Die HighQSoft GmbH lädt Sicherheitsforscher und die Öffentlichkeit dazu ein, potenzielle Sicherheitslücken verantwortungsbewusst zu melden.

In dieser Richtlinie wird erläutert, wie Sicherheitslücken gemeldet werden können, welche Tests in den Geltungsbereich fallen und wie die HighQSoft GmbH mit den Meldungen umgeht.

Bitte melden Sie Sicherheitslücken an:

• E-Mail: cyber-security@highqsoft.atlassian.net
• Ticketsystem: CRA-Service-Desk-Ticket
• Anonymes Webformular am Ende dieser Seite

Sollte Ihr Bericht vertrauliche Angaben enthalten, verschlüsseln Sie ihn bitte mit unserem öffentlichen Schlüssel:

• PGP-Schlüssel herunterladen: https://www.highqsoft.com/wp-content/uploads/HighQSoft-PSIRT-public.key
• Fingerabdruck des Primärschlüssels: BD8D BBD4 B1F8 14A7 A21D 6A4F 9F99 B119 CA66 6DC3

Die folgenden Ziele fallen in den Geltungsbereich, sofern sie Eigentum der HighQSoft GmbH sind oder von dieser betrieben werden:

• Öffentliche Websites
• Öffentliche APIs
• Desktop- und Client-Software

Die folgenden Aktivitäten fallen nicht in den Geltungsbereich:

• Social Engineering, Phishing oder Pretexting
• Prüfung der physischen Sicherheit
• Alle Systeme, Dienste oder Infrastrukturen, die nicht Eigentum der HighQSoft GmbH sind

Bei der Durchführung von Sicherheitstests müssen Sie:

• Handeln Sie nach Treu und Glauben und vermeiden Sie Datenschutzverletzungen, Datenvernichtung und Betriebsstörungen
• Verwenden Sie ausschließlich die Techniken, die zur Bestätigung der Sicherheitslücke erforderlich sind
• Beenden Sie die Untersuchung unverzüglich, sobald ein Befund festgestellt wurde
• Keine Daten abrufen, ändern oder aufbewahren, die über das für den Proof-of-Concept unbedingt erforderliche Maß hinausgehen
• Geben Sie keine Details zur Sicherheitslücke öffentlich bekannt, es sei denn, die HighQSoft GmbH erteilt zuvor eine schriftliche Genehmigung.

Die HighQSoft GmbH wird keine rechtlichen Schritte gegen Forscher einleiten, die:

• Befolgen Sie diese Richtlinie nach bestem Wissen und Gewissen
• Halten Sie sich an den Aufgabenbereich und die Einsatzregeln
• Melden Sie Sicherheitslücken unverzüglich und leisten Sie angemessene Unterstützung bei der Überprüfung und Behebung

Sollten Ihre Aktivitäten versehentlich Auswirkungen auf Systeme oder Daten haben, benachrichtigen Sie uns bitte umgehend.

Bitte geben Sie Folgendes an:

• Eine klare Beschreibung des Problems und des betroffenen Objekts
• Schritte zur Reproduktion des Problems
• Nachweis des Konzepts (Screenshots, Protokolle, Beispiele für Anfragen und Antworten oder Details zum Exploit)
• Auswirkungen auf die Sicherheit und potenzielle Geschäftsrisiken
• Vorgeschlagene Abhilfemaßnahmen, sofern vorhanden

Die HighQSoft GmbH hat sich folgende Ziele gesetzt:

• Bestätigen Sie den Erhalt bitte innerhalb von 5 Werktagen
• Führen Sie die erste Triage innerhalb von 15 Werktagen durch
• Bitte liefern Sie monatlich Statusberichte zu den angenommenen Meldungen, bis diese abgeschlossen sind.

Komplexe Sachverhalte können zusätzlichen Zeitaufwand erfordern. Wir werden Sie nach Möglichkeit über Änderungen des Zeitplans informieren.

• Meldungen werden als koordinierte Offenlegungen behandelt.
• Eine Veröffentlichung durch Forscher bedarf der vorherigen schriftlichen Genehmigung der HighQSoft GmbH.
• Die HighQSoft GmbH kann gegebenenfalls Sicherheitshinweise veröffentlichen.

Die HighQSoft GmbH betreibt derzeit kein kostenpflichtiges Bug-Bounty-Programm.

Nach unserem Ermessen können wir gültige Meldungen in einer öffentlichen Liste der bestätigten Meldungen aufführen, sofern der Meldende damit einverstanden ist.

• Bitte geben Sie in Berichten keine unnötigen personenbezogenen Daten an.
• Die HighQSoft GmbH verarbeitet die übermittelten Informationen ausschließlich zum Zwecke der Sicherheitsüberprüfung, der Behebung von Sicherheitsmängeln und der damit verbundenen Kommunikation.

Die HighQSoft GmbH behält sich das Recht vor, diese Richtlinie jederzeit zu aktualisieren.

Gültigkeitsdatum: 01.07.2026

Eigentümer: HighQSoft PSIRT

Sie können uns Ihre Informationen auch anonym übermitteln, indem Sie das folgende Webformular nutzen, um eine anonyme Meldung zu senden. Bitte beachten Sie, dass wir bei dieser Vorgehensweise keine personenbezogenen Daten von Ihnen erfassen. Bitte beachten Sie außerdem, dass wir Ihnen keine Rückfragen zu einer Meldung senden können.