Responsible-Disclosure-Richtlinie

Sicherheit steht bei DSwiss AG im Zentrum unserer Arbeit. Trotz aller Sorgfalt können Schwachstellen nie ganz ausgeschlossen werden. Wenn Sie eine Sicherheitslücke in einem unserer Systeme entdeckt haben, sind wir für eine verantwortungsvolle Meldung dankbar. Wir verpflichten uns, mit Sicherheitsforschenden zusammenzuarbeiten, um gemeldete Schwachstellen zu prüfen und zu beheben.

Geltungsbereich

Diese Richtlinie gilt für die folgenden von der DSwiss AG betriebenen Systeme:

• www.securesafe.com und die SecureSafe-Webapplikation
• SecureSafe Mobile Apps (iOS und Android)
• SecureSafe Browser-Erweiterung
• SecureSafe Desktop-Applikation

Von Dritten betriebene Systeme sind nicht Teil des Geltungsbereichs, auch wenn sie von unseren Diensten verlinkt werden.

Nicht im Geltungsbereich

Folgende Punkte gelten nicht als qualifizierende Schwachstellen und dürfen nicht getestet werden:

• Denial-of-Service-Angriffe (DoS/DDoS) oder Tests zur Ressourcenerschöpfung
• Social Engineering, Phishing oder physische Angriffe auf Mitarbeitende, Büros oder Rechenzentren von DSwiss
• Spam sowie SPF/DKIM/DMARC-Konfigurationshinweise ohne nachgewiesene Auswirkung
• Schwachstellen, die veraltete Browser oder Plattformen voraussetzen
• Clickjacking auf Seiten ohne sensitive Aktionen
• Automatisiertes Scannen mit erheblichem Traffic
• Schwachstellen in Diensten von Drittanbietern

Meldung einer Schwachstelle

Bitte melden Sie Schwachstellen an security@dswiss.com.

Geben Sie nach Möglichkeit an:

• Beschreibung der Schwachstelle und ihrer möglichen Auswirkungen
• Schritte zur Reproduktion (Proof of Concept, Screenshots oder Skripte)
• Betroffenes System, URL oder App-Version
• Ihre Kontaktdaten für Rückfragen

Anonyme Meldungen sind möglich; ohne Kontaktdaten können wir Sie jedoch nicht über den Fortschritt informieren.

Verhaltensregeln

Bei der Untersuchung einer möglichen Schwachstelle bitten wir Sie:

• Greifen Sie nicht auf Daten anderer Nutzerinnen und Nutzer zu, verändern oder löschen Sie diese nicht. Falls eine Schwachstelle fremde Daten offenlegt, brechen Sie sofort ab und melden Sie den Fund.
• Beschränken Sie Tests auf das zur Demonstration notwendige Minimum (nur Proof of Concept, keine Datenextraktion).
• Beeinträchtigen Sie nicht unsere Dienste oder die Nutzung durch unsere Kundinnen und Kunden.
• Nutzen Sie die Schwachstelle nicht zu Ihrem eigenen Vorteil oder dem Vorteil Dritter.
• Geben Sie uns angemessene Zeit zur Behebung vor einer allfälligen Veröffentlichung (siehe koordinierte Offenlegung).

Unsere Zusagen

• Wir bestätigen den Eingang Ihrer Meldung innerhalb von 5 Arbeitstagen.
• Wir liefern eine erste Einschätzung und informieren Sie über den Stand der Behebung.
• Bestätigte Schwachstellen beheben wir gemäss unserem internen Patch-Management-Standard. Kritische Schwachstellen in Produktivsystemen werden innerhalb von 48 Stunden nach Verfügbarkeit eines Fixes adressiert.
• Wir praktizieren koordinierte Offenlegung: Wir bitten Sie, während 90 Tagen ab Meldung oder bis zur Bereitstellung eines Fixes (je nachdem, was zuerst eintritt) auf eine Veröffentlichung zu verzichten. Gerne vereinbaren wir eine koordinierte Publikation mit Ihnen.

Safe Harbor

DSwiss leitet keine rechtlichen Schritte gegen Sicherheitsforschende ein, die in guten Treuen:

• diese Richtlinie und die obigen Verhaltensregeln einhalten,
• ihre Erkenntnisse umgehend und ausschliesslich an uns melden, und
• weder die Privatsphäre oder Sicherheit unserer Kundinnen und Kunden noch die Verfügbarkeit unserer Dienste gefährden.

Forschung im Einklang mit dieser Richtlinie betrachten wir als autorisiert und willkommen.

Anerkennung

Wir betreiben derzeit kein bezahltes Bug-Bounty-Programm. Mit Ihrem Einverständnis würdigen wir wesentliche Beiträge gerne öffentlich.

Unser Umgang mit Schwachstellen orientiert sich an ISO/IEC 29147 (Vulnerability Disclosure) und ISO/IEC 30111 (Vulnerability Handling) und ist Teil unseres nach ISO/IEC 27001 zertifizierten Informationssicherheits-Managementsystems. Meldungen können zudem über das Coordinated-Vulnerability-Disclosure-Programm des Nationalen Zentrums für Cybersicherheit (NCSC/BACS) koordiniert werden.