Sicherheit
Du hast eine Sicherheitslücke im Problemmelder gefunden? Danke, dass Du uns Bescheid gibst! Hier steht, wie Du sie meldest, welche Regeln gelten und worauf Du Dich verlassen kannst.
1. So meldest Du eine Lücke
Schreib uns eine E-Mail an security@eschweiler-melder.de. Hilfreich sind:
- welche Seite oder Schnittstelle betroffen ist,
- die Schritte, mit denen wir die Lücke nachvollziehen können,
- was jemand damit anrichten könnte,
- wie wir Dich für Rückfragen erreichen.
Bitte schick uns keine personenbezogenen Daten anderer Menschen, auf die Du dabei gestoßen bist – eine Beschreibung reicht. Du kannst uns auch anonym schreiben.
2. Was Du von uns erwarten kannst
Der Problemmelder wird ehrenamtlich von der SPD Eschweiler betreut. Trotzdem versprechen wir:
- Wir bestätigen den Eingang Deiner Meldung in der Regel innerhalb einer Woche.
- Wir prüfen die Lücke, halten Dich über den Stand auf dem Laufenden und sagen Dir Bescheid, wenn sie geschlossen ist.
- Wir behandeln Deine Meldung und Deine Kontaktdaten vertraulich und geben sie nicht ohne Deine Zustimmung weiter.
Geldprämien zahlen wir nicht.
3. Safe Harbor
Wenn Du in guter Absicht handelst und Dich an die Regeln unter Punkt 4 hältst,
- sehen wir Deine Untersuchung als von uns gestattet an,
- erstatten wir keine Strafanzeige und stellen keinen Strafantrag gegen Dich, etwa wegen §§ 202a ff., 303a oder 303b StGB,
- gehen wir nicht zivilrechtlich gegen Dich vor,
- machen wir deutlich, dass Du im Einklang mit diesen Regeln gehandelt hast, falls andere rechtliche Schritte gegen Dich einleiten.
Diese Zusage gilt für den Problemmelder. Für Dienste anderer Anbieter (siehe Punkt 5) und für Behörden können wir keine Erlaubnis erteilen. Bist Du unsicher, ob etwas noch erlaubt ist, frag uns bitte vorher.
4. Regeln
- Teste nur so weit, wie es nötig ist, um die Lücke nachzuweisen. Stößt Du auf personenbezogene Daten – etwa Namen oder E-Mail-Adressen von Meldenden –, hör sofort auf, speichere nichts davon und melde Dich bei uns.
- Lösche alle Daten aus dem Problemmelder, die Du erhalten hast, sobald Du sie für Deine Meldung nicht mehr brauchst.
- Verändere oder lösche keine Daten, die nicht Dir gehören, und nutze keine fremden Zugänge über den Nachweis hinaus.
- Keine Angriffe auf die Verfügbarkeit: keine Überlastungs- oder DoS-Tests, keine massenhaften automatisierten Scans und kein Durchprobieren von Passwörtern. Der Problemmelder läuft auf einem kleinen Server.
- Testmeldungen bitte nur wenige und mit „TEST“ im Titel – jede Meldung landet per E-Mail bei unserem Team. Lade keine echte Schadsoftware hoch.
- Kein Social Engineering (z. B. Phishing) gegen Mitglieder, Team oder Meldende und keine Angriffe auf Gebäude oder Geräte.
- Gib uns Zeit: Veröffentliche Details erst, wenn die Lücke geschlossen ist, spätestens aber 90 Tage nach Deiner Meldung. Einen anderen Zeitpunkt sprechen wir gern mit Dir ab.
- Knüpfe Deine Meldung nicht an Forderungen.
5. Was dazugehört
Die Regeln gelten für den Problemmelder unter dieser Adresse: die öffentliche Karte, das Meldeformular, die Schnittstellen und die Verwaltung.
Nicht dazu gehören Dienste anderer Anbieter, die der Problemmelder nutzt (Kartendaten und Adresssuche von OpenStreetMap, Hosting, E-Mail-Versand), und andere Websites der SPD Eschweiler oder der SPD.
Ergebnisse automatischer Scanner ohne nachvollziehbare Auswirkung, fehlende Sicherheits-Header ohne konkreten Angriffsweg und reine Versionsangaben behandeln wir in der Regel nicht als Sicherheitslücke.