Richtlinie zur Offenlegung von Schwachstellen

1. Geltungsbereich

Diese Richtlinie gilt für öffentliche Websites, gehostete Anwendungen und APIs, die von Sytance Technologies Limited betrieben werden und auf diese Seite verlinken. Dazu zählt auch der Sytance-Dienst.

Kundenumgebungen, von Kunden verwaltete Systeme, Dienste Dritter, Integrationen, nicht von uns betreute Open-Source-Projekte sowie Infrastrukturen, die wir weder besitzen noch kontrollieren, sind ausgeschlossen. Eine von Sytance verwendete Komponente eines Drittanbieters fällt nur insoweit in den Geltungsbereich, als Ihre Meldung ihre Auswirkungen auf einen von Sytance betriebenen Dienst betrifft.

Ist unklar, wem ein System gehört oder ob es in den Geltungsbereich fällt, wenden Sie sich an security@sytance.com und warten Sie auf eine Bestätigung, bevor Sie fortfahren.

2. Genehmigte Sicherheitsforschung nach Treu und Glauben

Sicherheitsforschung ist nach dieser Richtlinie nur genehmigt, wenn sie nach Treu und Glauben, innerhalb des Geltungsbereichs und gemäß den nachstehenden Regeln erfolgt und sich auf das vernünftigerweise erforderliche Maß beschränkt, um eine vermutete Schwachstelle zu bestätigen und zu melden.

• Verwenden Sie nur Konten und Daten, die Ihnen gehören oder für deren Nutzung Sie eine Erlaubnis haben.
• Führen Sie nur die zur Bestätigung erforderlichen Tests durch und halten Sie die Zahl der Anfragen so niedrig, dass der Dienst und andere Nutzende nicht beeinträchtigt werden.
• Brechen Sie die Tests sofort ab, wenn Sie auf Daten, Zugangsdaten oder vertrauliche Informationen einer anderen Person stoßen.
• Bewahren Sie Daten nicht in großem Umfang auf, verändern oder löschen Sie sie nicht, legen Sie sie nicht offen und laden Sie sie nicht massenhaft herunter.
• Richten Sie keine dauerhaften Zugänge oder Persistenzmechanismen ein, spielen Sie keine Schadsoftware ein und verwenden Sie eine Schwachstelle ausschließlich zu ihrer Validierung und Meldung.
• Melden Sie das Problem zeitnah, behandeln Sie Einzelheiten vertraulich und geben Sie uns eine angemessene Gelegenheit, es zu untersuchen und zu beheben.

3. Unzulässige Tests

• Denial-of-Service-Tests sowie Last-, Belastungs- und Ressourcenerschöpfungstests.
• Social Engineering, Phishing, Credential Stuffing oder Password Spraying.
• Physische Angriffe oder Tests von Einrichtungen und Infrastruktur Dritter.
• Zerstörerische Aktivitäten, Datenbeschädigung, massenhafte Kontoerstellung oder automatisierte Scans mit hohem Anfragevolumen.
• Tests, die gegen Gesetze oder Rechte anderer Personen verstoßen.
• Drohungen, Erpressung oder Zahlungsforderungen.

4. Angaben für eine Meldung

Eine knappe Meldung mit Reproduktionsschritten hilft uns, das Problem sicher zu bewerten und schneller zu antworten. Geben Sie, soweit verfügbar, Folgendes an:

• Die betroffene Domain, URL, API-Route, Funktion oder Komponente.
• Eine klare Beschreibung der Schwachstelle und ihrer möglichen Auswirkungen.
• Reproduktionsschritte mit einem Testkonto und bereinigten Daten.
• Einen minimalen Machbarkeitsnachweis, Anfrage und Antwort, Screenshot oder relevanten Protokollauszug.
• Voraussetzungen und getroffene Sicherheitsvorkehrungen.
• Ihre bevorzugten Kontaktdaten.

5. Reaktionsziele

Wir bemühen uns, den Eingang einer ausreichend vollständigen Meldung innerhalb von drei Geschäftstagen zu bestätigen und innerhalb von zehn Geschäftstagen erste Ergebnisse der Bewertung mitzuteilen. Solange ein bestätigtes Problem aktiv untersucht wird, informieren wir nach Möglichkeit mindestens alle zehn Geschäftstage über wesentliche Fortschritte, sofern die meldende Person gültige Kontaktdaten angegeben hat.

Ein Geschäftstag ist Montag bis Freitag, ausgenommen gesetzliche Feiertage in Hongkong. Diese Angaben sind Kommunikationsziele und keine garantierten Behebungsfristen. Eine unvollständige Meldung, ein hohes Meldeaufkommen, außergewöhnliche technische Komplexität oder die Abhängigkeit von Dritten können den Zeitplan verlängern. Soweit praktikabel, teilen wir dann eine angepasste Erwartung mit.

6. So bearbeiten wir eine Meldung

• Eingang und Nachverfolgung – Wir erfassen die Meldung, prüfen, ob das betroffene System in den Geltungsbereich fällt, und richten einen Kontaktkanal zur meldenden Person ein.
• Triage und Reproduktion – Wir bewerten die übermittelten Informationen, versuchen das Verhalten zu reproduzieren, führen Duplikate zusammen und bitten bei Bedarf um Klarstellungen.
• Risikobewertung und Priorisierung – Wird die Schwachstelle bestätigt, bewerten wir Schweregrad, Ausnutzbarkeit, betroffene Daten und Nutzende, Exposition, kompensierende Maßnahmen und Hinweise auf eine aktive Ausnutzung.
• Behebung und Verifikation – Das zuständige Team entwickelt eine Abhilfemaßnahme oder Korrektur, testet sie, berücksichtigt relevante Freigabe- oder Drittanbieterabhängigkeiten und verifiziert das Ergebnis.
• Abschluss und Offenlegung – Wir teilen der meldenden Person das mitteilbare Ergebnis mit, koordinieren eine mögliche öffentliche Offenlegung und prüfen, ob ein Sicherheitshinweis oder eine Würdigung angemessen ist.

7. Schutz für gutgläubige Sicherheitsforschung

Bemühen Sie sich nach Treu und Glauben, diese Richtlinie einzuhalten, behandeln wir Ihre Forschung insoweit als genehmigt, wie wir diese Genehmigung rechtmäßig erteilen können. Wegen eines versehentlichen, gutgläubigen Verhaltens innerhalb des Geltungsbereichs leiten wir allein deshalb keine rechtlichen Schritte ein.

Leitet ein Dritter wegen einer richtlinienkonformen Aktivität rechtliche Schritte ein, können wir bestätigen, dass diese im Rahmen unseres Verfahrens zur Offenlegung von Schwachstellen durchgeführt wurde. Wir können keine Aktivitäten im Namen einer anderen Organisation genehmigen und nicht zusagen, wie ein Dritter oder eine Behörde reagieren wird.

Dieser Schutz genehmigt weder rechtswidriges, leichtfertiges, böswilliges oder erpresserisches Verhalten noch hebt er Rechte anderer Personen auf. Er gilt auch nicht für Verhalten, das fortgesetzt wird, nachdem wir Sie zum Abbruch aufgefordert haben.

8. Koordinierte Offenlegung und Anerkennung

Behandeln Sie eine vermutete Schwachstelle, Machbarkeitsnachweise, Informationen zu betroffenen Kunden und Angaben zur Behebung während unserer Untersuchung vertraulich. Nach Bestätigung einer ausreichend vollständigen Meldung streben wir normalerweise eine koordinierte Offenlegung innerhalb von 90 Kalendertagen an. Kontaktieren Sie uns vor einer Veröffentlichung, damit wir den technischen Umfang und einen Termin abstimmen können, der Nutzenden Zeit gibt, sich zu schützen.

Je nach Schweregrad, aktiver Ausnutzung, Kundenrisiko, Freigabebereitschaft und betroffenen Dritten kann ein geeigneter Offenlegungstermin früher oder später liegen. Wir bitten nicht allein deshalb um eine Verlängerung, um uns einer kritischen Prüfung zu entziehen. Wenn mehr Zeit nötig ist, erläutern wir den sicher mitteilbaren Grund.

Wenn eine Offenlegung Nutzenden beim Selbstschutz hilft, können wir einen Sicherheitshinweis veröffentlichen. Bevor wir die meldende Person nennen, stimmen wir die Namensnennung mit ihr ab.

Diese Richtlinie ist kein Bug-Bounty-Programm und begründet keinen Anspruch auf Zahlung, Belohnung, Beschäftigung oder sonstige Vergütung.