Sicherheitsrichtlinie

01 Richtlinie zur verantwortungsvollen Offenlegung

InfoPeak schätzt die Sicherheitsforschungsgemeinschaft und begrüßt die verantwortungsvolle Offenlegung von Schwachstellen. Wenn Sie ein Sicherheitsproblem in einem InfoPeak-Dienst entdecken, ermutigen wir Sie, es uns zu melden.

02 Geltungsbereich

Die folgenden Dienste und Assets sind für die verantwortungsvolle Offenlegung im Geltungsbereich:

• infopeak.io - Hauptanwendung und Website
• auth.infopeak.io - Authentifizierungsdienst
• InfoPeak Pass - Browsererweiterung
• InfoPeak VPN - Mobile und Desktop-Anwendungen

03 Offenlegungsrichtlinien

Wir bitten Sicherheitsforscher, diese Richtlinien zu befolgen:

• Geben Sie ausreichende Details an, um die Schwachstelle zu reproduzieren.
• Greifen Sie nicht auf Daten anderer Benutzer zu, ändern oder löschen Sie diese nicht.
• Führen Sie keine Denial-of-Service-Angriffe oder Social Engineering durch.
• Geben Sie uns ausreichend Zeit (90 Tage), um das Problem zu beheben, bevor es öffentlich gemacht wird.

04 Reaktionszeitplan

Die Zeitangaben gelten für Meldungen im Geltungsbereich nach Abschnitt 02, die die Anforderungen in Abschnitt 09 erfüllen.

05 Safe Harbor

InfoPeak wird keine rechtlichen Schritte gegen Sicherheitsforscher einleiten, die Schwachstellen in gutem Glauben gemäß dieser Richtlinie entdecken und melden. Wir betrachten unter dieser Richtlinie durchgeführte Sicherheitsforschung als autorisiert und werden keine rechtlichen Ansprüche für das Umgehen technologischer Maßnahmen einleiten, sofern die Forschung in Übereinstimmung mit dieser Richtlinie durchgeführt wird.

06 Vorfallreaktion & Meldung von Datenschutzverletzungen

Im Falle eines Sicherheitsvorfalls oder einer Datenschutzverletzung befolgt InfoPeak diese Verfahren gemäß der NIS2-Richtlinie (EU) 2022/2555 und den DSGVO-Artikeln 33 und 34:

• Innerhalb von 24 Stunden: Frühwarnung an das relevante nationale CSIRT (Computer Security Incident Response Team).
• Innerhalb von 72 Stunden: Vollständige Vorfallmeldung an die Aufsichtsbehörde (DSGVO) und CSIRT (NIS2), einschließlich Umfangsbewertung und Abhilfemaßnahmen.
• Ohne ungebührliche Verzögerung: Betroffene Benutzer werden per E-Mail mit klaren Informationen über die Art der Verletzung, betroffene Daten, getroffene Maßnahmen und empfohlene Aktionen benachrichtigt.
• Innerhalb von 1 Monat: Ein abschließender Bericht wird den zuständigen Behörden mit Ursachenanalyse und Präventivmaßnahmen vorgelegt.

07 Sicherheitsarchitektur

InfoPeak setzt die folgenden Sicherheitsmaßnahmen als Teil unseres Engagements für den Cyber Resilience Act (CRA) ein:

• Verschlüsselung im Ruhezustand: Ihre Inhalte werden mit AES-256-GCM verschlüsselt. Die Schlüssel werden in Ihrem Browser mit PBKDF2-SHA256 (210.000 Iterationen) abgeleitet und erreichen unsere Server nie.
• Verschlüsselung bei der Übertragung: TLS 1.3 für alle Verbindungen.
• Zero-Knowledge-Architektur: Persönliche Verschlüsselungsschlüssel werden clientseitig abgeleitet. InfoPeak kann nicht auf Ihre verschlüsselten Inhalte zugreifen.
• Nur EU-Hosting: Gesamte Infrastruktur innerhalb der Europäischen Union.
• Regelmäßige Sicherheitsupdates: Abhängigkeiten und Infrastruktur werden kontinuierlich überwacht und aktualisiert.

08 Nicht im Geltungsbereich

Das Folgende wird erfasst, aber nicht als Schwachstelle behandelt. Meldungen, die ausschließlich diese Punkte betreffen, erhalten keine individuelle Antwort:

• Fehlende Sicherheits-Header ohne nachgewiesenen Exploit - etwa CSP, HSTS oder X-Frame-Options auf Seiten ohne sensible Inhalte.
• SPF-, DKIM- und DMARC-Konfiguration sowie weitere DNS-Empfehlungen ohne nachgewiesenes Spoofing.
• Self-XSS und Angriffe, bei denen das Opfer selbst Code in die eigene Browser-Konsole einfügen muss.
• Clickjacking auf Seiten ohne zustandsändernde Aktionen.
• Fehlendes Rate Limiting bei Endpunkten, die weder authentifizieren noch E-Mails versenden.
• Versions- und Technologieoffenlegung sowie Meldungen zu veralteten Bibliotheken ohne nachgewiesenen Angriffsweg.
• Ausgaben automatischer Scanner ohne verifizierten, reproduzierbaren Exploit.
• Denial of Service, volumetrische Angriffe, Social Engineering und physischer Zugang.

09 Anforderungen an eine Meldung

Eine Meldung muss lesbar und reproduzierbar sein, ohne dass wir nachfragen müssen. Senden Sie sie als Text in der E-Mail selbst:

• Betroffene URL oder Endpunkt sowie das Konto oder die Rolle, mit der Sie getestet haben.
• Schriftliche Reproduktionsschritte. Ein Video allein genügt nicht - Meldungen, deren Schritte nur in einer Videodatei vorliegen, bearbeiten wir nicht.
• Die konkrete Auswirkung. Welche Daten oder Aktionen werden zugänglich, und für wen.
• Ein Fund pro Meldung. Sammelmeldungen mit mehreren unabhängigen Funden werden nicht triagiert.
• Keine Links zu externen Dateidiensten. Fügen Sie Nachweise direkt der E-Mail bei.

Meldungen, die diese Anforderungen nicht erfüllen, werden ohne Antwort geschlossen. Das ist keine Bewertung des Fundes - wir haben nicht die Kapazität, eine Meldung für den Absender zu rekonstruieren.