Richtlinie zur verantwortungsvollen Offenlegung

Senden Sie eine E-Mail an security@tickin.pro mit einer Beschreibung des Problems, den Schritten zur Reproduktion und gegebenenfalls einem Proof of Concept. Bitte geben Sie uns angemessen Zeit, das Problem zu untersuchen und zu beheben, bevor Sie es öffentlich machen.

Wir bemühen uns, den Eingang Ihrer Meldung innerhalb von 3 Werktagen zu bestätigen und innerhalb von 10 Werktagen eine Einschätzung oder einen Statusbericht zu liefern. Wie lange eine Behebung dauert, hängt von Schweregrad und Komplexität ab; wir halten Sie auf dem Laufenden.

• tickin.pro und die zugehörigen Subdomains (app, api)
• Die Tickin-Integrationen für Slack und Microsoft Teams
• Probleme bei Authentifizierung, Autorisierung und Mandantentrennung
• Offenlegung von Daten, Injection und ähnliche Schwachstellen in Anwendungen

• Denial-of-Service-Angriffe (DoS/DDoS) und volumetrische Angriffe
• Social Engineering, Phishing oder physische Angriffe auf Mitarbeitende oder Büros
• Ergebnisse automatisierter Scanner ohne nachgewiesene, ausnutzbare Auswirkung
• Hinweise zu Best Practices ohne Sicherheitsrelevanz (z. B. fehlende Header auf nicht sensiblen Seiten)
• Schwachstellen in Diensten Dritter, die wir nutzen (bitte melden Sie diese dem jeweiligen Anbieter)

Wenn Sie sich bei Ihrer Untersuchung nach Treu und Glauben bemühen, diese Richtlinie einzuhalten, betrachten wir Ihr Vorgehen als autorisiert, werden keine rechtlichen Schritte gegen Sie einleiten oder unterstützen und arbeiten mit Ihnen zusammen, um das Problem schnell zu verstehen und zu beheben. Bitte greifen Sie nicht auf fremde Daten zu, verändern Sie diese nicht und beeinträchtigen Sie den Dienst nicht für andere.

Wir betreiben derzeit kein bezahltes Bug-Bounty-Programm. Diese Richtlinie dient ausschließlich der koordinierten, verantwortungsvollen Offenlegung. Wir sind für jede Meldung dankbar und würdigen Ihren Beitrag gern, sofern Sie damit einverstanden sind.