Schwachstelle melden

Jede Meldung wird gelesen. Es gibt kein Bug-Bounty-Programm und keine zugesagte Reaktionszeit.
Sie können anonym melden. Dann kann ich Ihnen weder antworten noch die korrigierte Fassung schicken.
Wer eine Adresse angibt, bekommt eine Eingangsbestätigung und eine Nachricht, sobald es eine korrigierte Fassung gibt.

Was nicht in die Meldung gehört

Gesprächsaufzeichnungen, Anrufnotizen, Telefonbuchdaten, auch nicht als Beispiel. Beschreiben Sie, welche Art von Daten erreichbar war.
Zugangsdaten Dritter. Nennen Sie, wo sie liegen, nicht welche.
Daten aus einer Anlage, die Ihnen nicht gehört.

Formular

1. Was ist betroffen

Produkt

Fassung, falls bekannt

Steht in der Weboberfläche unter „System“.

2. Was haben Sie gefunden

Beschreibung (nötig)

Was geht, was sollte nicht gehen, und was folgt daraus.

Wie lässt es sich nachvollziehen

3. Zwei Fragen zur Einordnung

Von diesen Antworten hängt ab, ob eine gesetzliche Meldefrist läuft. „Weiß ich nicht“ ist eine gültige Antwort.

Gibt es Hinweise, dass die Lücke bereits ausgenutzt wird?
weiß ich nicht
nein, mir ist nichts bekannt
ja, bitte oben beschreiben, woher

Sind Gesprächsaufzeichnungen, Anrufnotizen oder Telefonbuchdaten erreichbar?
weiß ich nicht
nein
ja

4. Wer meldet (freiwillig)

E-Mail für die Rückmeldung

Wird nur für diesen Vorgang verwendet und nach seinem Abschluss gelöscht.

Name oder Handle

Ich möchte in den Versionshinweisen namentlich genannt werden

5. Kenntnisnahme

Die Meldung wird als Vorgang angelegt und bearbeitet. Mit der Meldung wird Ihre IP-Adresse nicht gespeichert; wie bei jedem Seitenaufruf steht sie 14 Tage im Zugriffsprotokoll des Webservers. Rechtsgrundlage ist das berechtigte Interesse an der Sicherheit des Produkts (Art. 6 Abs. 1 lit. f DSGVO). Löst die Meldung eine gesetzliche Meldepflicht aus, gehen nur die technischen Angaben an die zuständigen Stellen, Ihr Name und Ihre Adresse nur auf Ihren Wunsch. Kontaktdaten werden nach Abschluss des Vorgangs gelöscht. Einzelheiten in der Datenschutzerklärung.

Gelesen (nötig)

Per E-Mail

An security@loichis.de, gern mit Anhängen. Sie bekommen eine Eingangsbestätigung mit Vorgangsnummer. Ergänzungen und Rückfragen schicken Sie als Antwort darauf; sie landen beim selben Vorgang.

Verschlüsselt mit OpenPGP (Ed25519), Fingerabdruck 054D 3BA6 A2B5 D1EA 0913 EBDE 940B F4D6 B5CE AF75, gültig bis 24.08.2028. Er liegt im Web Key Directory; gpg --locate-keys security@loichis.de holt ihn von selbst. Die Kontaktdaten stehen auch in security.txt.