sie ab, kopieren oder behalten Sie die Daten nicht, informieren Sie uns unverzüglich und löschen Sie alle Kopien, die sich in Ihrem Besitz befinden.
• Führen Sie keine Tests durch, die die Verfügbarkeit oder Leistung des Dienstes beeinträchtigen.
• Senden Sie keine Testdaten an echte Benachrichtigungskanäle (E-Mail).
• Richten Sie auf einem System, zu dem Sie Zugang erlangen, keine dauerhafte Präsenz ein, erweitern Sie Berechtigungen nicht über das Erforderliche hinaus und bewegen Sie sich nicht auf andere Systeme weiter.
• Geben Sie die Sicherheitslücke nicht weiter, bevor sie behoben ist oder bevor der mit uns vereinbarte Zeitpunkt erreicht ist.

4. Safe HarborLink kopieren

Für Untersuchungen, die in gutem Glauben und im Einklang mit dieser Richtlinie durchgeführt werden,

• betrachtet ENA Innovation Ihre Untersuchung als autorisiert,
• wird ENA Innovation keine rechtlichen Schritte gegen Sie einleiten und keine Anzeige gegen Sie erstatten,
• wird ENA Innovation, falls ein Dritter wegen Ihrer Untersuchung gegen Sie vorgeht, erklären, dass Sie im Einklang mit dieser Richtlinie gehandelt haben.

Diese Zusicherung beschränkt sich auf die eigenen Rechte von ENA Innovation. ENA Innovation kann keine Zusagen in Bezug auf Maßnahmen von Behörden oder Dritten machen. Wenn Sie unsicher sind, ob eine Tätigkeit mit dieser Richtlinie vereinbar ist, fragen Sie uns, bevor Sie beginnen.

5. Unsere ReaktionszieleLink kopieren

Bestätigte Sicherheitslücken priorisieren wir nach Schweregrad. Unsere Ziele für die Behebung sind:

Diese Fristen sind Zielwerte, keine Zusagen. Komplexe Probleme oder Korrekturen, die von Komponenten Dritter abhängen, können länger dauern; in diesem Fall halten wir Sie auf dem Laufenden.

Betraf eine Sicherheitslücke personenbezogene Daten oder vertrauliche Datensätze in Organisationsumgebungen, informieren wir die betroffenen Organisationen nach Maßgabe des Auftragsverarbeitungsvertrags.

6. Koordinierte OffenlegungLink kopieren

Wenn Sie die Sicherheitslücke öffentlich bekannt machen möchten, tun Sie dies nach Veröffentlichung der Korrektur und zu dem mit uns vereinbarten Zeitpunkt. Standardmäßig schlagen wir 90 Tage nach Ihrer Meldung vor. Ihre Veröffentlichung darf keine Kundendaten, keine Erfindungsinhalte und keine personenbezogenen Daten enthalten.

7. Anerkennung und PrämienLink kopieren

ENA Innovation betreibt derzeit kein bezahltes Bug-Bounty-Programm. Für gültige Meldungen im Geltungsbereich können wir Sie mit Ihrer Zustimmung in unserer Danksagungsliste namentlich nennen.

8. KontaktLink kopieren

Diese Richtlinie wird auf Türkisch, Englisch und Deutsch veröffentlicht. Bei Abweichungen ist die türkische Fassung maßgeblich.