Richtlinie zur Offenlegung von Sicherheitslücken

Die Sicherheit von Nutzerdaten hat für uns bei der Walls.io GmbH oberste Priorität, weshalb wir die Unterstützung durch externe Sicherheitsforscher ausdrücklich begrüßen.

Wenn du glaubst, eine Sicherheitslücke auf einer Website oder in einem Dienst bzw. einer Software der Walls.io GmbH gefunden zu haben, freuen wir uns über deinen Hinweis.

Um eine Schwachstelle an die Walls.io GmbH zu melden, schreibe bitte an security@walls.io. Dein Bericht wird von unserem Sicherheitsteam geprüft und validiert. Sobald die Schwachstelle bestätigt ist, informieren wir dich darüber, ob du für unser Belohnungsprogramm infrage kommst.

Die Walls.io GmbH unterstützt den Safe Harbor für Sicherheitsforscher, die:

• Gib dir Mühe, Verletzungen der Privatsphäre, Datenzerstörung sowie Unterbrechungen oder Beeinträchtigungen unserer Dienste zu vermeiden.
  
• Interagiere ausschließlich mit Konten, die dir gehören oder für die du eine ausdrückliche Erlaubnis des Inhabers hast. Falls du auf personenbezogene Daten (PII) stößt, kontaktiere uns sofort, brich den Zugriff ab und lösche alle lokal gespeicherten Informationen umgehend.
  
• Gib uns einen angemessenen Zeitraum, um Schwachstellen zu beheben, bevor du diese öffentlich oder gegenüber Dritten bekannt gibst.
  

Aktivitäten, die im Einklang mit dieser Richtlinie stehen, betrachten wir als „autorisiert“. Wir werden in solchen Fällen keine zivilrechtlichen Schritte einleiten oder Strafanzeige erstatten. Sollte ein Dritter rechtliche Schritte gegen dich einleiten, unterstützen wir dich nach besten Kräften.

Bitte kontaktiere uns, bevor du Aktivitäten unternimmst, die nicht durch diese Richtlinie abgedeckt sind oder ihr widersprechen könnten.

Die Walls.io GmbH definiert eine Sicherheitslücke als eine Schwachstelle in einem unserer Produkte oder unserer Infrastruktur, die es einem Angreifer ermöglichen könnte, die Vertraulichkeit, Integrität oder Verfügbarkeit zu beeinträchtigen.

• Vorhandensein oder Fehlen von HTTP-Headern (X-Frame-Options, CSP, nosniff usw.). Dies sind bewährte Sicherheitspraktiken, die wir daher nicht als Schwachstellen klassifizieren.
  
• Fehlende sicherheitsrelevante Attribute bei nicht sensiblen Cookies. Wir setzen bei unseren Anwendungen bestimmte Sicherheitsattribute für Cookies ein. Das Fehlen dieser Header bei nicht sensiblen Cookies stufen wir nicht als Sicherheitslücke ein.
  
• Offengelegte Stack-Traces.  Wir betrachten Stack-Traces für sich genommen nicht als Sicherheitsrisiko. Solltest du jedoch einen Stack-Trace finden, der personenbezogene Daten oder nutzergenerierte Inhalte preisgibt, reiche bitte einen entsprechenden Bericht ein.
  

• Sende uns detaillierte Berichte mit nachvollziehbaren Schritten und einer klaren Beschreibung der Auswirkungen.
  
• Bitte reiche pro Bericht nur eine Schwachstelle ein.
  
• Social Engineering (z. B. Phishing, Vishing, Smishing) ist strengstens untersagt.