Sicherheit

Sicherheitslücke melden

In StammTools stecken Daten von Kindern, Eltern und Gruppenleitungen. Wenn ihr eine Schwachstelle findet, meldet sie uns bitte vertraulich, damit wir sie schließen können, bevor jemand sie ausnutzt. Danke, dass ihr hinschaut.

So meldet ihr eine Lücke

Schreibt an security@stammtools.dev-fox.me, am besten verschlüsselt mit unserem OpenPGP-Schlüssel. Wir lesen Deutsch und Englisch. Hilfreich sind:

• betroffene Instanz oder URL und die Version, falls bekannt,
• was die Lücke ist und was jemand damit anstellen könnte,
• die Schritte, mit denen wir sie nachvollziehen können, gern mit Proof of Concept,
• wie wir euch erreichen und ob ihr in den Danksagungen genannt werden möchtet.

Unsere Kontaktdaten stehen auch maschinenlesbar in /.well-known/security.txt. Jede StammTools-Instanz leitet ihre eigene security.txt hierher weiter.

Wo ihr testen dürft

Getestet wird ausschließlich in unserer Demo. Sie läuft mit derselben Software wie die echten Instanzen, enthält aber nur erfundene Daten. Schreibt uns an security@stammtools.dev-fox.me, dann bekommt ihr einen eigenen Demo-Zugang, an dem ihr euch austoben könnt.

Nicht freigegeben sind:

• alle Live-Instanzen, also die Websites und internen Bereiche von Stämmen und Organisationen, die StammTools nutzen. Dort liegen echte Daten von Kindern und Eltern.
• diese Seite, stammtools.dev-fox.me,
• Dienste Dritter, die StammTools nur anbindet, etwa EasyVerein oder Banken (meldet Lücken dort bitte direkt),
• Überlastungs- und Lasttests (DoS), Spam, Social Engineering, Phishing und physische Angriffe.

Ist euch auf einer Live-Instanz nebenbei etwas aufgefallen, ohne dass ihr gezielt getestet habt? Dann meldet es uns trotzdem, aber probiert dort nichts weiter aus. Wir prüfen es in der Demo.

Ergebnisse automatischer Scanner ohne nachgewiesene Auswirkung, etwa fehlende Header ohne konkreten Angriff, nehmen wir nicht als Lücke an.

Spielregeln

• Testet nur in der Demo, mit dem Zugang, den ihr von uns bekommen habt.
• Testet nur so weit, wie es nötig ist, um die Lücke zu zeigen.
• Seht euch keine Daten anderer Personen an, verändert oder löscht sie nicht und speichert sie nicht. Passiert es trotzdem, hört sofort auf, meldet es uns und löscht die Daten.
• Beeinträchtigt nicht die Verfügbarkeit und richtet keine Hintertüren ein.
• Veröffentlicht die Lücke erst, wenn sie behoben ist oder wir einen Termin abgesprochen haben. Wir peilen höchstens 90 Tage an.

Was ihr von uns erwarten könnt

• Eine Eingangsbestätigung innerhalb von fünf Werktagen.
• Eine Einschätzung der Lücke und einen Zeitplan für die Behebung, danach regelmäßig den Stand.
• Wir informieren die Betreiber betroffener Instanzen und stellen das Update bereit.
• Auf Wunsch nennen wir euch in den Danksagungen.
• Wer sich in gutem Glauben an diese Regeln hält und nur in der Demo testet, muss von uns keine rechtlichen Schritte befürchten. Für Tests an Live-Instanzen können wir das nicht zusagen, denn die gehören nicht uns, sondern den Stämmen und Organisationen.

Wir zahlen keine Prämien (kein Bug-Bounty-Programm). Bitte verlangt für eine Meldung kein Geld.

In English

Found a vulnerability in StammTools or a site running it? Please report it privately to security@stammtools.dev-fox.me, ideally encrypted with our OpenPGP key. Only our demo is in scope. Email us and you get your own demo account to test against. Live instances run by scout groups and other organizations are out of scope: they hold real data of children and parents, so do not test them. If you noticed something there without testing, report it and we will reproduce it in the demo. Test only as far as needed, do not access, change or keep other people's data, no denial of service, and give us up to 90 days before disclosure. We confirm receipt within five working days, keep you updated, credit you on request and take no legal action against good-faith research in the demo that follows these rules. There is no bug bounty.