Richtlinie zur verantwortungsvollen Offenlegung

Bei eu4ua hat die Sicherheit der Daten von Geflüchteten, Gastgeber/innen und Freiwilligen höchste Priorität. Diese Seite (die „Richtlinie zur verantwortungsvollen Offenlegung“) bietet Ihnen alle nötigen Informationen, falls Sie eine mögliche Schwachstelle in einem unserer Produkte oder Dienste entdeckt haben.

Wir schätzen die Hilfe unserer Community sehr und möchten sicherstellen, dass alle Meldungen verantwortungsvoll erfolgen. Bitte beachten Sie die folgenden Bedingungen.

Sie können Probleme an security@eu4ua.org melden. Bitte geben Sie dabei folgende Informationen an:

  • betroffene URL oder IP-Adresse
  • eine Beschreibung des Problems mit den Schritten zur Reproduktion
  • den Zeitraum, in dem Sie das Problem beobachten konnten

Da wir ein gemeinnütziger Verein sind, bieten wir kein Bug-Bounty-Programm an. Das bedeutet, dass wir für gemeldete Sicherheitslücken keine Belohnungen zahlen.

GELTUNGSBEREICH

Der Geltungsbereich umfasst alle Systeme hinter eu4ua.org, mit Ausnahme derjenigen, die Dritten gehören.

WORUM WIR SIE BITTEN

  • Bitte setzen Sie bei der Suche nach möglichen Schwachstellen in unserem System den folgenden Header. So können wir Ihre Tests von den Aktivitäten böswilliger Akteure unterscheiden.

    X-Bug-Hunter: <nickname></nickname>

  • Teilen Sie uns mit Ihrer Meldung gerne die IP-Adresse mit, die Sie für Ihre Tests verwendet haben.
  • Wenn Sie ein Problem entdecken, durch das personenbezogene Daten (PII) offengelegt werden, müssen Sie sicherstellen, dass diese Daten gelöscht werden, sobald Sie die Meldung gemacht haben.

Häufige Fragen

Was sollte ich nicht melden?

  • Konfigurationsvorschläge zu Sender Policy Framework (SPF), DKIM und DMARC
  • Offenlegung bekannter öffentlicher Dateien oder Verzeichnisse (z. B. robots.txt)
  • Banner-Offenlegung bei gängigen/öffentlichen Diensten
  • Phishing- oder Social-Engineering-Angriffe

Wann höre ich nach meiner Meldung von Ihnen?

Unser Team bestätigt Ihnen den Eingang Ihrer Meldung und meldet sich bei Ihnen, falls wir weitere Informationen benötigen.

Darf ich nach meiner Meldung etwas über die Schwachstelle veröffentlichen?

Nachdem unser Team das Problem geprüft und behoben hat, erhalten Sie von uns eine schriftliche Zustimmung zur Veröffentlichung.

Vielen Dank für Ihre Unterstützung.