Sicherheitslücke melden

Du hast eine Schwachstelle in Lumeya gefunden? Danke, dass du sie uns meldest, statt sie auszunutzen. Wir nehmen jede Meldung ernst.

So meldest du eine Schwachstelle

• Schreib an office@luminantmind.com, am besten mit dem Betreff „Sicherheit“. Deutsch oder Englisch ist beides in Ordnung.
• Beschreib, was du gefunden hast, wo (Adresse oder Funktion) und wie wir es nachvollziehen können. Ein kurzer Weg Schritt für Schritt hilft uns am meisten.
• Schick bitte keine Passwörter, Zugangsdaten oder Daten anderer Menschen mit, auch nicht, wenn du sie beim Prüfen gesehen hast.

Was wir tun

• Wir bestätigen dir den Eingang, sobald wir deine Meldung gelesen haben, und halten dich über den Stand auf dem Laufenden.
• Wir prüfen die Meldung und beheben bestätigte Lücken so schnell wie möglich. Wir sagen dir Bescheid, wenn sie behoben ist.
• Wenn du möchtest, nennen wir dich nach der Behebung als Finderin oder Finder. Eine Geldprämie gibt es derzeit nicht.

Spielregeln für deine Prüfung

Wenn du dich an diese Regeln hältst, sehen wir deine Prüfung als in gutem Glauben an. Wir gehen dann nicht rechtlich gegen dich vor und erstatten keine Anzeige wegen deiner Prüfung:

• Prüfe nur mit deinem eigenen Konto oder mit Konten, die du selbst zum Testen angelegt hast.
• Greif nicht auf Daten anderer zu, verändere oder lösche sie nicht. Stößt du trotzdem auf fremde Daten, hör sofort auf, speichere nichts davon und sag uns Bescheid.
• Keine Angriffe, die den Betrieb stören (zum Beispiel Überlastung, massenhafte Anfragen oder Spam über Formulare), keine Täuschung von Kundinnen, Kunden oder unserem Team, keine Angriffe auf Gebäude oder Geräte.
• Prüfe keine Websites unserer Kundinnen und Kunden unter deren eigenen Domains und keine Dienste anderer Anbieter. Diese gehören nicht uns.
• Nutze eine Lücke nur so weit, wie es für den Nachweis nötig ist.
• Veröffentliche Einzelheiten erst, wenn die Lücke behoben ist, und stimm den Zeitpunkt mit uns ab.

Diese Zusage gilt für Lumeya als Betreiber. Rechte anderer, zum Beispiel unserer Kundinnen und Kunden, und gesetzliche Pflichten können wir damit nicht ausschließen.

Was wir nicht als Schwachstelle werten

• Ergebnisse automatischer Scanner ohne nachvollziehbare Auswirkung.
• Fehlende Einstellungen oder Kopfzeilen, wenn sich daraus kein Angriff ergibt.
• Angriffe, die nur mit vollem Zugriff auf dein eigenes Gerät oder dein eigenes Konto funktionieren.

Maschinenlesbar und weitere Wege

• Unsere Kontaktdaten für Sicherheitsmeldungen stehen auch in der Datei /.well-known/security.txt (Standard RFC 9116).
• Rechtswidrige Inhalte auf einer Website, die mit Lumeya erstellt wurde, meldest du über Inhalte melden.