Sicherheitslücken melden
Stand: September 2026
Wir nehmen Sicherheitsmeldungen ernst und freuen uns über sie. Diese Seite beschreibt, wie Sie uns erreichen, was mit einer Meldung geschieht und was Sie im Gegenzug von uns erwarten können.
So melden Sie
Bitte senden Sie Ihre Meldung per E-Mail. Veröffentlichen Sie die Lücke bitte nicht, bevor wir Gelegenheit hatten, sie zu schließen.
Wir lesen Meldungen auf Deutsch und Englisch.
Eine hilfreiche Meldung enthält:
- Welche Komponente betroffen ist (Website, Lizenzserver, Desktop-App) und welche Version.
- Schritte zum Nachvollziehen, möglichst genau.
- Was ein Angreifer damit erreichen könnte.
- Wie wir Sie nennen dürfen, falls Sie genannt werden möchten.
Geltungsbereich
Diese Regelung gilt für die Komponenten, die wir selbst betreiben und ausliefern:
- Die Website flowbotcommander.com einschließlich Kundenkonto.
- Der Lizenzserver und seine Schnittstellen unter /api/.
- Die Desktop-Anwendung FlowBotCommander und ihr Update-Mechanismus.
Nicht erfasst sind Dienste Dritter, die wir lediglich nutzen (etwa PayPal oder unser Hosting-Anbieter) — melden Sie Lücken dort bitte direkt beim jeweiligen Anbieter.
Was Sie von uns erwarten können
- Wir bestätigen den Eingang Ihrer Meldung innerhalb von 72 Stunden.
- Wir teilen Ihnen innerhalb von zehn Werktagen unsere Einschätzung und das geplante Vorgehen mit.
- Nach der Behebung informieren wir Sie und nennen Sie auf Wunsch in den Versionshinweisen.
Gutgläubige Sicherheitsforschung
Wenn Sie gutgläubig forschen und sich an die folgenden Regeln halten, gehen wir nicht rechtlich gegen Sie vor und zeigen Sie nicht an:
- Greifen Sie nur auf eigene Daten zu; brechen Sie ab, sobald Sie fremde Daten erreichen.
- Löschen oder verändern Sie keine Daten und beeinträchtigen Sie die Verfügbarkeit nicht (keine Denial-of-Service-Tests, keine Massenanfragen).
- Geben Sie uns angemessene Zeit zur Behebung, bevor Sie etwas veröffentlichen.
Wir betreiben kein bezahltes Bug-Bounty-Programm. Eine Meldung erfolgt freiwillig und begründet keinen Anspruch auf Vergütung.
Maschinenlesbarer Kontakt
Dieselben Kontaktangaben stehen maschinenlesbar unter /.well-known/security.txt nach RFC 9116 bereit.