Sicherheitsrichtlinie & Responsible Disclosure Policy
Stand: 27. September 2026
Die Sicherheit von alexander-patzer.de und der Schutz der Nutzer unserer Website sind uns wichtig.
Trotz sorgfältiger technischer und organisatorischer Sicherheitsmaßnahmen können Sicherheitslücken niemals vollständig ausgeschlossen werden. Sicherheitsforscher, IT-Experten und Nutzer, die eine mögliche Schwachstelle entdecken, sind daher eingeladen, uns diese verantwortungsvoll und vertraulich zu melden.
Diese Sicherheitsrichtlinie beschreibt, wie Sicherheitslücken gemeldet werden können, welche Tests zulässig sind und welche Regeln bei der Untersuchung möglicher Schwachstellen zu beachten sind.
1. Responsible Disclosure
Wir unterstützen die verantwortungsvolle und koordinierte Offenlegung von Sicherheitslücken.
Wenn Sie eine mögliche Schwachstelle auf alexander-patzer.de entdecken, bitten wir Sie, uns ausreichend Zeit zur Untersuchung und gegebenenfalls Behebung des Problems zu geben, bevor technische Details öffentlich gemacht oder an Dritte weitergegeben werden.
Unser Ziel ist eine konstruktive Zusammenarbeit mit Sicherheitsforschern, die in gutem Glauben handeln und diese Richtlinie beachten.
2. Geltungsbereich
Diese Richtlinie gilt grundsätzlich für öffentlich erreichbare Systeme, Websites und Webanwendungen unter:
Sie gilt nur für Systeme und Dienste, die unmittelbar unter unserer technischen Kontrolle stehen.
Subdomains oder eingebundene Dienste können teilweise durch externe Anbieter betrieben werden. Sicherheitslücken in Systemen von Drittanbietern sollten direkt dem jeweiligen Anbieter gemeldet werden.
Falls nicht eindeutig erkennbar ist, ob ein System zu unserem Verantwortungsbereich gehört, können Sie uns vor weiteren Tests kontaktieren.
3. Zulässige Sicherheitsforschung
Wir akzeptieren Sicherheitsuntersuchungen, wenn sie:
- ausschließlich dem Auffinden und verantwortungsvollen Melden einer Sicherheitslücke dienen,
- mit möglichst geringer Beeinträchtigung unserer Systeme durchgeführt werden,
- keine anderen Nutzer beeinträchtigen,
- keine Daten verändert oder gelöscht werden,
- nur so weit durchgeführt werden, wie dies für den Nachweis der Schwachstelle notwendig ist,
- und keine unnötigen personenbezogenen oder vertraulichen Daten abgerufen werden.
Ein Proof of Concept sollte immer auf das technisch notwendige Minimum beschränkt bleiben.
4. Nicht zulässige Tests
Folgende Aktivitäten sind ausdrücklich nicht Bestandteil dieser Responsible Disclosure Policy:
- Denial-of-Service- oder Distributed-Denial-of-Service-Angriffe (DoS/DDoS)
- absichtliche Überlastung unserer Systeme
- Brute-Force-Angriffe
- Credential Stuffing
- automatisierte Massenscans mit erheblicher Serverbelastung
- Social Engineering
- Phishing
- Spam
- physische Angriffe
- Installation oder Verbreitung von Malware
- Veränderung oder Löschung von Daten
- absichtliche Beschädigung von Systemen
- Einrichtung dauerhafter Zugänge oder Backdoors
- Herunterladen größerer Datenmengen
- Zugriff auf Benutzerkonten oder Daten anderer Personen über das für einen Schwachstellennachweis zwingend erforderliche Maß hinaus
- Weitergabe oder Verkauf erlangter Daten
- Nutzung entdeckter Schwachstellen zu finanziellen oder sonstigen missbräuchlichen Zwecken.
5. Umgang mit personenbezogenen oder vertraulichen Daten
Sollten Sie während Ihrer Sicherheitsforschung unbeabsichtigt Zugriff auf personenbezogene, vertrauliche oder anderweitig geschützte Informationen erhalten, bitten wir Sie:
- den Zugriff sofort zu beenden,
- keine weiteren Daten abzurufen,
- die Daten nicht zu kopieren, weiterzugeben oder zu veröffentlichen,
- uns den Vorfall unverzüglich zu melden und
- lokal gespeicherte Kopien zu löschen, sobald sie für die technische Dokumentation nicht mehr erforderlich sind.
Bitte übermitteln Sie uns keine personenbezogenen Daten Dritter, sofern diese für die Bewertung der Sicherheitslücke nicht zwingend notwendig sind.
6. Sicherheitslücke melden
Sicherheitslücken können unter folgender Adresse gemeldet werden:
sicherheit@alexander-patzer.de
Bitte verwenden Sie einen aussagekräftigen Betreff wie:
Security Report – alexander-patzer.de
Eine gute Sicherheitsmeldung sollte nach Möglichkeit folgende Informationen enthalten:
- betroffene URL oder betroffenes System
- Art der Schwachstelle
- technische Beschreibung
- Schritte zur Reproduktion
- verwendeter Browser oder verwendete Software, sofern relevant
- Screenshots oder technische Nachweise
- Proof of Concept, sofern erforderlich
- mögliche Auswirkungen der Schwachstelle
- Zeitpunkt der Entdeckung
- mögliche Lösungsvorschläge, sofern vorhanden.
Bitte senden Sie nur die Informationen, die für die Untersuchung tatsächlich erforderlich sind.
7. Automatisierte Scanner
Ergebnisse automatisierter Vulnerability Scanner können hilfreich sein, reichen allein jedoch nicht immer zur Bewertung einer Schwachstelle aus.
Bei automatisiert gefundenen Sicherheitsproblemen bitten wir daher zusätzlich um eine kurze manuelle Überprüfung und einen nachvollziehbaren Nachweis, dass die gemeldete Schwachstelle tatsächlich besteht.
Ungeprüfte Massenausgaben automatisierter Scanner können gegebenenfalls nicht individuell bearbeitet werden.
8. Bearbeitung Ihrer Meldung
Nach Eingang einer qualifizierten Sicherheitsmeldung bemühen wir uns um eine zeitnahe Prüfung.
Unser üblicher Prozess umfasst:
1. Eingangsbestätigung
Wir versuchen, qualifizierte Sicherheitsmeldungen innerhalb von fünf Werktagen zu bestätigen.
2. Technische Prüfung
Anschließend prüfen wir, ob die gemeldete Schwachstelle reproduzierbar ist und welche Auswirkungen sie haben könnte.
3. Priorisierung
Bestätigte Schwachstellen werden entsprechend ihrer möglichen Auswirkungen und technischen Dringlichkeit priorisiert.
4. Behebung
Die notwendige Zeit zur Behebung hängt von Art, Komplexität und möglicher Auswirkung der Schwachstelle ab.
5. Rückmeldung
Soweit sinnvoll und möglich, informieren wir den Melder über wesentliche Fortschritte bei der Bearbeitung.
Die genannten Zeiträume sind Zielwerte und stellen keine garantierten Reaktions- oder Behebungsfristen dar.
9. Coordinated Disclosure
Wir bitten Sicherheitsforscher, Details über eine entdeckte Schwachstelle zunächst vertraulich zu behandeln.
Eine öffentliche Veröffentlichung sollte grundsätzlich erst erfolgen, wenn:
- die Schwachstelle behoben wurde,
- geeignete Schutzmaßnahmen umgesetzt wurden oder
- ein Veröffentlichungszeitpunkt gemeinsam vereinbart wurde.
Als allgemeiner Orientierungszeitraum für eine koordinierte Offenlegung betrachten wir bis zu 90 Tage nach Eingang einer qualifizierten Meldung.
Je nach Schweregrad und technischer Komplexität kann im gegenseitigen Einvernehmen ein kürzerer oder längerer Zeitraum sinnvoll sein.
10. Verhalten in gutem Glauben
Wenn Sicherheitsforschung:
- in gutem Glauben erfolgt,
- sich auf unsere eigenen Systeme beschränkt,
- diese Richtlinie eingehalten wird,
- keine Daten missbraucht werden und
- die Untersuchung ausschließlich der verantwortungsvollen Meldung einer Sicherheitslücke dient,
betrachten wir diese Tätigkeit im Rahmen dieser Richtlinie grundsätzlich als autorisierte Sicherheitsforschung.
Wir beabsichtigen in solchen Fällen nicht, allein wegen dieser gutgläubigen Sicherheitsforschung rechtliche Schritte gegen den Melder einzuleiten.
Diese Erklärung gilt ausschließlich für Systeme, über die wir selbst verfügen können. Sie erteilt keine Genehmigung für Systeme oder Dienste Dritter und ersetzt keine gesetzlichen Vorschriften.
11. Keine Bug-Bounty-Garantie
Die Meldung einer Sicherheitslücke begründet keinen Anspruch auf eine finanzielle Vergütung.
Derzeit betreiben wir kein öffentliches Bug-Bounty-Programm.
Eine freiwillige Anerkennung besonders hilfreicher Meldungen bleibt vorbehalten.
12. Hall of Fame
Sicherheitsforscher, die uns eine bestätigte und relevante Sicherheitslücke verantwortungsvoll gemeldet haben, können auf Wunsch in unserer Hall of Fame genannt werden.
Eine Veröffentlichung erfolgt nur mit Zustimmung des jeweiligen Sicherheitsforschers.
Auf Wunsch kann statt des vollständigen Namens auch ein Pseudonym verwendet werden.
Hall of Fame:
13. Datenschutz bei Sicherheitsmeldungen
Informationen, die im Zusammenhang mit einer Sicherheitsmeldung übermittelt werden, verwenden wir ausschließlich zur:
- Kommunikation mit dem Melder,
- technischen Untersuchung,
- Dokumentation,
- Behebung der gemeldeten Schwachstelle und
- Verbesserung der Sicherheit unserer Systeme.
Personenbezogene Angaben des Melders werden nicht ohne entsprechende Grundlage veröffentlicht.
Eine namentliche Aufnahme in die Hall of Fame erfolgt ausschließlich nach Zustimmung des Melders.
Es gelten ergänzend die allgemeinen Datenschutzhinweise von alexander-patzer.de.
14. Sicherheitsmaßnahmen
Zum Schutz unserer Website setzen wir angemessene technische und organisatorische Sicherheitsmaßnahmen ein.
Diese werden abhängig von technischen Entwicklungen, Risiken und Änderungen der eingesetzten Systeme regelmäßig überprüft und angepasst.
Aus Sicherheitsgründen veröffentlichen wir keine detaillierten Informationen über interne Sicherheitsmechanismen, Serverkonfigurationen, Zugangskontrollen oder Schutzsysteme.
15. Drittanbieter
Unsere Website kann Komponenten und Dienste externer Anbieter verwenden.
Sicherheitslücken, die ausschließlich Infrastruktur, Software oder Systeme eines Drittanbieters betreffen und außerhalb unserer Kontrolle liegen, fallen grundsätzlich nicht unter diese Richtlinie.
Wenn Sie nicht sicher sind, ob eine Schwachstelle uns oder einen Drittanbieter betrifft, können Sie die Meldung dennoch an uns senden. Wir prüfen anschließend, ob wir zuständig sind.
16. Änderungen dieser Richtlinie
Wir können diese Sicherheitsrichtlinie aktualisieren, wenn sich unsere technische Infrastruktur, Sicherheitsprozesse oder rechtliche Rahmenbedingungen ändern.
Es gilt jeweils die auf dieser Seite veröffentlichte aktuelle Version.
Letzte Aktualisierung: 27. September 2026
17. Kontakt
Fragen zu Sicherheitslücken oder dieser Responsible Disclosure Policy können an folgende Adresse gerichtet werden:
sicherheit@alexander-patzer.de
Bitte verwenden Sie diese Adresse ausschließlich für sicherheitsrelevante Mitteilungen.