Richtlinie zur Meldung von Sicherheitslücken

Version 2026-10-12

Wir möchten von Sicherheitsproblemen in SnagBane erfahren. Wenn Sie glauben, eines gefunden zu haben, sagen Sie es uns bitte zuerst vertraulich, damit wir es beheben können, bevor es öffentlich wird.

So melden Sie

Schreiben Sie an support@snagbane.com mit „Security“ im Betreff. Bitte geben Sie an:

  • die Version und Edition von SnagBane (beides steht unter Einstellungen → System & Updates) und wie es installiert ist (Docker, VPS, cPanel);
  • was ein Angreifer tun kann, und die Schritte oder einen kurzen Proof of Concept, um es nachzuvollziehen;
  • ob ein Konto nötig ist, und mit welcher Rolle;
  • ob und wie Sie genannt werden möchten.

Bitte eröffnen Sie kein öffentliches Issue und veröffentlichen Sie keine Details, bevor eine Korrektur verfügbar ist. Maschinenlesbare Kontaktdaten stehen in /.well-known/security.txt.

Wozu wir uns verpflichten

  • Wir bestätigen den Eingang Ihrer Meldung innerhalb von 5 Werktagen.
  • Wir halten Sie mindestens alle 14 Tage auf dem Laufenden, bis das Problem gelöst ist.
  • Für bestätigte kritische Probleme wollen wir innerhalb von 7 Tagen eine Korrektur veröffentlichen, für schwerwiegende innerhalb von 30 Tagen, früher, wenn sie ausgenutzt werden.
  • Wir nennen die Korrektur in den Versionshinweisen des Updates und Sie dort, wenn Sie möchten.
  • Wir stimmen mit Ihnen ab, wann Details veröffentlicht werden – nach Erscheinen der Korrektur oder 90 Tage nach Ihrer Meldung, falls wir es bis dahin nicht behoben haben, sofern wir nichts anderes vereinbaren.

Wir betreiben kein bezahltes Bug-Bounty-Programm.

Geltungsbereich

Im Geltungsbereich: die SnagBane-Software (kostenloses und kostenpflichtiges Paket, neueste Version), die Website snagbane.com sowie die Update- und Lizenzdienste von SnagBane.

Nicht im Geltungsbereich: SnagBane-Installationen anderer Organisationen – melden Sie diese der Organisation, die sie betreibt; Probleme, die einen kompromittierten Server oder ein kompromittiertes Administratorkonto voraussetzen; fehlende Härtung, die der Administrator steuert (zum Beispiel eine deaktivierte Einstellung); Denial of Service und Lasttests; Social Engineering; und Dienste Dritter wie Microsoft 365, Google, Freemius oder Cloudflare.

Testen in gutem Glauben

Testen Sie auf Ihrer eigenen Installation – der Server-Code von SnagBane wird lesbar ausgeliefert, damit Sie ihn prüfen und auf Sicherheit testen können (Lizenzvereinbarung, Abschnitt 2.3). Auf unserer Website und unseren Diensten nutzen Sie bitte nur Ihre eigenen Konten und normale Anfrageraten; greifen Sie nicht auf Daten anderer zu, ändern oder behalten Sie sie nicht, und hören Sie auf und melden Sie es, sobald Sie welche sehen. Gegen Forschung, die im guten Glauben im Rahmen dieser Richtlinie erfolgt, gehen wir nicht rechtlich vor.

Nach einem Update

Sicherheitskorrekturen kommen als normale Updates. Administratoren installieren sie unter Einstellungen → System & Updates → Updates; jedes Paket ist signiert und wird vor der Installation geprüft.