Sicherheitslücke melden

Für www.fw-tools.de und selbst gehostete Anlagen

Sie haben eine Schwachstelle in FW Tools gefunden? Dann bitten wir Sie, sie uns zuerst und vertraulich zu melden. Die Werkzeuge laufen bei Feuerwehren, Kreisen und Behörden, teils auf deren eigenen Servern. Eine Lücke, die öffentlich wird, bevor es eine Korrektur gibt, trifft genau sie.

Wohin

E-Mail: sicherheit@fw-tools.de
Maschinenlesbar: /.well-known/security.txt

Fragen zur Bedienung, Lizenz oder Rechnung gehören an info@fw-tools.de; an die Sicherheitsadresse gehen nur Schwachstellen und Sicherheitsvorfälle.

Was in die Meldung gehört

das betroffene Werkzeug oder die Adresse, etwa pdf.php oder markt.html,
die Schritte, mit denen sich die Lücke nachvollziehen lässt,
was ein Angreifer damit erreichen kann, soweit Sie es einschätzen können,
bei einer selbst gehosteten Anlage die Fassung, die php aktualisieren.php stand ausgibt,
wie wir Sie erreichen und ob Sie bei der Veröffentlichung genannt werden möchten.

Bitte schicken Sie keine personenbezogenen Daten Dritter mit, auch nicht als Beleg. Ein Bildschirmfoto mit geschwärzten Namen genügt.

Was wir tun

Eingang: Wir bestätigen Ihre Meldung innerhalb von drei Werktagen.
Bewertung: Wir prüfen sie, teilen Ihnen das Ergebnis mit und sagen, wann eine Korrektur zu erwarten ist.
Korrektur: Auf www.fw-tools.de spielen wir sie selbst ein. Für selbst gehostete Anlagen erscheint sie als neue Fassung, im Änderungsprotokoll als Sicherheitskorrektur gekennzeichnet; die Betreiber benachrichtigen wir direkt.
Behörden: Wird eine Lücke im Selbsthosting-Paket aktiv ausgenutzt, melden wir sie nach der Cyberresilienz-Verordnung über die Meldeplattform der ENISA.

Veröffentlichung

Bitte veröffentlichen Sie Einzelheiten erst, wenn die Korrektur bereitsteht, spätestens aber nach 90 Tagen, und sprechen Sie den Zeitpunkt mit uns ab. Wenn Sie möchten, nennen wir Sie im Änderungsprotokoll als Finder. Eine Belohnung für Funde zahlen wir nicht.

Zusage an Finder

Wer in gutem Glauben nach diesen Regeln sucht und meldet, gegen den gehen wir nicht rechtlich vor und erstatten keine Strafanzeige. Dazu gehört:

nur so weit vorgehen, wie es zum Nachweis der Lücke nötig ist,
keine fremden Daten ansehen, kopieren, ändern oder löschen – also keine Lagen, Abnahmen, Plätze oder Marktplatz-Einreichungen anderer Wehren,
den Betrieb nicht stören: keine Last- oder Überlastungsangriffe, keine Massenabfragen,
keine Täuschung von Menschen und keine Angriffe auf Lizenznehmer,
Daten, auf die Sie dabei dennoch gestoßen sind, nach der Meldung löschen.

Diese Zusage gilt nur für uns. Für Anlagen, die Feuerwehren oder Behörden selbst betreiben, entscheiden deren Betreiber; melden Sie eine Lücke dort bitte uns, statt sie an der fremden Anlage auszuprobieren.

Geltungsbereich

Erfasst sind die Werkzeuge unter www.fw-tools.de und das Selbsthosting-Paket in seinen veröffentlichten Fassungen. Nicht erfasst sind Dienste Dritter, die die Werkzeuge nutzen, etwa OpenStreetMap, Nominatim, Overpass, OSRM oder rescueTABLET. Lücken dort melden Sie bitte deren Betreibern; betreffen sie die Einbindung in FW Tools, gern zusätzlich uns.