Bei ActorDo, verpflichten wir uns, das höchste Maß an Sicherheit, Integrität und Vertrauen für unsere Nutzer, Partner und Systeme aufrechtzuerhalten.

Mehr über Actor lesen Datensicherheit und Datenschutzerklärung

Unser Vulnerability Disclosure Program (VDP) ist darauf ausgelegt, Sicherheitsforschern, ethischen Hackern und der Community einen klaren, sicheren und verantwortungsvollen Weg zu bieten, Sicherheitslücken in unseren Produkten und Diensten zu melden.

Dieses Programm fördert Zusammenarbeit und verantwortungsvolle Offenlegung, sodass wir Schwachstellen identifizieren, beheben und Risiken minimieren können, bevor sie ausgenutzt werden.

Geltungsbereich

Zum Umfang gehörende Systeme / Assets umfassen (aber nicht ausschließlich beschränkt auf):

  • ActorDo-Webanwendungen und APIs
  • Backend-Dienste, Microservices und Cloud-Infrastruktur
  • Interne Systeme, soweit unter Vorabgenehmigung zulässig (siehe Kontakt)

Nicht zum Umfang gehörende Systeme / Assets umfassen:

  • Drittanbieterdienste, Integrationen oder Abhängigkeiten, die nicht von ActorDo entwickelt wurden
  • Physische Angriffe / Hardware (z. B. Rechenzentren, Geräte, sofern nicht ausdrücklich autorisiert)
  • Social Engineering, Phishing oder Imitationsangriffe (sofern nicht schriftlich ausdrücklich autorisiert)
  • Nicht sicherheitsrelevante Fehler oder Funktionsanfragen
  • Jegliche Tests, die zu Dienstunterbrechungen oder einer Denial-of-Service führen können

Damit eine Schwachstelle qualifiziert ist, sollte sie:

  • Anwesend sein im neueste öffentlich veröffentlichte Version (oder offiziell veröffentlichte Beta)
  • Führen zu einem Sicherheitsauswirkung (z. B. Datenlecks, Privilegieneskalation, Remote-Code-Ausführung, Umgehung von Kontrollen)

Richtlinien & Verhaltensregeln

Wenn Sie teilnehmen, befolgen Sie bitte diese Regeln, um für Anerkennung oder Belohnungen berechtigt zu bleiben:

  1. Füge keinen Schaden zu
    • Löschen oder Ändern Sie keine Daten und unterbrechen Sie nicht den normalen Betrieb.
    • Vermeiden Sie störende Maßnahmen (z. B. das Auslösen von DDoS-Angriffen oder das Herbeiführen von Dienstverschlechterungen).
  2. Begrenzen Sie Ihre Untersuchungen
    • Versuchen Sie nicht, auf nicht-öffentliche Daten zuzugreifen oder diese zu manipulieren, soweit dies nicht unbedingt erforderlich ist, um die Verwundbarkeit nachzuweisen.
    • Verwenden Sie nach Möglichkeit eine Testumgebung oder ein Nicht-Produktionskonto.
  3. Vertraulichkeit
    • Machen Sie Ergebnisse nicht öffentlich (Blogs, soziale Medien usw.), bevor ActorDo ausreichend Zeit hatte, zu reagieren und Abhilfemaßnahmen zu ergreifen (siehe „Zeitpunkt der Offenlegung“).
    • Teilen oder verkaufen Sie die Informationen nicht an Dritte.
  4. Keine Social-Engineering-Methoden
    • Phishing, Identitätsvortäuschung oder ähnliche Techniken sind nicht zulässig, es sei denn, sie wurden ausdrücklich erlaubt.
  5. Respektieren Sie Datenschutz- und rechtliche Vorgaben
    • Verstoßen Sie nicht gegen Datenschutzgesetze und greifen Sie nicht auf sensible personenbezogene Daten zu, die über das zur Demonstration des Fehlers Notwendige hinausgehen.
    • Halten Sie sich an geltende lokale Gesetze, Vorschriften und bewährte Verfahren.
  6. Offenlegung & Koordination
    • Geben Sie uns Zeit (typischerweise 90 Tage), das Problem zu beheben, bevor Sie es öffentlich machen, sofern nichts anderes vereinbart wurde.
    • Wenn Sie der Meinung sind, dass eine frühere Offenlegung gerechtfertigt ist (z. B. bei Exploit-Gefahr), benachrichtigen Sie uns bitte, damit wir einen kürzeren Zeitplan koordinieren können.

Verstöße gegen diese Regeln (z. B. destruktive Handlungen, öffentliche Offenlegung ohne Abstimmung) können eine Einreichung von der Belohnungs- oder öffentlichen Anerkennungsberechtigung ausschließen.

Meldung einer Schwachstelle

Was Sie in Ihrem Bericht angeben sollten

Senden Sie Ihren Bericht an alex@actordo.com und fügen Sie Folgendes bei:

  • Eine kurze Beschreibung des Problems
  • Schritte zur Reproduktion oder Proof of Concept
  • Betroffenes System oder URL
  • (Optional) Ihr Name oder Alias für Anerkennung

Wir werden Ihren Bericht innerhalb von 5 Werktage und Sie während der Fehlerbehebung auf dem Laufenden halten. Nicht jede Meldung wird eine Bestätigung erhalten, wenn sie nicht als gültig eingestuft wird.

Bitte geben Sie in Ihrer Meldung an, ob Sie anonym bleiben oder öffentlich genannt werden möchten.

Anerkennung & Belohnungen

  • Wir können Dankesbelohnungen oder öffentliche Anerkennung basierend auf Wirkung und Klarheit anbieten.
  • Belohnungen liegen im Ermessen und hängen von Schwere und Qualität des Berichts ab.
  • Doppelte oder wenig wirkungsvolle Erkenntnisse sind möglicherweise nicht förderfähig.

Safe Harbor

Wenn Sie diese Richtlinie nach Treu und Glauben befolgen, sind Sie vor rechtlichen Schritten geschützt in Bezug auf Ihre Recherche.

Vielen Dank, dass Sie uns helfen, ActorDo sicher zu halten.