Kurzfassung
- Senden Sie Hinweise auf vermutete Sicherheitslücken in CLIMB vertraulich an security@begood.solutions.
- Diese Richtlinie gilt ausschließlich für die produktiven CLIMB-Apps, Web-Apps und die API.
- Diese Richtlinie berechtigt nicht zu Sicherheitstests; holen Sie vorab eine schriftliche Genehmigung ein.
- Reaktions- und Behebungszeiten sind Zielwerte, keine Garantien.
1. Sicherheitslücke melden#
Wenn Sie glauben, eine Sicherheitslücke in CLIMB gefunden zu haben, senden Sie bitte eine E-Mail mit [SECURITY] im Betreff an security@begood.solutions. Geben Sie das betroffene Produkt oder die URL, eine klare Beschreibung, Schritte zur Reproduktion, die möglichen Auswirkungen sowie einen Proof of Concept an, der keine echten Nutzerdaten offenlegt.
Fügen Sie Ihrer Meldung keine Passwörter, Authentifizierungstokens, personenbezogenen Daten oder Kundendaten bei. Bei Bedarf fragen wir über einen sicheren Kanal nach weiteren Details.
2. Geltungsbereich#
Diese Richtlinie umfasst den aktuellen produktiven CLIMB-Dienst:
- die Apps CLIMB und CLIMB Coach für iOS und Android;
- die produktiven Web-Apps unter app.climb.begood.solutions und coach.climb.begood.solutions;
- die produktive API unter climb-api-13876340592.europe-west2.run.app.
Staging- und Vorschau-Umgebungen, Dienste von Drittanbietern sowie Schwachstellen, die ein bereits kompromittiertes Gerät voraussetzen, liegen außerhalb des Geltungsbereichs. Bitte melden Sie Probleme in Drittanbieterprodukten direkt den jeweiligen Anbietern.
3. Regeln für Sicherheitstests#
Diese Richtlinie beschreibt, wie Sie vermutete Schwachstellen melden können; sie erteilt keine Erlaubnis, CLIMB zu untersuchen, zu scannen oder zu testen. Holen Sie vor jeglichen Sicherheitstests die schriftliche Zustimmung von BeGOOD Solutions Ltd ein, wie in unseren Nutzungsbedingungen vorgeschrieben.
Wenn Ihnen eine schriftliche Genehmigung vorliegt, halten Sie sich an deren Umfang und Bedingungen. Greifen Sie nicht auf Daten anderer Personen zu, verändern oder löschen Sie diese nicht; stören Sie keine Dienste; setzen Sie kein Social Engineering ein und führen Sie keine Tests durch, die andere Kunden beeinträchtigen könnten. Brechen Sie den Test sofort ab und melden Sie das Problem, falls Sie auf personenbezogene Daten oder Kundendaten stoßen.
4. Wie es weitergeht#
Wir bemühen uns, den Eingang von Meldungen innerhalb von 3 Werktagen zu bestätigen und innerhalb von 7 Werktagen eine erste Einschätzung abzugeben. Bestätigte kritische Probleme wollen wir innerhalb von 72 Stunden und schwerwiegende Probleme innerhalb von 7 Tagen beheben. Dies sind Zielwerte und keine garantierten Fristen; der Zeitrahmen hängt von Schweregrad, Komplexität und einer sicheren Überprüfung ab.
Vor einer öffentlichen Bekanntmachung stimmen wir uns mit Ihnen ab. Wenn Sie namentlich genannt werden möchten, teilen Sie uns dies in Ihrer Meldung mit; wir nennen Ihren Namen nur mit Ihrer ausdrücklichen Zustimmung.
5. Kontakt#
Für Schwachstellenmeldungen wenden Sie sich an security@begood.solutions. Für allgemeinen Produktsupport schreiben Sie an help@begood.solutions.