Richtlinie zur verantwortungsvollen Offenlegung - Startselect

Du hast eine Sicherheitslücke bei Startselect entdeckt?
Bitte benachrichtige uns, bevor du andere informierst, damit wir zunächst Maßnahmen ergreifen können. Dies wird als „verantwortungsvolle Offenlegung“ bezeichnet.

Was zu tun ist:
Melde eine Sicherheitslücke per E-Mail an security@startselect.com. Diese E-Mail kann nur für das Melden von Sicherheitslücken verwendet werden.
Den Kundenservice findest du hier: https://startselect.com/help 

Gib genügend Details an, damit wir den Fehler reproduzieren können und er so schnell wie möglich behoben werden kann. Die IP-Adresse oder URL des Computers und eine Beschreibung der Sicherheitslücke reichen in der Regel aus. Je komplizierter der Fehler ist, desto mehr Details benötigen wir.
Hinterlasse deine Kontaktdaten, damit wir dich später kontaktieren können. Mindestens eine E-Mail-Adresse oder Telefonnummer.
Melde den Fehler so schnell wie möglich, nachdem du ihn entdeckt hast.
Teile keine Informationen über den Fehler mit anderen, bis dieser behoben ist.
Gehe verantwortungsbewusst mit den vorhandenen Informationen um. Unternimm nichts, was über das Notwendige hinausgeht, um die Sicherheitslücke nachzuweisen.

Zu vermeiden:
Malware senden;
Kopieren, Ändern oder Löschen von Daten im betreffenden System (alternativ kann eine Verzeichnisliste des Systems erstellt werden);
System wechseln;
Das System wiederholt besuchen oder den Zugriff mit anderen teilen;
Einsatz von „Brute Force“ zum Öffnen des Systems;
Denial-of-Service oder Social Engineering versuchen.
Verwenden von automatisierten Scannern oder anderen automatisierten Tools

Was zu erwarten ist:
Wenn du die Sicherheitslücke meldest, überprüfe, ob du die oben beschriebenen Bedingungen einhältst. In dem Fall wird Startselect keine rechtlichen Konsequenzen an deine Benachrichtigung knüpfen.
Startselect behandelt die erhaltenen Benachrichtigungen vertraulich. Deine persönlichen Daten werden ohne deine Zustimmung nicht an Dritte weitergeben, es sei denn, dies ist gesetzlich oder per Gerichtsbeschluss vorgeschrieben.
Startselect kann, wenn du dies möchtest, deinen Namen als denjenigen nennen, der die Sicherheitslücke entdeckt hat.
Startselect sendet dir innerhalb von drei Werktagen eine Eingangsbestätigung.
Startselect antwortet innerhalb von drei Werktagen auf deine Meldung. Die Antwort enthält eine Bewertung deiner Meldung und das Datum, an dem voraussichtlich die Mängel behoben werden.
Startselect hält dich als die Person, die den Fehler entdeckt hat, über den Fortschritt der Fehlerbeseitigung auf dem Laufenden.
Startselect wird den Fehler so schnell wie möglich beheben, spätestens jedoch 60 Tage nach Erhalt der Meldung. Startselect wird mit dir zusammenarbeiten, um zu bestimmen, ob und wann der gemeldete Fehler veröffentlicht werden soll. Er wird erst veröffentlicht, nachdem er behoben wurde.
Startselect kann dir als Anerkennung für deine Hilfe eine Belohnung geben. Je nach Schweregrad der Sicherheitslücke und Qualität des Berichts kann diese Belohnung variieren. Eine Belohnung wird ausschließlich nach alleinigem Ermessen von Startselect gewährt.

Außerhalb des Gültigkeitsbereichs liegende Schwachstellen:
Social-Engineering-Angriffe, einschließlich solcher, die auf interne Mitarbeiter abzielen
Angriffe mit gefälschten (Fake-)E-Mails
Physische Angriffe auf unsere Infrastruktur, Einrichtungen und Büros
Scannerausgabe oder vom Scanner generierte Berichte, einschließlich aller automatisierten oder aktiven Exploit-Tools
Jede Schwachstelle, die durch die Kompromittierung eines Mitarbeiterkontos entsteht
Schwachstellen im Netzwerk:
Kontoübernahme (PLA, Benutzeraufzählung usw.)
Spam
Clickjacking, CSRF-Anmeldung/-Abmeldung
Fingerabdruck, Offenlegung von Fehlermeldungen
Angriffe auf Protokollebene (z. B. BEAST/BREACH)
Fehlende Sicherheitsheader, httponly-Flags usw.

Letzte Aktualisierung: 16. Mai 2022