Sicherheitslücken melden

Wenn Sie eine Sicherheitslücke in Adkumo entdecken, melden Sie diese bitte verantwortungsvoll:

Reaktionszeit: Wir bemühen uns, Sicherheitsmeldungen innerhalb von 48 Stunden zu bestätigen.

Was Ihr Bericht enthalten sollte

• Beschreibung der Schwachstelle
• Schritte zur Reproduktion des Problems
• Mögliche Auswirkungen und Schweregrad-Einschätzung
• Proof-of-Concept-Code (falls zutreffend)
• Ihre Kontaktdaten für Rückfragen

Geltungsbereich

Im Geltungsbereich

• Umgehung von Authentifizierung und Autorisierung
• Datenoffenlegung oder -verlust (PII, Markendaten, Kampagnen)
• SQL-Injection, XSS, CSRF und andere Injection-Angriffe
• API-Sicherheitsprobleme und fehlerhafte Zugriffskontrollen
• Infrastruktur-Schwachstellen (falls identifiziert)
• Unsichere direkte Objektreferenzen (IDOR)
• Server-Side Request Forgery (SSRF)

Ausserhalb des Geltungsbereichs

• Social-Engineering-Angriffe gegen unser Team oder Benutzer
• Denial-of-Service-Angriffe (DoS/DDoS)
• Physische Sicherheitsprobleme
• Probleme, die unwahrscheinliche Benutzerinteraktion erfordern
• Spam- oder Inhaltsqualitätsprobleme
• Schwachstellen in Drittanbieterdiensten, die wir nicht kontrollieren

Safe-Harbor-Richtlinie

Wir betrachten in gutem Glauben durchgeführte Sicherheitsforschung als autorisierte Tests. Wir werden keine rechtlichen Schritte gegen Forscher einleiten, die:

• Schwachstellen privat und verantwortungsvoll melden
• Datenvernichtung, Datenschutzverletzungen oder Dienstunterbrechungen vermeiden
• Erkenntnisse nicht über das zur Demonstration notwendige Mass hinaus ausnutzen
• Sich in gutem Glauben bemühen, diese Richtlinie einzuhalten

Anerkennung

Wir schätzen Sicherheitsforscher, die dazu beitragen, Adkumo sicher zu halten. Mit Ihrer Erlaubnis werden wir:

• Ihren Beitrag öffentlich anerkennen (sofern Sie keine Anonymität bevorzugen)
• Aktualisierungen zum Behebungsfortschritt bereitstellen
• Mit Ihnen zusammenarbeiten, um die Schwachstelle zu verstehen und zu beheben

Unsere Sicherheitsmassnahmen

Wir implementieren mehrere Sicherheitsebenen zum Schutz Ihrer Daten:

Datenverschlüsselung

• Bei der Übertragung: TLS 1.3-Verschlüsselung für alle Datenübertragungen
• Im Ruhezustand: AES-256-Verschlüsselung für gespeicherte Daten
• Passwörter: bcrypt-Hashing mit Salt

Authentifizierung & Zugriffskontrolle

• Sichere Authentifizierung über Supabase Auth
• Row-Level-Security (RLS) Richtlinien für alle Datenbanktabellen
• Rollenbasierte Zugriffskontrolle (RBAC)
• Sitzungsverwaltung mit sicheren Tokens

Infrastruktursicherheit

• Hosting auf sicherer, DSGVO-konformer Infrastruktur
• Regelmässige Sicherheitsupdates und Patches
• Firewall und Netzwerksegmentierung
• DDoS-Schutz

Anwendungssicherheit

• Eingabevalidierung und -bereinigung
• Schutz gegen XSS-, CSRF- und Injection-Angriffe
• Sicheres API-Design mit Ratenbegrenzung
• Regelmässige Sicherheitsaudits und Code-Reviews

Datenschutz

• Datenstandort: EU-basierte Infrastruktur (DSGVO-konform)
• Backups: Regelmässige verschlüsselte Backups mit sicherer Aufbewahrung
• Zugriffsprotokolle: Umfassende Protokollierung und Überwachung
• Datenverarbeiter: Geprüfte Drittanbieterdienste mit AVVs

Drittanbieterdienste

Wir setzen auf vertrauenswürdige, sicherheitsorientierte Dienstleister:

• Supabase: Datenbank, Authentifizierung und Speicher (EU-Infrastruktur)
• Google AI: Direkte Integration mit Gemini API für KI-Verarbeitung

Alle Drittanbieter sind DSGVO-konform und arbeiten unter Auftragsverarbeitungsverträgen.

Reaktion auf Vorfälle

Im Falle eines Sicherheitsvorfalls werden wir:

1. Den Vorfall sofort untersuchen und eindämmen
2. Die Auswirkungen und betroffenen Benutzer bewerten
3. Betroffene Benutzer innerhalb von 72 Stunden benachrichtigen (DSGVO-Anforderung)
4. An der Behebung der Schwachstelle arbeiten
5. Eine Nachbesprechung durchführen, um Wiederholungen zu vermeiden

Compliance & Zertifizierungen

• DSGVO: Vollständige Einhaltung der EU-Datenschutzverordnung
• SOC 2: In Arbeit (geplant für 2026)
• ISO 27001: Zukünftiges Zertifizierungsziel

Sicherheitstipps für Benutzer

Helfen Sie uns, Ihr Konto sicher zu halten:

• Verwenden Sie ein starkes, einzigartiges Passwort
• Aktivieren Sie die Zwei-Faktor-Authentifizierung (wenn verfügbar)
• Teilen Sie Ihre Zugangsdaten nicht
• Überprüfen Sie Ihre Kontoaktivität regelmässig
• Melden Sie verdächtige Aktivitäten sofort
• Schützen Sie Ihre E-Mail-Adresse (wird für Passwort-Zurücksetzungen verwendet)

Verwandte Richtlinien

• Datenschutzerklärung
• Nutzungsbedingungen
• Impressum