Die TECHDOCK GmbH nimmt die Sicherheit ihrer Produkte und Dienste ernst. Wenn Sie glauben, eine Sicherheitslücke in etwas gefunden zu haben, das wir entwickeln oder betreiben, möchten wir davon erfahren. Diese Richtlinie beschreibt, was in den Geltungsbereich fällt, wie Sie melden, was Sie von uns erwarten können und welchen rechtlichen Schutz (Safe Harbour) wir gutgläubigen Sicherheitsforschenden zusichern.
Maschinenlesbare Kontaktangaben: techdock.ch/.well-known/security.txt (RFC 9116). Bei Abweichungen zwischen den Sprachfassungen gilt die englische Fassung.
Geltungsbereich
Diese Richtlinie gilt für alle Produkte und Dienste, welche die TECHDOCK GmbH entwickelt oder betreibt: diese Website, unsere Cloud-Dienste, die von uns verteilte Software und die Firmware unserer Geräte. Wenn Sie unsicher sind, ob etwas in den Geltungsbereich fällt, fragen Sie uns zuerst.
Nicht erlaubt
Folgendes ist unter dieser Richtlinie nicht autorisiert:
- Denial-of-Service oder jeder Test, der die Verfügbarkeit beeinträchtigt, einschliesslich Lasttests
- Social Engineering, Phishing oder physische Angriffe auf unsere Mitarbeitenden, Räumlichkeiten oder Kunden
- Zugriff auf Konten, Kundeninstanzen, Geräte oder Daten, die nicht Ihnen gehören oder Ihnen nicht ausdrücklich zum Testen überlassen wurden
- automatisiertes Massen-Scanning mit erheblichem Datenverkehr
- Meldungen, die nur fehlende Best-Practice-Header, Versionsbanner oder Scanner-Ausgaben ohne nachgewiesene Auswirkung nennen
Unsere Cloud-Dienste laufen je Kunde als eigene Instanz. Tests gegen eine Kundeninstanz setzen die Zustimmung dieses Kunden voraus. Wenn Sie auf Daten stossen, die nicht Ihnen gehören, brechen Sie sofort ab, speichern oder teilen Sie sie nicht und informieren Sie uns.
So melden Sie
Senden Sie Ihre Meldung an security@techdock.ch. Sie können sie mit unserem OpenPGP-Schlüssel verschlüsseln, veröffentlicht unter techdock.ch/.well-known/pgp-key.txt und auf keys.openpgp.org. Verschlüsselung ist freiwillig; eine unverschlüsselte Meldung ist in Ordnung.
Bitte geben Sie an, was Ihnen möglich ist:
- betroffenes Produkt, Host oder Komponente und, falls bekannt, die Version
- Schritte zur Reproduktion, idealerweise ein minimaler Proof of Concept
- die beobachtete oder erwartete Auswirkung
- wie Sie genannt werden möchten, oder dass Sie anonym bleiben wollen
Wir nehmen Meldungen auf Deutsch und Englisch entgegen. Wenn Sie lieber über eine nationale Koordinationsstelle melden, können Sie sich an das Bundesamt für Cybersicherheit (BACS/NCSC) wenden, das ein Verfahren zur koordinierten Offenlegung von Schwachstellen betreibt: bacs.admin.ch. Wir akzeptieren dessen Koordination.
Was wir zusichern
- Wir bestätigen den Eingang innert 2 Arbeitstagen.
- Wir geben Ihnen innert 5 Arbeitstagen eine erste Einschätzung, ob wir den Befund als gültig ansehen und wie schwer er wiegt.
- Solange der Fall offen ist, erhalten Sie mindestens alle 30 Tage einen Statusbericht.
- Bestätigte Sicherheitslücken beheben wir nach Schwere und informieren betroffene Kunden.
- Wir behandeln Ihre Meldung und Ihre Identität vertraulich und geben Ihre Personendaten ohne Ihre Zustimmung nicht an Dritte weiter, sofern das Gesetz nichts anderes verlangt.
- Wir zahlen keine Bug Bounties. Auf Wunsch nennen wir Sie nach Abschluss mit Name oder Handle in dem Hinweis, den wir dazu veröffentlichen.
Unsere Bürozeiten sind Montag bis Freitag an Schweizer Werktagen. Arbeitstage oben beziehen sich darauf.
Koordinierte Offenlegung
Wir bitten Sie, uns ab unserer Eingangsbestätigung 90 Tage Zeit zu geben, bevor Sie Details zur Sicherheitslücke veröffentlichen. Ist eine Behebung früher verfügbar, teilen wir Ihnen das mit, und Sie dürfen früher veröffentlichen. Braucht eine Behebung länger, etwa wegen eines Firmware-Release-Zyklus oder der Abstimmung mit Upstream-Projekten, erklären wir warum und vereinbaren mit Ihnen einen neuen Termin. Für behobene Sicherheitslücken, die Kunden betreffen, veröffentlichen wir einen kurzen Hinweis (Advisory).
Safe Harbour
Die TECHDOCK GmbH betrachtet Sicherheitsforschung, die gutgläubig und im Einklang mit dieser Richtlinie erfolgt, als autorisiert. Für solche Forschung erstatten wir keine Strafanzeige, insbesondere nicht nach Art. 143, 143bis und 144bis StGB, und machen keine zivilrechtlichen Ansprüche geltend, auch nicht aus Urheber-, Datenschutz- oder Geschäftsgeheimnisrecht. Sollte ein Dritter wegen Forschung, die dieser Richtlinie entsprach, rechtlich gegen Sie vorgehen, bestätigen wir, dass Sie mit unserer Autorisierung gehandelt haben.
Gutgläubig heisst, dass Sie:
- nicht weiter gehen, als zum Nachweis der Sicherheitslücke nötig
- keine Daten abziehen, verändern oder löschen und keinen Zugang aufrechterhalten, sobald die Lücke nachgewiesen ist
- die Verfügbarkeit unserer Dienste nicht beeinträchtigen
- nur Konten, Instanzen und Geräte verwenden, die Ihnen gehören oder Ihnen zum Testen überlassen wurden
- kein Social Engineering und kein physisches Eindringen einsetzen
- den Befund bis zum vereinbarten Offenlegungstermin vertraulich behandeln
- sofort abbrechen und melden, wenn Sie auf Personendaten Dritter stossen
Dieser Safe Harbour bindet nur die TECHDOCK GmbH. Er kann Dritte oder Behörden nicht binden und deckt kein Handeln ausserhalb dieser Regeln.
Änderungen an dieser Richtlinie
Die aktuelle Fassung dieser Richtlinie ist immer unter dieser Adresse veröffentlicht; die maschinenlesbare Datei unter /.well-known/security.txt nennt den Zeitpunkt der nächsten Überprüfung.