Sicherheitslücken melden

Wer eine Sicherheitslücke in freestays findet, kann sie dem Betreiber, der SnapNext GmbH & Co. KG, melden. Diese Seite beschreibt, wie das vorgesehen ist (koordinierte Offenlegung).

Kontakt

E-Mail: support@freestays.app

Bitte in der Betreffzeile "Sicherheitsmeldung". Meldungen auf Deutsch oder Englisch sind willkommen. Eine Schwachstelle bitte nicht über öffentliche Kanäle bekannt machen, bevor sie behoben ist.

Geltungsbereich

Im Geltungsbereich sind die Plattform freestays und das Trust Center unter trust.freestays.app. Nicht im Geltungsbereich sind Dienste von Dritten, die freestays einsetzt, etwa Hosting- und Datenbankanbieter. Schwachstellen dort bitte direkt beim jeweiligen Anbieter melden.

Was eine Meldung enthalten soll

• eine kurze Beschreibung der Schwachstelle und ihrer möglichen Auswirkung,
• die betroffene Adresse oder Funktion,
• die Schritte zum Nachvollziehen, gern mit Beispielanfrage oder Screenshot,
• Datum und Uhrzeit der Prüfung und gegebenenfalls die verwendete Kennung oder IP-Adresse,
• eine Kontaktmöglichkeit für Rückfragen.

Was wir tun

• Wir bestätigen den Eingang einer Meldung.
• Wir prüfen die Meldung und melden uns bei Rückfragen.
• Wir beabsichtigen, Recherche in gutem Glauben nicht rechtlich zu verfolgen, wenn sie diese Regeln einhält. Diese Formulierung wird rechtlich geprüft und ist keine verbindliche Zusage.
• Wir informieren über die Behebung, wenn die meldende Person das wünscht.

Zeitangaben sind angestrebt, nicht zugesagt: Wir streben an, den Eingang zeitnah zu bestätigen und über den Fortgang zu informieren. Konkrete Fristen sind noch nicht festgelegt.

Was wir erwarten

• Nur so weit auf Daten zugreifen, wie zum Nachweis der Schwachstelle nötig ist. Keine Daten anderer Personen herunterladen oder weitergeben.
• Keine Daten verändern oder löschen, den Betrieb nicht stören.
• Keine Denial-of-Service-Tests, kein Spam, kein Social Engineering gegen Mitarbeitende oder Nutzer.
• Nur eigene Konten oder Konten nutzen, deren Inhaber zugestimmt hat.
• Uns angemessene Zeit zur Behebung geben, bevor Einzelheiten veröffentlicht werden.

Keine Belohnung

Es gibt kein Prämienprogramm und kein Bug-Bounty. Eine Ehrenliste ist nicht zugesagt. Wenn eine Nennung gewünscht ist, sagt die meldende Person es in der Meldung, und wir entscheiden im Einzelfall.

Personenbezogene Daten in Meldungen

Wir verarbeiten die Angaben in einer Meldung, um sie zu bearbeiten und mit der meldenden Person in Kontakt zu bleiben. Die Angaben werden nur dafür verwendet, so ist es vorgesehen. Wer personenbezogene Daten unbeabsichtigt eingesehen hat, teilt das bitte in der Meldung mit.

Angaben für security.txt

Vorgesehen für die Datei security.txt auf der Plattform:

Das Feld Expires ist für die Datei vorgeschrieben und wird beim Release mit einem Datum gesetzt, das höchstens ein Jahr voraus liegt. Bis dahin steht kein Wert fest.