Sicherheit
Schwachstelle melden
Wir bauen Software, die Schwachstellen findet. Dass in ihr selbst welche stecken, ist keine Frage des Ob. Wenn Sie eine finden, sagen Sie es uns.
Wohin
kontakt@it-cyberaudit.deMit „Schwachstelle“ im Betreff, auf Deutsch oder Englisch. Hilfreich sind das betroffene Produkt und seine Fassung, wie sich der Zustand herstellen lässt und welche Auswirkung Sie erwarten. Ein Bildschirmfoto oder ein Protokollauszug hilft mehr als eine Einschätzung des Schweregrads.
Was wir zusagen
Eingang binnen drei Werktagen
Wir bestätigen, dass Ihre Meldung angekommen ist. Ohne diese Zusage wüssten Sie nicht, ab wann Sie von Schweigen ausgehen dürfen.
Einschätzung binnen zehn Werktagen
Wir sagen Ihnen, ob wir den Zustand nachstellen konnten und wie wir ihn einordnen.
Ihr Name, wenn Sie wollen
Wir nennen Sie in der Veröffentlichung, wenn Sie es wünschen, und nennen Sie nicht, wenn Sie es nicht wünschen.
Keine rechtlichen Schritte
Wer eine Schwachstelle in gutem Glauben sucht und meldet, ohne fremde Daten abzugreifen, ohne den Betrieb zu stören und ohne die Lücke weiterzugeben, hat von uns nichts zu befürchten.
Was wir nicht zusagen
Keine Prämie. Keine Frist für die Behebung, bevor wir den Fall verstanden haben. Und keine Nachsicht beim Abgreifen fremder Daten, bei Erpressung oder bei Angriffen auf die Umgebung eines Kunden.
Wenn eine Lücke bereits ausgenutzt wird
Dann läuft eine Uhr, und zwar nicht unsere. Ab dem 11. September 2026 verpflichtet der Cyber Resilience Act Hersteller, eine aktiv ausgenutzte Schwachstelle binnen 24 Stunden an das zuständige CSIRT und an die ENISA zu melden, binnen 72 Stunden mit einer ersten Bewertung nachzulegen und binnen eines Monats abzuschließen. Wir halten den Zeitpunkt, an dem wir Kenntnis erlangen, sofort in einer fälschungssicheren Nachweiskette fest, vor jeder technischen Arbeit. Betroffene Kunden erfahren es auf demselben Weg, auf dem sie ihre Befunde bekommen.
Woraus unsere Produkte bestehen
Für jedes Stück Software, das bei Ihnen läuft, führen wir eine Stückliste im Format CycloneDX: die beiden Telemetrie-Agenten, die Prüfsonde und die Gegenstelle, die ihre Meldungen annimmt. Die Agenten bestehen ausschließlich aus eigenem Code und den Bordmitteln Ihres Betriebssystems, die Sonde bindet kein fremdes Go-Modul ein. Kunden erhalten die Listen auf Anfrage.
Diese Seite ist zugleich das Ziel der Angabe Policy in unserer security.txt nach RFC 9116.