Grundsätze
Oberstes Ziel jeder Meldung ist der Schutz der Betroffenen und die Einhaltung der Grundsätze der Hackerethik. Dafür gelten für beide Richtungen dieselben Grundsätze:
- Schaden vermeiden: Wir nutzen Schwachstellen nur so weit aus, wie es zum Nachweis nötig ist. Wir greifen keine Daten ab, verändern nichts und beeinträchtigen keine Verfügbarkeit.
- Vertraulichkeit: Details bleiben bis zur Behebung oder bis zum Ablauf der vereinbarten Frist zwischen den Beteiligten.
- Partnerschaft: Wir arbeiten mit Herstellern und Meldenden auf Augenhöhe zusammen, kommunizieren transparent und halten Zusagen ein.
- Verhältnismäßigkeit: Fristen und Veröffentlichungsumfang richten sich nach Risiko, Ausnutzung in freier Wildbahn und Kooperationsbereitschaft.
- Keine Gegenleistung als Bedingung: Wir verlangen für Meldungen weder Geld noch Aufträge. Eine Meldung ist kein Verkaufsgespräch.
Teil A: Koordinierte Offenlegung eigener Funde
Findet Mint Secure eine Schwachstelle bei Dritten, informieren wir den Verantwortlichen vertraulich und veröffentlichen Details frühestens nach Behebung, spätestens 90 Tage nach der Erstmeldung.
Ablauf
- Erstmeldung (Tag 0): Wir kontaktieren den Hersteller oder Betreiber über dessen security.txt, PSIRT, Bug-Bounty-Programm oder eine öffentlich genannte Sicherheitsadresse. Die Meldung enthält Beschreibung, betroffene Versionen, Auswirkung und einen Proof of Concept.
- Eingangsbestätigung: Wir bitten um Rückmeldung innerhalb von 7 Tagen. Bleibt sie aus, versuchen wir es über weitere Kanäle erneut.
- Behebungsphase: Wir unterstützen bei Analyse und Verifikation des Fixes und stimmen den Veröffentlichungstermin ab.
- Veröffentlichung (spätestens Tag 90): Ist der Fix verfügbar, veröffentlichen wir in Abstimmung mit dem Hersteller ein Advisory, ggf. mit CVE.
- Nachfrist (bis zu 30 Tage): Wird ein Patch innerhalb der 90 Tage ausgeliefert, veröffentlichen wir technische Details erst 30 Tage danach, damit Anwender aktualisieren können.
Abweichungen von der 90-Tage-Frist
| Situation |
Vorgehen |
| Aktive Ausnutzung in freier Wildbahn |
Verkürzte Frist von 7 Tagen; Warnung an Betroffene ggf. früher |
| Hersteller arbeitet nachweisbar an einem Fix, braucht aber mehr Zeit |
Einmalige Verlängerung um bis zu 14 Tage, in begründeten Fällen mehr |
| Kritische Infrastruktur, Medizinprodukte, komplexe Lieferketten |
Individuell vereinbarte Frist, ggf. unter Einbindung des BSI |
| Keine Reaktion nach mehreren Kontaktversuchen |
Eskalation an BSI bzw. CERT-Bund; Veröffentlichung nach Ablauf der 90 Tage |
| Schwachstelle bereits öffentlich bekannt |
Abstimmung mit dem Hersteller, Frist entfällt ggf. |
Inhalt der Veröffentlichung
Advisories enthalten betroffene Produkte und Versionen, Schweregrad (CVSS), eine Zeitleiste der Kommunikation und Empfehlungen zur Abhilfe. Funktionsfähige Exploits veröffentlichen wir nur, wenn ein Patch breit verfügbar ist und der Erkenntnisgewinn das Risiko überwiegt. Personenbezogene Daten, die bei der Analyse sichtbar wurden, veröffentlichen wir nie.
Teil B: Meldungen an Mint Secure
Schwachstellen in unseren Systemen melden Sie bitte an security@mint-secure.de, auf Wunsch PGP-verschlüsselt; den Schlüssel finden Sie in unserer security.txt unter mint-secure.de/.well-known/security.txt.
Was eine Meldung enthalten sollte
- Betroffenes System, URL oder Komponente
- Art der Schwachstelle und mögliche Auswirkung
- Reproduktionsschritte oder Proof of Concept
- Zeitpunkt des Fundes und Ihre Kontaktdaten (anonyme Meldungen sind möglich)
Unsere Zusagen
| Schritt |
Frist |
| Eingangsbestätigung |
innerhalb von 3 Werktagen |
| Erste Bewertung und Einstufung |
innerhalb von 10 Werktagen |
| Statusupdates |
mindestens alle 14 Tage |
| Behebung kritischer und hoher Schwachstellen |
angestrebt innerhalb von 30 Tagen |
| Behebung aller übrigen Schwachstellen |
innerhalb von 90 Tagen |
Wir legen Ihnen gegenüber offen, wenn sich die Behebung verzögert, und begründen das. Eine Veröffentlichung durch Sie stimmen wir gemeinsam ab – auch hier gilt im Regelfall die 90-Tage-Frist ab Ihrer initialen Meldung.
Safe Harbor und Spielregeln
Wer nach Treu und Glauben forscht und diese Regeln einhält, hat von Mint Secure keine rechtlichen Schritte zu befürchten. Wir erstatten keine Strafanzeige und machen keine zivilrechtlichen Ansprüche geltend. Werden Dritte wegen Ihrer Forschung aktiv, machen wir öffentlich, dass Sie im Einklang mit dieser Policy gehandelt haben.
Erlaubt
- Testen der eigenen Konten und Daten
- Nachweis einer Schwachstelle mit minimalem Eingriff
- Automatisierte Scans in geringer Intensität
Nicht erlaubt
- Denial-of-Service, Last- oder Stresstests
- Social Engineering, Phishing oder physischer Zutritt zu unseren Räumen
- Zugriff auf, Kopie, Änderung oder Löschung fremder Daten über den Nachweis hinaus
- Installation von Backdoors oder dauerhafte Persistenz
- Angriffe auf Systeme unserer Kunden, Partner oder Dienstleister
- Veröffentlichung vor Behebung oder vor Ablauf der abgestimmten Frist
- Forderungen nach Bezahlung als Bedingung für die Meldung
Stoßen Sie versehentlich auf personenbezogene oder vertrauliche Daten, beenden Sie den Test, speichern Sie nichts und informieren Sie uns sofort.
Geltungsbereich
| Im Scope |
Außerhalb des Scopes |
| mint-secure.de inkl. Subdomains |
Systeme und Daten unserer Kunden |
| Öffentlich erreichbare Dienste der Mint Secure GmbH |
Drittanbieter-Plattformen (z. B. Hosting, SaaS), soweit nicht von uns betrieben |
| Von Mint Secure veröffentlichte Software und Tools |
Befunde ohne Sicherheitsauswirkung (z. B. fehlende Header ohne Exploit-Szenario) |
Vertraulichkeit und Änderungen
Vertraulichkeit und Datenschutz: Meldungen behandeln wir vertraulich und geben Ihre Identität nur mit Ihrer Zustimmung weiter, etwa an einen betroffenen Hersteller. Personenbezogene Daten verarbeiten wir ausschließlich zur Bearbeitung der Meldung gemäß Art. 6 Abs. 1 lit. f DSGVO und löschen sie nach Abschluss.
Gesetzliche Pflichten: Meldepflichten, etwa nach NIS2 oder dem Cyber Resilience Act, bleiben unberührt und gehen dieser Policy vor.
Änderungen: Wir überprüfen diese Policy mindestens jährlich. Maßgeblich ist die zum Zeitpunkt der Meldung veröffentlichte Fassung.
Vorbild für die 90-Tage-Frist sind etablierte Programme wie Google Project Zero und die CERT/CC-Richtlinie sowie ISO/IEC 29147.
