--- title: "Richtlinie zur Meldung von Schwachstellen | Chargezen" description: "Erfahre, wie du Chargezen eine Sicherheitslücke meldest und wie die verantwortungsvolle Offenlegung abläuft." url: "https://chargezen.com/de/vulnerability-disclosure" lang: "de" --- Canonical URL: https://chargezen.com/de/vulnerability-disclosure Sicherheit # Richtlinie zur Meldung von Schwachstellen ## Chargezen begrüßt die verantwortungsvolle Offenlegung von Schwachstellen durch Sicherheitsforscher. Wir setzen uns dafür ein, gemeinsam mit der Sicherheitscommunity unsere Kunden zu schützen. Gültig ab: 4. Januar 2026 Bug-Bounty-Programm aktiv ### Schwachstelle melden Ein Sicherheitsproblem gefunden? Bitte melde es verantwortungsvoll. Wir schätzen deine Hilfe dabei, Chargezen sicher zu halten. E-Mail (bevorzugt) [security@chargezen.com](mailto:security@chargezen.com) PGP-Schlüssel auf Anfrage verfügbar Erwartete Antwortzeit 24 Stunden Kritische Probleme: am selben Werktag ### Im Geltungsbereich * chargezen.com und alle Subdomains * admin.chargezen.com (Händler-Dashboard) * api.chargezen.com (REST- und GraphQL-APIs) * Mobile Chargezen-Anwendungen (iOS, Android) * Chargezen-Browsererweiterungen * Open-Source-Projekte unter github.com/chargezen ### Außerhalb des Geltungsbereichs * Drittanbieterdienste und Integrationen * Persönliche Konten oder Geräte von Chargezen-Mitarbeitern * Angriffe auf die physische Sicherheit oder Social Engineering * Denial-of-Service-Angriffe (DoS/DDoS) * Spam oder Social Engineering * Bereits gemeldete Schwachstellen * Probleme, die physischen Zugriff auf Geräte erfordern ## Bug-Bounty-Prämien Prämien richten sich nach Schweregrad, Auswirkung und Qualität des Berichts. ### Kritisch Remote-Code-Ausführung, SQL-Injection, Umgehung der Authentifizierung, Datenschutzverletzung US$5.000 - US$15.000 Beispiele: RCE auf Produktionsservern SQLi mit Offenlegung von Kundendaten Umgehung der Authentifizierung zum Adminbereich ### Hoch Erhebliche Datenoffenlegung, Rechteausweitung, gespeichertes XSS mit Auswirkungen US$1.000 - US$5.000 Beispiele: Gespeichertes XSS mit Auswirkungen auf andere Benutzer IDOR mit Offenlegung sensibler Daten Rechteausweitung ### Mittel Begrenzte Datenoffenlegung, CSRF, reflektiertes XSS, Offenlegung von Informationen US$250 - US$1.000 Beispiele: Reflektiertes XSS CSRF bei zustandsändernden Aktionen Sensible Informationen in Antworten ### Niedrig Geringfügige Probleme, Verstöße gegen bewährte Verfahren, Informationsfreigabe mit geringen Auswirkungen US$50 - US$250 Beispiele: Fehlende Sicherheitsheader Zu ausführliche Fehlermeldungen Geringfügige Informationsfreigabe ### Richtlinien zur verantwortungsvollen Offenlegung #### Was wir von dir erwarten * Detaillierte Berichte mit Schritten zur Reproduktion bereitstellen * Uns vor der Offenlegung angemessene Zeit zur Behebung geben (90 Tage) * Nicht auf Daten anderer zugreifen und diese weder ändern noch löschen * Keine Angriffe durchführen, die den Dienst beeinträchtigen (DoS) * Keine automatisierten Scan-Tools ohne Abstimmung verwenden * In gutem Glauben handeln, um Datenschutzverletzungen zu vermeiden #### Was wir zusagen * Innerhalb von 24 Stunden auf Berichte antworten * Gemeinsam mit dir Probleme verstehen und bestätigen * Dich über den Fortschritt der Behebung informieren * Keine rechtlichen Schritte wegen Forschung in gutem Glauben einleiten * Forscher öffentlich würdigen (mit Erlaubnis) * Prämien nach der Validierung zeitnah auszahlen ### Was dein Bericht enthalten sollte Hochwertige Berichte helfen uns, Probleme schneller zu beheben, und können zu höheren Prämien führen. 1 Art der Schwachstelle Klassifizierung (XSS, SQLi, IDOR usw.) 2 Betroffene URL oder Endpunkt Genauer Ort der Schwachstelle 3 Schritte zur Reproduktion Klare, nummerierte Schritte, denen jeder folgen kann 4 Machbarkeitsnachweis Screenshots, Videos oder Code, die das Problem zeigen 5 Folgenabschätzung Mögliche Auswirkungen bei Ausnutzung durch einen Angreifer 6 Vorgeschlagene Behebung Optionale, aber willkommene Empfehlungen ### Schutz vor rechtlichen Schritten Wenn Sicherheitsforschung gemäß dieser Richtlinie durchgeführt wird, betrachten wir sie als: * **Autorisiert:** Wir werden keine zivil- oder strafrechtlichen Schritte gegen Forscher einleiten, die in gutem Glauben handeln. * **Rechtmäßig:** Wir arbeiten mit dir zusammen, um Probleme schnell zu verstehen und zu lösen, und erstatten keine Anzeige gegen Forscher, die diese Richtlinie einhalten. * **Hilfreich:** Wir stimmen die Offenlegung mit dir ab und nennen dich auf Wunsch bei der Veröffentlichung von Behebungen. ## Bereit für eine Meldung? Hilf uns, Chargezen sicher zu halten. Reiche deinen Schwachstellenbericht ein und werde Teil unserer Security Hall of Fame. [Schwachstelle melden](mailto:security@chargezen.com) [Sicherheitsübersicht](https://chargezen.com/de/security)