Vulnerability Disclosure

4.1 Zweck

Die Sicherheit von Shopfloor Wizard ist uns wichtig. Diese Vulnerability Disclosure Policy (VDP) beschreibt, wie Sicherheitsforscher mögliche Schwachstellen verantwortungsvoll untersuchen und melden können. Sie soll einen klaren, koordinierten und möglichst sicheren Meldeweg schaffen.

Diese Richtlinie ist kein Bug-Bounty-Programm. Es besteht kein Anspruch auf Vergütung, Prämie oder sonstige Gegenleistung, sofern dies nicht vorab ausdrücklich schriftlich vereinbart wurde.

4.2 Geltungsbereich

Grundsätzlich im Scope:

• shopfloorwizard.com;
• shopfloorwizard.de;
• von uns betriebene Subdomains dieser Domains;
• die von uns bereitgestellte Shopfloor-Wizard-Webanwendung und eigener Anwendungscode.

Nicht im Scope sind Systeme und Dienste, die eigenständig von Dritten betrieben werden, insbesondere Infrastruktur oder Konten von Vercel, Supabase und Lemon Squeezy, soweit die Schwachstelle nicht unmittelbar auf einer von uns kontrollierten Fehlkonfiguration oder Integration beruht.

Entdeckte Schwachstellen in einem Drittanbieterdienst sind grundsätzlich an den jeweiligen Drittanbieter zu melden. Bitte führen Sie keine Tests gegen fremde Systeme aus, für die Sie keine Erlaubnis des jeweiligen Betreibers haben.

4.3 Autorisierte Sicherheitsforschung / Safe Harbor

Wenn Sie Sicherheitsforschung in gutem Glauben, ausschließlich zu defensiven Zwecken und vollständig im Einklang mit dieser Richtlinie durchführen, betrachten wir diese Aktivitäten als autorisiert, soweit wir hierzu rechtlich befugt sind.

Wir werden wegen solcher richtlinienkonformen Forschung nicht absichtlich zivil- oder strafrechtlich gegen Sie vorgehen. Sollte ein Dritter rechtliche Schritte wegen einer Tätigkeit einleiten, die nach unserer Einschätzung dieser Richtlinie entspricht, können wir auf Anfrage bestätigen, dass die Forschung nach unserer Policy zulässig war, soweit uns dies rechtlich möglich ist.

Dieser Safe Harbor kann keine Rechte an fremden Systemen gewähren und bindet keine Drittanbieter oder Behörden.

4.4 Zulässige Testmethoden

Erlaubt sind angemessene, nicht destruktive Tests, die auf den minimal erforderlichen Nachweis einer Schwachstelle beschränkt sind. Verwenden Sie nach Möglichkeit eigene Testkonten und eigene Testdaten.

Sobald Sie eine Schwachstelle ausreichend nachgewiesen haben, beenden Sie die Ausnutzung und melden Sie sie.

4.5 Nicht zulässige Aktivitäten

Nicht erlaubt sind insbesondere:

• Denial-of-Service- oder Distributed-Denial-of-Service-Angriffe;
• Tests, die die Verfügbarkeit für andere Nutzer wesentlich beeinträchtigen;
• Social Engineering, Phishing, Vishing oder physische Angriffe;
• Credential Stuffing oder massenhafte Login-Versuche mit fremden Zugangsdaten;
• Installation von Malware, Persistenzmechanismen, Backdoors oder Cryptomining;
• Löschung, Beschädigung oder absichtliche Veränderung fremder Daten;
• Zugriff auf mehr fremde Daten als für den minimalen Nachweis unbedingt erforderlich;
• Herunterladen, Kopieren, Speichern oder Veröffentlichen größerer Mengen fremder Daten;
• Erpressung, Drohungen oder das Zurückhalten einer Meldung gegen Zahlung;
• Tests gegen Vercel, Supabase, Lemon Squeezy oder sonstige fremde Systeme außerhalb einer von uns kontrollierten Konfiguration;
• öffentliche Offenlegung vor Ablauf des koordinierten Offenlegungsprozesses gemäß Ziffer 4.9.

Wenn Sie versehentlich auf Daten eines anderen Nutzers zugreifen, beenden Sie den Zugriff sofort, verändern Sie die Daten nicht und teilen Sie uns in der Meldung nur die minimal erforderlichen Informationen mit.

4.6 Meldung einer Schwachstelle

Sicherheitslücken bitte an:

support@shopfloorwizard.com

Eine hilfreiche Meldung enthält möglichst:

• betroffene URL, Funktion oder Komponente;
• Art und mögliche Auswirkung der Schwachstelle;
• nachvollziehbare Reproduktionsschritte;
• Proof of Concept, Screenshots oder Request/Response-Beispiele, soweit erforderlich;
• Angaben dazu, ob und welche fremden Daten unbeabsichtigt sichtbar waren;
• Vorschläge zur Behebung, falls vorhanden;
• eine Kontaktmöglichkeit, wenn Sie Rückfragen zulassen möchten.

Sie können Meldungen grundsätzlich auch ohne Angabe Ihrer Identität einreichen. Bitte übermitteln Sie keine unnötigen personenbezogenen Daten.

4.7 Was Sie von uns erwarten können

Wir bemühen uns um folgende Reaktionsziele:

• Eingangsbestätigung in der Regel innerhalb von 5 Werktagen;
• erste Triage und Rückmeldung zur Relevanz in der Regel innerhalb von 10 Werktagen;
• angemessene Statusinformationen bei bestätigten erheblichen Schwachstellen;
• Priorisierung der Behebung nach Risiko, technischer Komplexität und möglicher Auswirkung.

Diese Zeitangaben sind Zielwerte und keine garantierten Service Levels. Kritische Sicherheitsprobleme werden nach Möglichkeit vorrangig behandelt.

4.8 Vertraulichkeit und Datenschutz bei Meldungen

Wir verwenden übermittelte Informationen ausschließlich für Sicherheitsanalyse, Kommunikation, Behebung, Dokumentation, Rechtsverteidigung und gegebenenfalls gesetzlich erforderliche Meldungen. Kontaktinformationen von Forschern werden nicht ohne sachlichen Grund veröffentlicht.

Wenn Sie eine öffentliche Anerkennung wünschen, teilen Sie uns bitte den gewünschten Namen oder Alias mit. Eine Veröffentlichung erfolgt nur nach Abstimmung.

4.9 Koordinierte Offenlegung

Bitte veröffentlichen Sie Details zu einer nicht behobenen Schwachstelle nicht ohne vorherige Abstimmung. Als Regelfall bitten wir um eine koordinierte Offenlegungsfrist von bis zu 90 Tagen ab unserer Eingangsbestätigung. Je nach Schweregrad, aktiver Ausnutzung oder technischer Komplexität kann eine kürzere oder längere Frist sinnvoll sein und gemeinsam abgestimmt werden.

Wir werden eine Meldung nicht unangemessen verzögern, um berechtigte Sicherheitsforschung dauerhaft geheim zu halten.

4.10 Kein Anspruch auf Vergütung

Sofern nicht ausdrücklich schriftlich anders vereinbart, begründet die Meldung oder Untersuchung einer Schwachstelle keinen Anspruch auf Zahlung, Erstattung von Aufwendungen, Beschäftigung, Auftrag oder sonstige Vergütung.

4.11 security.txt

Zur maschinenlesbaren Auffindbarkeit des Sicherheitskontakts soll auf den von uns betriebenen Domains eine Datei nach RFC 9116 unter /.well-known/security.txt veröffentlicht werden. Die Datei ist regelmäßig zu aktualisieren, insbesondere das Pflichtfeld Expires.

4.12 Änderungen

Wir können diese Policy anpassen, insbesondere wenn sich der technische Scope, die Meldewege oder Sicherheitsanforderungen ändern. Maßgeblich ist die zum Zeitpunkt der Sicherheitsforschung veröffentlichte Fassung.

Stand: 01.09.2026