Was wir zusagen
Wir beheben die schwerwiegendsten Probleme zuerst. Wir informieren Sie, sobald das Update bereitsteht, und stimmen gemeinsam ab, wann die Details veröffentlicht werden können.
So melden Sie
Senden Sie eine E-Mail an security@adverant.ai. Bitte geben Sie Folgendes an:
- was Sie wo gefunden haben (URL, Produktbereich oder Komponente);
- die Schritte zur Reproduktion, inklusive Proof-of-Concept-Code oder Screenshots;
- was ein Angreifer Ihrer Einschätzung nach damit tun könnte;
- wie wir Sie erreichen können und ob Sie namentlich genannt werden möchten.
Schreiben Sie nach Möglichkeit auf Englisch. Ein klarer Gesamtbericht ist hilfreicher als mehrere kurze. Bitte fügen Sie keine personenbezogenen Daten bei, auf die Sie gestoßen sind; beschreiben Sie diese stattdessen nur.
Geltungsbereich
- adverant.ai und die von Adverant betriebenen Subdomains;
- Adverant Nexus, wie wir es in unserer EU-Cloud betreiben, einschließlich KI-Schaltzentrale, Anmeldung und offenem Datensatz-Prüfer;
- Nexus-Software, Installationsprogramme und Update-Pakete, für deren Betrieb Sie eine Lizenz besitzen.
Nicht im Geltungsbereich: Angriffe auf unsere Mitarbeitenden (Phishing, Social Engineering), physische Angriffe, Denial-of-Service-Attacken, Ergebnisse, die ein bereits kompromittiertes Gerät voraussetzen, sowie Berichte von automatisierten Scannern ohne nachgewiesene Auswirkung. Die eigene Installation eines Kunden gehört diesem Kunden; bitte melden Sie dortige Probleme sowohl dem Kunden als auch uns.
Testregeln
- Nutzen Sie nur Konten und Daten, die Ihnen gehören oder die Ihnen zu Testzwecken überlassen wurden.
- Beschränken Sie sich auf das Nötigste, um das Problem nachzuweisen. Brechen Sie sofort ab und informieren Sie uns, sobald Sie auf Daten Dritter stoßen.
- Verändern oder löschen Sie keine Daten, beeinträchtigen Sie nicht den Betrieb und behalten Sie den Zugriff nicht länger als nötig.
- Behandeln Sie die Details vertraulich, bis wir ein Datum für die Offenlegung vereinbart haben.
Rechtsschutz (Safe Harbour)
Wenn Sie in gutem Glauben handeln und diese Regeln befolgen, betrachten wir Ihre Sicherheitsforschung als autorisiert. Wir werden deswegen weder rechtliche Schritte gegen Sie einleiten noch Sie bei Behörden melden. Sollte dies durch Dritte geschehen, werden wir klarstellen, dass Sie mit unserer Erlaubnis gehandelt haben. Dies gilt nicht für Handlungen, die in einer Weise gegen Gesetze verstoßen, die durch diese Regeln nicht abgedeckt werden kann.
Offenlegung
Wir ziehen es vor, Details erst zu veröffentlichen, nachdem die Behebung für alle Betroffenen verfügbar ist. Wir stimmen den Zeitpunkt mit Ihnen ab und bitten Sie nicht, länger zu schweigen, als es zum Schutz unserer Kunden nötig ist. Bei unterschiedlichen Auffassungen begründen wir unseren Standpunkt.
Wenn Sie Kunde sind
Melden Sie vermutete Vorfälle über den Sicherheitskontakt in Ihrem Vertrag oder über den Support direkt in Nexus, damit wir Ihrem Notfallplan folgen können. Informationen darüber, wie wir Daten schützen und welche Regelwerke wir abbilden, finden Sie im Trust Centre.