Richtlinie zur koordinierten Offenlegung · msteps.de
Coordinated vulnerability disclosure policy · msteps.de
msteps.dewww.msteps.dem-steps.dewww.m-steps.defriadent.marcapo.commsteps.de wird von der marcapo GmbH betrieben. Wenn Sie auf einer der oben genannten Domains eine Schwachstelle gefunden haben, sind wir die Stelle, die sie beheben kann.
Wir nehmen jede Meldung ernst: auch außerhalb eines Prämienprogramms, auch von Personen ohne Sicherheitshintergrund, und auch dann, wenn sich der Verdacht am Ende nicht bestätigt.
Diese Richtlinie deckt alle Systeme ab, die unter den folgenden Domains erreichbar sind:
msteps.dewww.msteps.dem-steps.dewww.m-steps.defriadent.marcapo.com
Wenn Sie unsicher sind, ob ein Fund dazugehört, melden Sie ihn. Die Einordnung übernehmen wir.
Für dieses Portal ist aktives Testen nicht freigegeben. Auf den genannten Systemen werden personenbezogene Daten Dritter verarbeitet, über die wir nicht allein verfügen.
Bitte melden Sie, was Ihnen bei normaler Nutzung oder von außen auffällt. Verzichten Sie auf gezielte Angriffsversuche, automatisierte Scans und den Versuch, eine gefundene Lücke über den Nachweis hinaus auszunutzen.
Wenn Sie strukturiert testen möchten, schreiben Sie uns vorher an security@marcapo.com. Wir klären das mit dem Auftraggeber und melden uns zurück.
Damit wir Ihnen die Zusagen unter Ziffer 10 geben können, gelten diese Grenzen ausnahmslos:
Das kann passieren, gerade bei Zugriffsfehlern. Wichtig ist, was danach geschieht:
Eine solche Meldung wirkt sich nicht nachteilig auf die Bewertung Ihres Fundes oder eine mögliche Prämie aus. Wir brauchen diese Information, um unseren eigenen Meldepflichten nachzukommen. Sie zu verschweigen ist der einzige Weg, aus einem Fund ein Problem zu machen.
Per E-Mail an security@marcapo.com, auf Deutsch oder Englisch.
Ohne gezeigte konkrete Auswirkung bearbeiten wir in der Regel nicht:
abuse@marcapo.comWir haben nichts gegen Veröffentlichungen. Wir bitten nur um Reihenfolge.
Für einen Teil der von uns betriebenen Systeme zahlen wir eine finanzielle Anerkennung. Geltungsbereich, prämienrelevante Schwachstellenklassen, Ausschlüsse und Auszahlungsbedingungen stehen im Bug-Bounty-Programm.
Soweit Sie sich an Ziffer 2 und Ziffer 3 halten, gestattet Ihnen die marcapo GmbH die dort beschriebenen Handlungen ausdrücklich. Wir stellen gegen Sie keinen Strafantrag und machen keine zivilrechtlichen Ansprüche geltend. Werden wir im Rahmen behördlicher Ermittlungen befragt, bestätigen wir, dass Ihr Vorgehen von uns gestattet war.
Wir können nur für uns selbst sprechen, und wir halten es für fairer, das offen zu sagen als es zu verschweigen:
Bitte beziehen Sie das in Ihre Entscheidung ein, wie weit Sie gehen. Im Zweifel: fragen Sie uns vorher.
Wir verarbeiten die Angaben aus Ihrer Meldung, um den Sachverhalt zu prüfen, die Schwachstelle zu beheben und mit Ihnen zu kommunizieren. Dazu gehören Ihre Kontaktdaten sowie die technischen Angaben aus Ihrer Nachricht.
Wenn Sie es wünschen, bearbeiten wir Ihre Meldung unter Pseudonym. Für die Auszahlung einer Prämie brauchen wir allerdings Ihre Identität und weitere Angaben.
Einzelheiten finden Sie in unseren Datenschutzhinweisen.
msteps.dewww.msteps.dem-steps.dewww.m-steps.defriadent.marcapo.commsteps.de is operated by marcapo GmbH. If you have found a vulnerability on one of the domains listed above, we are the party that can fix it.
We take every report seriously – including reports outside any reward programme, reports from people without a security background, and reports that turn out to be false alarms.
This policy covers all systems reachable under the following domains:
msteps.dewww.msteps.dem-steps.dewww.m-steps.defriadent.marcapo.com
If you are unsure whether a finding belongs here, report it. We will do the triage.
Active testing is not authorised for this portal. These systems process personal data belonging to third parties, which is not ours alone to expose to testing.
Please report what you notice during normal use or from the outside. Refrain from deliberate attack attempts, automated scanning, and from exploiting a finding beyond what is needed to demonstrate it.
If you would like to test systematically, contact us first at security@marcapo.com. We will clarify it with the client and come back to you.
These limits apply without exception, and they are what allows us to give you the commitments in clause 10:
This happens, particularly with access control flaws. What matters is what you do next:
Telling us this will not count against your finding or a possible reward. We need the information to meet our own notification obligations. Concealing it is the only way to turn a finding into a problem.
By email to security@marcapo.com, in English or German.
Without a demonstrated concrete impact, we generally do not handle:
abuse@marcapo.comWe have no objection to publication. We only ask about sequence.
For some of the systems we operate, we pay a monetary reward. Scope, eligible vulnerability classes, exclusions and payment conditions are set out in our bug bounty programme.
As long as you stay within clauses 2 and 3, marcapo GmbH expressly authorises the activities described there. We will not file a criminal complaint against you and will not pursue civil claims. If we are asked in the course of an official investigation, we will confirm that your activity was authorised by us.
We can only speak for ourselves, and we consider it fairer to say so than to leave it out:
Please factor this into how far you decide to go. When in doubt, ask us first.
We process the information in your report in order to assess it, fix the vulnerability and communicate with you. This includes your contact details and the technical information in your message.
On request we will handle your report under a pseudonym. Paying out a reward, however, requires your identity and further details.
See our privacy notice for details.