Vulnerability Disclosure Policy

Gemeinsam für mehr Sicherheit

Die Sicherheit von Canlio, unserer Kunden und der von uns bereitgestellten Systeme besitzt für die Can Lead GmbH höchste Priorität.

Trotz umfangreicher technischer und organisatorischer Sicherheitsmaßnahmen kann nicht vollständig ausgeschlossen werden, dass Sicherheitslücken auftreten.

Wir begrüßen daher Hinweise verantwortungsbewusster Sicherheitsforscher, Kunden und Partner, die dazu beitragen, die Sicherheit unserer Plattform kontinuierlich zu verbessern.

Diese Richtlinie beschreibt den verantwortungsvollen Umgang mit gemeldeten Sicherheitslücken.

Verantwortungsvolle Meldung

Sollten Sie eine mögliche Sicherheitslücke entdecken, bitten wir Sie, diese ausschließlich vertraulich an uns zu melden.

Eine verantwortungsvolle Meldung umfasst insbesondere

• eine möglichst genaue Beschreibung,
• betroffene Funktionen,
• nachvollziehbare Reproduktionsschritte,
• eine Beschreibung möglicher Auswirkungen,
• gegebenenfalls Screenshots,
• sowie weitere Informationen, die eine Prüfung unterstützen.

Bitte geben Sie uns eine angemessene Frist zur Untersuchung und Behebung der gemeldeten Schwachstelle, bevor Informationen veröffentlicht oder an Dritte weitergegeben werden.

Was wir erwarten

Im Rahmen einer verantwortungsvollen Offenlegung bitten wir ausdrücklich darum,

• keine personenbezogenen Daten unbefugt einzusehen,
• keine Daten zu verändern,
• keine Systeme zu beschädigen,
• keine Verfügbarkeit der Plattform zu beeinträchtigen,
• keine Social-Engineering-Angriffe durchzuführen,
• keine Denial-of-Service-Angriffe auszuführen,
• keine Schadsoftware einzusetzen,
• keine Kundensysteme anzugreifen,
• sowie keine Maßnahmen vorzunehmen, die über das zur Identifizierung der Sicherheitslücke erforderliche Maß hinausgehen.

Jede Handlung muss darauf ausgerichtet sein, Sicherheitsprobleme zu identifizieren – nicht auszunutzen.

Unser Umgang mit Meldungen

Nach Eingang einer Sicherheitsmeldung werden wir diese nach bestem Wissen und Gewissen prüfen.

Soweit erforderlich,

• bestätigen wir den Eingang,
• bewerten die gemeldete Schwachstelle,
• leiten geeignete Gegenmaßnahmen ein,
• priorisieren die Behebung entsprechend des Risikos,
• und informieren den Hinweisgeber, soweit dies möglich und angemessen ist.

Nicht jede gemeldete Beobachtung stellt tatsächlich eine Sicherheitslücke dar.

Die Bewertung erfolgt ausschließlich durch die Can Lead GmbH.

Kein öffentliches Bug-Bounty-Programm

Zum Zeitpunkt der Veröffentlichung dieser Richtlinie betreibt die Can Lead GmbH kein öffentliches Bug-Bounty-Programm.

Aus einer Sicherheitsmeldung entsteht daher grundsätzlich kein Anspruch auf

• Vergütung,
• Belohnung,
• Vertragsabschluss,
• oder sonstige Gegenleistungen.

Die Can Lead GmbH behält sich jedoch ausdrücklich vor, freiwillig Anerkennungen oder Dankeschöns für besonders verantwortungsvolle Hinweise zu gewähren.

Unser gemeinsames Ziel

Informationssicherheit lebt von Zusammenarbeit.

Wir bedanken uns bei allen Personen, die Sicherheitslücken verantwortungsvoll melden und damit dazu beitragen, Canlio für alle Kunden sicherer zu machen.

Unser Ziel ist es, Sicherheitsprobleme transparent, professionell und zügig zu bearbeiten und die Plattform kontinuierlich weiterzuentwickeln.