Richtlinie zur Meldung von Schwachstellen

Diese Richtlinie beschreibt, wie Sie uns Schwachstellen in Beliq melden, welche Tests dafür erlaubt sind und was wir im Gegenzug zusagen. Sie ist unsere Richtlinie zur koordinierten Offenlegung von Schwachstellen im Sinne von Anhang I Teil II Nummer 5 der Verordnung (EU) 2024/2847 (Cyber Resilience Act). Sie ist eine Erklärung des im Impressum genannten Anbieters und kein Bestandteil eines Vertrages.

1. Geltungsbereich

Die Richtlinie gilt für

• die Website beliq.eu,
• die API unter api.beliq.eu,
• das Dashboard unter dashboard.beliq.eu,
• die Dokumentation unter docs.beliq.eu,
• die Software, die wir im GitHub-Konto beliq-eu sowie auf npm und PyPI veröffentlichen, etwa unsere SDKs, das Kommandozeilenwerkzeug, den MCP-Server und die Integrationen.

Nicht erfasst sind

• Dienste Dritter, die wir nutzen, etwa für Hosting, E-Mail oder Zahlungen. Schwachstellen dort melden Sie bitte dem jeweiligen Anbieter,
• Netze und Zugangspunkte für die Übermittlung von Rechnungen, etwa Peppol, die wir nicht betreiben.

2. So melden Sie eine Schwachstelle

Schreiben Sie an die Adresse, die in unserer security.txt genannt ist, auf Deutsch oder Englisch. Hilfreich sind

• die betroffene Stelle: URL, API-Endpunkt oder Paket mit Version,
• die Schritte, mit denen sich die Schwachstelle nachvollziehen lässt,
• was ein Angreifer damit erreichen könnte,
• eine Kontaktmöglichkeit für Rückfragen.

Ergebnisse automatisierter Scans ohne erklärende Beschreibung bearbeiten wir nur eingeschränkt. Sie können auch anonym melden. Dann können wir aber nicht nachfragen, und die Meldung lässt sich unter Umständen nicht vollständig bearbeiten.

3. Regeln für Tests

Sie dürfen nach Schwachstellen suchen, wenn Sie dabei alle folgenden Regeln einhalten. Sie

• testen nur mit eigenen Konten, eigenen API-Keys und eigenen Daten oder mit einer eigenen Installation unserer Software,
• greifen nicht auf Daten anderer Kundinnen und Kunden zu. Stoßen Sie dennoch auf fremde Daten, brechen Sie den Test ab, speichern, kopieren und verändern nichts und melden es uns,
• tun nicht mehr, als zum Nachweis der Schwachstelle nötig ist. Insbesondere verändern oder löschen Sie keine Daten und richten keine dauerhaften Zugänge ein,
• beeinträchtigen keinen unserer Dienste für andere, insbesondere nicht durch Überlastung oder massenhafte automatisierte Scans, und halten bei der API die Ratenlimits ein, die für Ihren Zugang gelten,
• täuschen keine Personen, versenden keinen Spam, probieren keine Passwörter durch und unternehmen keine physischen Angriffe,
• nutzen eine Schwachstelle nicht zu Ihrem Vorteil oder zum Nachteil anderer aus und geben weder die Schwachstelle noch Werkzeuge zu ihrer Ausnutzung an Dritte weiter,
• veröffentlichen die Schwachstelle erst, wenn wir uns über den Zeitpunkt verständigt haben (Ziffer 4). Antworten wir nicht oder kommt keine Verständigung zustande, stimmen Sie den Zeitpunkt mit dem BSI ab,
• löschen nach Abschluss die Daten, die Sie bei dem Test erhalten haben, soweit Sie sie nicht für die Meldung brauchen.

Halten Sie diese Regeln ein, gilt diese Richtlinie als unsere vorherige Zustimmung in Textform zu Sicherheitstests nach Ziffer 5 der Nutzungsrichtlinie. Tests, die über diese Regeln hinausgehen, brauchen weiterhin unsere Zustimmung im Einzelfall. Fragen Sie dafür vorher an der Adresse aus der security.txt an.

4. Was wir zusagen

• Wir bestätigen den Eingang Ihrer Meldung und teilen Ihnen mit, wie wir sie bewerten.
• Wir halten Sie über die Behebung auf dem Laufenden.
• Wir behandeln Ihre Meldung vertraulich und geben Ihre personenbezogenen Daten nicht ohne Ihre ausdrückliche Zustimmung an Dritte weiter, es sei denn, wir sind gesetzlich dazu verpflichtet.
• Wir stimmen den Zeitpunkt einer Veröffentlichung mit Ihnen ab.
• Behebungen in unserer veröffentlichten Software kündigen wir als Sicherheitshinweis im betroffenen GitHub-Repository an. Auf Wunsch nennen wir Sie dort mit Namen oder Pseudonym.

Feste Fristen für Antwort oder Behebung sagen wir nicht zu. Beliq ist ein kleines Unternehmen, und wir sagen nur zu, was wir halten können. Erhalten Sie keine Antwort oder kommt keine Verständigung über den Zeitpunkt einer Veröffentlichung zustande, können Sie sich an das Bundesamt für Sicherheit in der Informationstechnik (BSI) wenden, das Meldungen zwischen Meldenden und Herstellern vermittelt.

Wird eine Schwachstelle in einem unserer veröffentlichten Pakete aktiv ausgenutzt, melden wir sie nach Artikel 14 der Verordnung (EU) 2024/2847 dem zuständigen CSIRT und der ENISA.

5. Unsere Zusicherung

Halten Sie diese Richtlinie ein und handeln Sie in guter Absicht, stellen wir wegen Ihrer Tests und Ihrer Meldung keine Strafanzeige und keinen Strafantrag gegen Sie und machen keine zivilrechtlichen Ansprüche gegen Sie geltend. Das gilt nicht, wenn erkennbar kriminelle Absichten verfolgt wurden oder werden.

Diese Zusicherung bindet nur uns. Ansprüche Dritter, etwa unserer Dienstleister, und das Handeln von Behörden können wir nicht ausschließen. Ist unklar, ob ein Test von dieser Richtlinie gedeckt ist, fragen Sie bitte vorher an.

6. Keine Prämien

Für Meldungen zahlen wir keine Prämien.

7. Änderungen dieser Richtlinie

Wir können diese Richtlinie ändern. Für einen Test gilt die Fassung, die bei seinem Beginn veröffentlicht war. Das Datum der Fassung steht auf dieser Seite unter „Stand“; frühere Fassungen senden wir Ihnen auf Anfrage.

8. Sprachfassung

Diese Richtlinie ist in deutscher Sprache abgefasst. Die englische Fassung dient ausschließlich der Information; bei Abweichungen ist die deutsche Fassung maßgeblich.

9. Kontakt

Meldungen und Fragen zu dieser Richtlinie richten Sie bitte an die in unserer security.txt genannte Adresse.