EN DE
Sign Up

Richtlinie zur Meldung von Schwachstellen

(English version) Stand: 10. Oktober 2026

Sicherheit ist der Kern unseres Produkts. Wenn Sie glauben, eine Sicherheitslücke in einem Produkt oder Dienst von XplicitTrust gefunden zu haben, möchten wir davon erfahren. Diese Richtlinie beschreibt, wie Sie eine Schwachstelle melden, was Sie von uns erwarten können und welche Regeln für Sicherheitsforschung in gutem Glauben gelten.

Geltungsbereich

Diese Richtlinie umfasst:

  • die XplicitTrust-Apps und -Agenten für Windows, macOS, Linux, iOS und Android sowie unsere Softwarepakete und Repositories;

  • die XplicitTrust-Konsole, die APIs und die Cloud-Dienste, mit denen sich die Apps verbinden (zum Beispiel console.xplicittrust.com);

  • unsere Websites unter xplicittrust.com.

Schwachstellen in Produkten oder Diensten Dritter, die wir nutzen, melden Sie bitte dem jeweiligen Hersteller. Wenn eine solche Schwachstelle XplicitTrust betrifft, informieren Sie bitte auch uns.

Nicht umfasst sind: Denial-of-Service- und Lasttests, Social Engineering und Phishing gegen unsere Beschäftigten oder Kunden, physische Angriffe, Spam sowie Befunde ohne nachweisbare Sicherheitsauswirkung (zum Beispiel fehlende Security-Header auf Seiten ohne sensible Inhalte oder Versionsangaben).

So melden Sie eine Schwachstelle

Senden Sie Ihre Meldung per E-Mail an security@xplicittrust.com. Bitte verschlüsseln Sie vertrauliche Details mit unserem PGP-Schlüssel: security-contact.asc (Fingerprint F1D7 803E 064A A971 6B49 E85E 1856 85AA CB53 8032). Dieselbe Kontaktadresse steht in unserer security.txt. Wenn Sie keine E-Mail nutzen können, erreichen Sie uns über die Postanschrift oder Telefonnummer in unserem Impressum. Meldungen nehmen wir auf Deutsch und Englisch entgegen.

Eine gute Meldung enthält:

  • das betroffene Produkt, die Komponente und die Version (oder die URL);

  • eine Beschreibung der Schwachstelle und ihrer Auswirkungen;

  • die Schritte zur Reproduktion, idealerweise mit einem Proof of Concept;

  • wie wir Sie erreichen und ob und wie Sie genannt werden möchten.

Was Sie von uns erwarten können

  • Eingangsbestätigung Ihrer Meldung innerhalb von 3 Werktagen.

  • Eine erste Bewertung (bestätigt oder nicht, Schweregrad) innerhalb von 10 Werktagen.

  • Zwischenstände mindestens alle 14 Tage, bis die Schwachstelle behoben ist.

  • Zielzeiten für die Behebung ab Bestätigung, nach CVSS-Schweregrad: kritisch innerhalb von 7 Tagen, hoch innerhalb von 30 Tagen, mittel innerhalb von 90 Tagen, niedrig mit einem regulären Release. Wenn wir eine Zielzeit nicht einhalten können, sagen wir Ihnen, warum und was wir in der Zwischenzeit tun.

  • Namensnennung im Sicherheitshinweis, wenn Sie das wünschen.

Sicherheitsupdates für unsere Apps und Agenten sind kostenlos. Für jede behobene Schwachstelle, die Kunden betrifft, veröffentlichen wir einen Sicherheitshinweis mit den betroffenen Versionen, dem Schweregrad und den Schritten, die Kunden ergreifen sollten, und beantragen, wo sinnvoll, eine CVE-Kennung.

Koordinierte Veröffentlichung

Bitte geben Sie uns die Gelegenheit, eine Schwachstelle zu beheben, bevor Sie sie veröffentlichen. Den Veröffentlichungstermin stimmen wir mit Ihnen ab; ohne andere Absprache dürfen Details veröffentlicht werden, sobald eine Behebung verfügbar ist oder 90 Tage nach Ihrer Meldung, je nachdem, was früher eintritt. Wird eine Schwachstelle aktiv ausgenutzt, können wir diese Frist gemeinsam mit Ihnen verkürzen.

Als Hersteller im Sinne des EU Cyber Resilience Act müssen wir aktiv ausgenutzte Schwachstellen in unseren Produkten den zuständigen Stellen melden (dem als Koordinator benannten CSIRT, in Deutschland das BSI, und der ENISA). Betrifft Ihre Meldung eine solche Schwachstelle, informieren wir Sie, bevor wir Informationen daraus weitergeben.

Schutz für Sicherheitsforschende

Für Forschung, die dieser Richtlinie folgt, werden wir keine rechtlichen Schritte gegen Sie einleiten und keine Strafanzeige stellen; wir betrachten solche Forschung als autorisiert. Damit Sie im Rahmen dieser Richtlinie bleiben, bitten wir Sie:

  • eigene Konten zu verwenden (zum Beispiel einen kostenlosen Testzugang) und nicht über das zum Nachweis nötige Minimum hinaus auf Daten anderer Nutzer zuzugreifen, sie zu verändern oder zu löschen;

  • sofort abzubrechen und uns zu informieren, wenn Sie auf personenbezogene Daten oder Zugangsdaten stoßen, und diese weder zu behalten noch weiterzugeben;

  • unsere Dienste und die unserer Kunden nicht zu beeinträchtigen und keine automatisierten Scans in einem Umfang durchzuführen, der dies bewirken könnte;

  • eine Schwachstelle nicht weiter auszunutzen, als zur Bestätigung nötig ist, und sie nicht zu nutzen, um in andere Systeme vorzudringen;

  • die Details bis zum vereinbarten Veröffentlichungstermin vertraulich zu behandeln.

Dieser Schutz gilt nur für Systeme und Produkte von XplicitTrust. Für Dritte, etwa unsere Kunden oder Dienstleister, können wir keine Erlaubnis erteilen.

Ihre personenbezogenen Daten

Die Kontaktdaten aus Ihrer Meldung verwenden wir nur, um die Meldung zu bearbeiten und Sie auf Wunsch zu nennen. Details finden Sie in unserer Datenschutzerklärung.

Whitepaper anfordern Demo buchen