Sicherheitslücke melden
Richtlinie zur koordinierten Offenlegung von Schwachstellen. Wir danken allen, die uns helfen, Firnkern sicherer zu machen.
Kontakt
E-Mail: security@firnkern.com
Post: Firnkern GmbH i. Gr., Bosenhaldenweg 26, 4125 Riehen, Schweiz
Sprachen: Deutsch oder Englisch
Für verschlüsselte E-Mail haben wir noch keinen öffentlichen Schlüssel (PGP). Schicken Sie heikle Einzelheiten darum nicht in der ersten Nachricht mit – wir vereinbaren mit Ihnen einen sicheren Weg.
Geltungsbereich
Diese Richtlinie gilt für alle Fassungen von:
- Firnkern Server (die Software, einschliesslich Cloud-Paket),
- den Installer für Windows,
- die Website firnkern.com.
Nicht dazu gehören Dienste anderer Anbieter, etwa von KI-Anbietern oder Rechenzentren. Lücken dort melden Sie bitte dem jeweiligen Anbieter.
Was in die Meldung gehört
- betroffenes Produkt und Fassung (zum Beispiel Firnkern Server 2.35) oder die betroffene Adresse,
- Beschreibung der Lücke und möglicher Auswirkungen,
- Schritte zum Nachvollziehen, wenn vorhanden mit Beispiel oder Bildschirmfoto,
- wie wir Sie erreichen und ob Sie namentlich genannt werden möchten.
So gehen wir vor
| Schritt | Zielwert |
|---|---|
| Eingangsbestätigung | innert 5 Arbeitstagen |
| Erste Einschätzung (bestätigt, Schweregrad, nächste Schritte) | innert 10 Arbeitstagen |
| Behebung | so rasch wie möglich; wir halten Sie über den Stand auf dem Laufenden |
| Koordinierte Veröffentlichung | nach der Behebung, im Richtwert 90 Tage nach der Meldung – Zeitpunkt in Absprache mit Ihnen |
Zielwerte sind keine Zusicherung. Arbeitstage: Montag bis Freitag, ohne Feiertage am Sitz von Firnkern.
Behobene Lücken nennen wir in den Hinweisen zur neuen Fassung. Sicherheitsupdates sind für Kundinnen und Kunden kostenlos.
Anerkennung
Auf Wunsch nennen wir Sie bei der Veröffentlichung mit Namen oder Pseudonym. Ein Bug-Bounty-Programm gibt es nicht; für Meldungen bezahlen wir nichts.
Handeln in gutem Glauben
Wer in gutem Glauben nach dieser Richtlinie sucht und meldet, gegen den gehen wir nicht rechtlich vor. Bitte halten Sie sich dafür an diese Regeln:
- Greifen Sie nicht auf mehr Daten zu, als nötig ist, um die Lücke nachzuweisen. Kopieren, ändern oder löschen Sie keine Daten.
- Stören Sie den Betrieb nicht (kein Lasttest, keine Dienstverweigerung, kein Spam, kein Social Engineering).
- Greifen Sie nicht auf Daten Dritter zu. Prüfen Sie nur eigene Installationen oder Testinstallationen – zum Beispiel die Testversion mit dem Pilot und seinen erfundenen Daten.
- Keine Erpressung: Knüpfen Sie die Meldung nicht an Forderungen.
- Veröffentlichen Sie Einzelheiten erst nach Absprache mit uns.
Diese Zusage gilt nur für Firnkern. Rechte Dritter (zum Beispiel einer Kundin, deren Installation Sie prüfen) kann sie nicht einschränken.
Maschinenlesbar
Kontakt und Richtlinie stehen auch in /.well-known/security.txt (RFC 9116).
Stand 3. November 2026 · gilt für alle Fassungen von Firnkern Server, Installer und Website · Zurück zu Sicherheit