Richtlinie zur koordinierten Offenlegung von Sicherheitslücken – Naraplex

1. Geltungsbereich

Im Geltungsbereich (ausschließlich von uns selbst betrieben):

• naraplex.ai
• www.naraplex.ai

Nicht im Geltungsbereich:

• Installationen der Naraplex-Plattform bei unseren Kunden, einschließlich der Agenten und der daran angebundenen Unternehmenssysteme
• Dienste Dritter, die unter unseren Domains eingebunden sind (z. B. per CNAME), sowie die Infrastruktur unserer Hosting- und Cloud-Anbieter als solche
• Die zugrunde liegenden KI-Modelle von Drittanbietern; Schwachstellen in diesen Modellen melden Sie bitte direkt beim jeweiligen Anbieter
• Physische Angriffe sowie Social Engineering gegenüber unseren Mitarbeitenden, Dienstleistern oder Kunden

Haben Sie im Auftrag oder mit ausdrücklicher Erlaubnis eines Kunden eine Schwachstelle in der Naraplex-Software gefunden, nehmen wir Ihre Meldung gern über den unten genannten Meldeweg entgegen. Die Erlaubnis zum Testen einer Kundeninstallation kann jedoch nur der jeweilige Kunde erteilen, nicht diese Richtlinie.

Hinweise auf verwaiste DNS-Einträge (Subdomain-Takeover) nehmen wir entgegen. Weisen Sie diese bitte nur nach, ohne Inhalte zu veröffentlichen.

2. Relevante und nicht relevante Befunde

Besonders interessiert sind wir an:

• Injection-Schwachstellen, Cross-Site-Scripting (XSS), Server-Side Request Forgery (SSRF)
• Schwachstellen in Formularen, die zum Abfluss oder zur Manipulation übermittelter Daten führen
• Offenlegung von Zugangsdaten, Schlüsseln, Konfigurationsdateien oder internen Informationen
• Möglichkeiten, Inhalte der Website unbefugt zu verändern oder Besucher auf fremde Seiten umzuleiten

Keine Sicherheitslücke im Sinne dieser Richtlinie:

• Fehlende Sicherheits-Header ohne nachgewiesene Auswirkung
• Clickjacking auf Seiten ohne sensible Aktionen
• Self-XSS
• Hinweise zu SPF, DKIM oder DMARC
• Angaben zu Software-Versionen ohne nachgewiesene Ausnutzbarkeit
• Fehlende Ratenbegrenzung ohne nachgewiesene Auswirkung
• Ungeprüfte Ausgaben automatisierter Scanner

3. Regeln für Tests

• Beeinträchtigen Sie nicht die Verfügbarkeit unserer Systeme (kein DoS/DDoS). Beschränken Sie automatisierte Anfragen auf höchstens 5 pro Sekunde.
• Senden Sie über Formulare der Website keine Massen- oder Spam-Einträge.
• Nutzen Sie eine Schwachstelle nur so weit, wie es für den Nachweis zwingend erforderlich ist. Keine Persistenz, keine Hintertüren, keine Ausweitung auf weitere Systeme.
• Verwenden Sie gefundene Zugangsdaten, Tokens oder Schlüssel nicht, sondern melden Sie sie.
• Erhalten Sie Zugriff auf fremde Daten, beenden Sie den Test sofort, löschen Sie alle lokalen Kopien, melden Sie den Fund unverzüglich und bestätigen Sie die Löschung auf unsere Anfrage.
• Verändern oder löschen Sie keine Daten, die Ihnen nicht gehören.
• Geben Sie Informationen zur Schwachstelle vor Ende der Koordination nicht an Dritte weiter.
• Wenn Sie unsicher sind, ob eine Handlung erlaubt ist, fragen Sie uns vorher unter security@isento.de.

4. Rechtssicherheit (Safe Harbor)

Wenn Sie (a) ausschließlich Systeme im Geltungsbereich untersuchen, (b) die Regeln in Abschnitt 3 einhalten, (c) keine Gegenleistung fordern und (d) keine Details vor Ende der Koordinationsfrist veröffentlichen oder an Dritte weitergeben, gilt Folgendes:

• Wir willigen in Ihre Untersuchung im Rahmen dieser Richtlinie ein. Insoweit betrachten wir Ihren Zugriff nicht als unbefugt im Sinne der §§ 202a, 202b, 303a und 303b StGB.
• Wir stellen keinen Strafantrag, erstatten keine Strafanzeige und machen keine zivilrechtlichen Ansprüche gegen Sie geltend, auch nicht aus unseren Nutzungsbedingungen.
• Gehen Dritte gegen Sie vor, bestätigen wir auf Anfrage schriftlich, dass Sie im Rahmen dieser Richtlinie gehandelt haben.

Bitte beachten Sie: Ermittlungen von Strafverfolgungsbehörden, Ansprüche Dritter sowie Rechte betroffener Personen nach der DSGVO können wir nicht ausschließen. Für Systeme außerhalb des Geltungsbereichs, insbesondere Installationen bei Kunden, können wir keine Einwilligung erteilen.

5. Keine Vergütung

Wir betreiben derzeit kein Bug-Bounty-Programm und zahlen keine Vergütung. Meldungen, die mit einer Zahlungsforderung oder der Drohung mit Veröffentlichung verbunden sind, fallen nicht unter diese Richtlinie.

6. Meldeweg

• E-Mail:security@isento.de(vorzugsweise verschlüsselt; PGP-Schlüssel:/.well-known/pgp-key.txt)
• Sprache: Deutsch oder Englisch

Bitte geben Sie an:

• Beschreibung der Schwachstelle und ihrer möglichen Auswirkungen
• Reproduzierbare Schritte, betroffene URLs und Parameter
• Zeitpunkt Ihrer Tests (UTC) und, falls verwendet, Ihre Quell-IP-Adresse(n), damit wir Ihre Tests in unseren Protokollen zuordnen können

Unsere Zusagen:

• Eingangsbestätigung: innerhalb von 3 Werktagen
• Erste Einschätzung: innerhalb von 10 Werktagen
• Statusmeldungen: mindestens alle 10 Werktage bis zur Behebung

7. Koordinierte Veröffentlichung

• Die Koordinationsfrist beträgt 90 Kalendertage ab unserer Eingangsbestätigung.
• Ist die Schwachstelle früher behoben, stimmen wir den Veröffentlichungszeitpunkt mit Ihnen ab.
• Eine Verlängerung ist nur einvernehmlich und mit Begründung möglich. Können wir die Frist nicht einhalten, informieren wir Sie vorher.
• Sind Kunden betroffen, informieren wir diese vor einer Veröffentlichung.
• Auf Wunsch und mit Ihrer Einwilligung nennen wir Ihren Namen oder Ihr Pseudonym auf unserer Danksagungsseite.

8. Datenschutz

Personenbezogene Daten, die Sie uns mit einer Meldung übermitteln, verarbeiten wir ausschließlich zur Bearbeitung der Meldung und zur Kommunikation mit Ihnen. Einzelheiten finden Sie in unserer Datenschutzerklärung unter /datenschutz.

9. Schlussbestimmungen

Es gilt deutsches Recht. Diese Richtlinie liegt auf Deutsch und Englisch vor; maßgeblich ist die deutsche Fassung. Wir können diese Richtlinie ändern; für bereits eingegangene Meldungen gilt die Fassung zum Zeitpunkt der Meldung.