Responsible Disclosure

Zuletzt aktualisiert: September 2026

Wir testen beruflich die Systeme anderer Organisationen, daher sollen unsere eigenen derselben Prüfung standhalten. Wenn Sie in etwas, das wir betreiben, eine Schwachstelle finden, möchten wir es von Ihnen erfahren, bevor es jemand anderes tut. Diese Seite beschreibt, was Sie testen dürfen, wie Sie uns erreichen und was wir Ihnen dafür zusagen.

Geltungsbereich

• skuridat.com und alle zugehörigen Subdomains
• Die Plattform, mit der wir Assessments durchführen, und jedes Kundenportal, das wir betreiben
• Jedes andere internetexponierte System, das Skuridat selbst betreibt

Wenn Sie nicht sicher sind, ob etwas zu uns gehört, fragen Sie unter [email protected] nach, bevor Sie es testen.

Außerhalb des Geltungsbereichs

• Die Systeme unserer Kunden, auch wenn Sie sie über uns gefunden haben. Melden Sie diese an die Organisation selbst. Wenn Sie sie nicht erreichen können, kann das NCSC-NL helfen, die Meldung an die richtige Stelle zu bringen.
• Dienste Dritter, die wir nutzen, etwa unsere Hosting-, E-Mail- und CRM-Anbieter, es sei denn, das Problem liegt in der Art, wie wir sie konfiguriert haben. Fehler im Produkt selbst gehören zum Hersteller.
• Denial of Service, Load Testing oder alles andere, was den Dienst für andere Personen beeinträchtigt.
• Social Engineering oder Phishing gegen unsere Mitarbeitenden, Kunden oder Lieferanten sowie physische Angriffe auf unsere Büros.
• Das Überfluten unserer Formulare oder Postfächer.
• Scanner-Ausgaben ohne nachgewiesene Auswirkung: fehlende Security-Header, Versionsbanner, SPF-, DKIM- oder DMARC-Einstellungen, Self-XSS, Clickjacking auf Seiten ohne zustandsändernde Aktion sowie Hinweise zur TLS-Konfiguration.

So melden Sie

E-Mail an [email protected]. Enthält die Meldung etwas Sensibles, verschlüsseln Sie sie mit unserem PGP-Schlüssel.

PGP fingerprint: 7508 B0E9 AEF7 5E4E 2928 5149 37F7 C998 1B36 F20B

Der öffentliche Schlüssel liegt auf keys.openpgp.org unter [email protected]. Check the fingerprint above before you use it.

Eine hilfreiche Meldung teilt uns Folgendes mit:

• welches Asset betroffen ist (URL, Hostname oder IP-Adresse)
• die Schritte zur Reproduktion und gegebenenfalls einen Proof of Concept
• was ein Angreifer damit erreichen könnte
• ob Sie es bereits jemand anderem mitgeteilt haben
• wie Sie genannt werden möchten oder dass Sie lieber anonym bleiben

Ein Problem pro Meldung. Englisch, Niederländisch und Portugiesisch sind alle in Ordnung.

Wozu wir uns verpflichten

• Wir bestätigen Ihre Meldung innerhalb von zwei Werktagen.
• Wir geben Ihnen innerhalb von zehn Werktagen unsere Einschätzung: gültig, Duplikat, außerhalb des Geltungsbereichs oder akzeptiertes Risiko, jeweils mit Begründung.
• Wir halten Sie während der Behebung auf dem Laufenden und sagen Ihnen Bescheid, wenn sie abgeschlossen ist.
• Wir streben an, gültige Probleme innerhalb von 90 Tagen zu beheben. Brauchen wir länger, sagen wir das und erklären, warum.
• Wir nennen Ihren Namen oder Handle, wenn wir die Behebung veröffentlichen, es sei denn, Sie bitten uns, darauf zu verzichten.
• Wir ergreifen keine rechtlichen Schritte gegen Recherchen, die dieser Richtlinie folgen (siehe Safe Harbor unten).

Was wir von Ihnen erwarten

• Greifen Sie nicht auf Daten zu, die nicht Ihnen gehören, und verändern oder löschen Sie diese nicht. Wenn Sie an fremde Daten gelangen, hören Sie auf, teilen Sie uns mit, was Sie gesehen haben, und löschen Sie alles, was Sie behalten haben.
• Exfiltrieren Sie keine Daten, um etwas zu beweisen. Ein Screenshot mit der Anzahl der Datensätze genügt.
• Installieren Sie keine Backdoors, legen Sie keine dauerhaften Konten an und dringen Sie nicht weiter in unsere Systeme vor, als zum Nachweis des Problems nötig ist.
• Halten Sie automatisierte Tools auf einer Rate, die andere Nutzer nicht beeinträchtigt.
• Geben Sie uns Zeit, das Problem zu beheben, bevor Sie es offenlegen. Wir schlagen 90 Tage ab Ihrer Meldung vor und vereinbaren gern gemeinsam mit Ihnen einen Termin.
• Bleiben Sie innerhalb des oben genannten Geltungsbereichs.

Safe Harbor

Wenn Sie in gutem Glauben und im Rahmen dieser Richtlinie handeln, betrachten wir Ihre Recherche als autorisiert. Wir erstatten keine Anzeige gegen Sie und erheben keine zivilrechtlichen Ansprüche.

Wir können die niederländische Staatsanwaltschaft (Openbaar Ministerie) nicht binden; sie trifft ihre eigenen Entscheidungen. Die Staatsanwaltschaft berücksichtigt jedoch eine veröffentlichte Disclosure-Richtlinie, und wenn sie oder jemand anderes danach fragt, bestätigen wir auf Anfrage, dass Sie im Rahmen unserer Richtlinie gehandelt haben. Dasselbe gilt für einen Dritten, der wegen Recherchen, die innerhalb dieser Richtlinie geblieben sind, Ansprüche gegen Sie geltend macht.

Belohnungen

Wir betreiben kein bezahltes Bug-Bounty-Programm. Wir bieten öffentliche Namensnennung, ein schriftliches Dankeschön und eine ehrliche Darstellung dessen, was wir geändert haben. Sollte sich das ändern, wird diese Seite es nennen.

Eine maschinenlesbare Version unserer Kontaktdaten ist veröffentlicht unter /.well-known/security.txt.