Rechtliches
Sicherheit
Meldung von Schwachstellen (Responsible Disclosure)
Schwachstelle gefunden?
Wenn Sie glauben, eine Sicherheitslücke auf medieezi.com gefunden zu haben, schreiben Sie uns bitte an welcome@medieezi.com (Betreff „Sicherheitsmeldung“). Beschreiben Sie, was Sie beobachtet haben, wie es sich nachvollziehen lässt und welche Seite oder Schnittstelle betroffen ist.
Wir bestätigen den Eingang in der Regel innerhalb von drei Werktagen, prüfen die Meldung und informieren Sie über das Ergebnis. Bitte veröffentlichen Sie Details erst, wenn die Lücke behoben ist oder wir uns abgestimmt haben.
Bitte beachten Sie
- Greifen Sie nicht auf fremde Daten zu, verändern oder löschen Sie keine Daten und speichern Sie keine Daten über das zum Nachweis Nötige hinaus.
- Keine Last- oder Denial-of-Service-Tests, kein Social Engineering, keine physischen Angriffe und kein Spam über unsere Formulare.
- Automatisierte Scans werden von unserer Firewall begrenzt oder blockiert.
Wer sich daran hält und in gutem Glauben meldet, gegen den gehen wir nicht rechtlich vor. Ein Prämienprogramm (Bug-Bounty) gibt es derzeit nicht.
Technische Schutzmaßnahmen
Die Website ist an anerkannten Empfehlungen orientiert, unter anderem an OWASP ASVS und den OWASP Top 10, am BSI IT-Grundschutz und an der Technischen Richtlinie BSI TR-03161 sowie an Empfehlungen der ENISA. Das ist eine Orientierung, keine Zertifizierung oder Prüfung durch diese Stellen.
- Verschlüsselte Verbindung (HTTPS mit HSTS) und strenge Sicherheits-Header, darunter eine Content-Security-Policy mit Nonce pro Seitenaufruf.
- Web Application Firewall mit Regeln gegen bekannte Angriffsmuster und Scanner sowie Begrenzung der Anfragen an unsere Schnittstellen.
- Schutz vor Cross-Site-Request-Forgery, Prüfung und Größenbegrenzung von Eingaben, Bot-Schutz an Formularen.
- Begrenzung der Anmeldeversuche und signierte, zeitlich begrenzte Sitzungen für den Verwaltungsbereich.
- Prüfung der verwendeten Software-Bibliotheken auf bekannte Schwachstellen.
Maschinenlesbar
Die Kontaktangaben stehen auch in der Datei /.well-known/security.txt (RFC 9116).