Sicherheitslücken melden

Richtlinie zur koordinierten Offenlegung von Schwachstellen. Stand: 08.10.2026.

1. Worum es geht

Sicherheit hat bei Frederich Engineering Vorrang vor Geschwindigkeit und Funktionen. Wenn Sie eine Sicherheitslücke in einem unserer Produkte oder Dienste finden, möchten wir davon erfahren, um sie schnell zu beheben. Diese Richtlinie beschreibt, wie Sie melden, was Sie von uns erwarten können und welche Regeln für Ihre Tests gelten.

2. Geltungsbereich

• Klarfeed Cloud (klarfeed.app) und die Klarfeed-Website (klarfeed.com)
• der Passwort-Generator Klarpass (klarpass.app)
• Software von Frederich Engineering, die wir verkaufen oder veröffentlichen (z. B. Klarfeed zum Selbst-Hosten), in der jeweils aktuellen Version
• unsere Firmen-Website frederich-engineering.com

Nicht im Geltungsbereich sind Dienste Dritter, die wir nutzen (z. B. Stripe, Hetzner, unser E-Mail-Anbieter) -- bitte melden Sie dort direkt -- sowie Feeds und Websites Dritter, die in Klarfeed angezeigt werden.

3. So melden Sie

E-Mail an security@frederich-engineering.com, möglichst mit:

• betroffenem Produkt oder Dienst und Version bzw. URL,
• Beschreibung der Lücke und ihrer Auswirkung,
• Schritten zum Nachvollziehen (Proof of Concept),
• Ihrem Namen oder Pseudonym, wenn Sie genannt werden möchten.

Sie können auf Deutsch oder Englisch schreiben. Bitte verschlüsseln Sie vertrauliche Details mit unserem PGP-Schlüssel (RSA 4096, gültig bis 30.06.2027), Fingerabdruck:
2D28 1AA4 8156 6C99 B747 6DEB 7E91 8184 7FC9 FEFE

4. Was Sie von uns erwarten können

Wir sind ein kleines Unternehmen und versprechen nur, was wir halten können:

• Eingangsbestätigung innerhalb von 3 Werktagen.
• Erste Einschätzung (bestätigt / nicht nachvollziehbar / kein Sicherheitsproblem) innerhalb von 10 Werktagen.
• Wir halten Sie über den Stand der Behebung auf dem Laufenden.
• Behebung: kritische Lücken so schnell wie möglich, Ziel für alle bestätigten Lücken höchstens 90 Tage.
• Veröffentlichung: abgestimmt mit Ihnen; Standard ist nach der Behebung, spätestens 90 Tage nach der Meldung, sofern wir nichts anderes vereinbaren. Auf Wunsch nennen wir Sie als Finder.
• Wo sinnvoll, beantragen wir eine CVE-Kennung.
• Wir erfüllen unsere gesetzlichen Meldepflichten, insbesondere nach dem EU Cyber Resilience Act.

Wir zahlen derzeit keine Prämien (kein Bug-Bounty-Programm).

5. Regeln für Tests und unsere Zusage

Wenn Sie in gutem Glauben und nach diesen Regeln handeln, werden wir keine Strafanzeige stellen und keine zivilrechtlichen Schritte gegen Sie einleiten. Wir können nicht für Dritte (z. B. Behörden) sprechen, bestätigen aber auf Nachfrage, dass Ihre Tests im Rahmen dieser Richtlinie lagen.

• Testen Sie nur mit eigenen Konten und eigenen Daten. Für Klarfeed Cloud können Sie uns um einen Testzugang bitten.
• Greifen Sie nicht auf Daten anderer Nutzer zu. Stoßen Sie doch darauf: sofort aufhören, nichts speichern oder weitergeben, und uns melden.
• Keine Tests, die den Dienst beeinträchtigen (Denial of Service, Lasttests, Massen-Anfragen, Spam).
• Kein Social Engineering, kein Phishing, kein physischer Zugriff; keine Angriffe auf unsere Mitarbeiter, Dienstleister oder Hoster.
• Nutzen Sie eine Lücke nur so weit, wie es für den Nachweis nötig ist; keine Hintertüren, keine dauerhaften Änderungen.
• Veröffentlichen Sie Details erst nach Abstimmung mit uns (Abschnitt 4).

6. Was wir in der Regel nicht als Lücke behandeln

• Berichte automatischer Scanner ohne nachgewiesene Auswirkung
• fehlende Sicherheits-Header oder Cookie-Flags ohne konkreten Angriff
• Self-XSS, Clickjacking auf Seiten ohne sicherheitsrelevante Aktion
• SPF-/DKIM-/DMARC-Hinweise, Banner- und Versionsangaben
• Denial of Service durch reine Last
• Angriffe, die ein bereits kompromittiertes Gerät oder physischen Zugriff voraussetzen

Im Zweifel: melden Sie trotzdem.