Bug Hunter Hall of Fame

Die Sicherheit unserer Kundendaten ist für uns sehr wichtig. IONOS unterstützt den Prozess zur verantwortungsvollen Meldung von Schwachstellen (Responsible Disclosure Process) und schätzt Meldungen von ethischen Sicherheitsforschern. Wir verpflichten uns, alle Meldungen zu untersuchen und Probleme schnellstmöglich zu lösen, um unsere Kunden zu schützen. Dieses Dokument beschreibt, wie IONOS mit der Sicherheitsgemeinschaft zusammenarbeitet.

Geltungsbereich

Die folgenden Schwachstellen in IONOS-Produkten und -Diensten fallen in den Geltungsbereich dieses Dokuments. Wir ermutigen jedes Mitglied der Sicherheitsgemeinschaft, uns folgendes zu melden:

• Schwachstellen, die sich auf die Vertraulichkeit, Integrität und Verfügbarkeit unserer Produkte und Dienstleistungen auswirken und somit die Daten unserer Kunden gefährden.

Die folgenden Schwachstellen in IONOS-Produkten und -Diensten fallen nicht in den Geltungsbereich dieses Dokuments. Bitte melden Sie sie uns nicht:

• Denial-of-Service-Angriffe (d.h. Stören unserer Services mit einem hohen Anforderungsvolumen)
• TLS-Konfigurations-Spezifikationen (z. B. keine Unterstützung für TLSv1.3, eine bestimmte Cipher Suite-Konfiguration usw.)
• Berichte, die darauf hinweisen, dass unsere Dienste nicht vollständig mit "Best Practices" übereinstimmen (z. B. fehlende Security Header oder suboptimale E-Mail-bezogene Konfigurationen wie SPF, DMARC usw.)

Bug Bounty Programm

Derzeit gibt es bei IONOS kein offizielles Bug-Bounty-Programm, herausragende ethische Sicherheitsforschende nehmen wir aber in unsere Hall of Fame auf.

Meldung einer Schwachstelle

Senden Sie bitte alle relevanten Schwachstellen (s. o.) an unsere Kontaktadresse (security@ionos.com). Bitte lesen Sie dieses Dokument vollständig durch, bevor Sie Schwachstellen melden.

Falls Sie Hinweise auf Schwachstellen in einer unserer Anwendungen oder der Serverkonfiguration gefunden haben, können Sie uns die Informationen direkt zukommen lassen. Bitte beschreiben Sie dabei die Schwachstelle, die Sie gefunden haben und geben Sie so viele Informationen wie möglich in Ihrer Meldung an. Z. B.:

• Wen betrifft die Schwachstelle? Falls möglich, geben Sie uns bitte URLs an.
• Wie kann die Schwachstelle ausgenutzt werden? Fügen Sie bitte gegebenenfalls Screenshots an, um die Schwachstelle zu verdeutlichen.

• Bitte geben Sie auch alle relevanten Informationen an, die notwendig sind, um das beschriebene Vorgehen nachzustellen.

Sie können unseren GPG-Schlüssel nutzen, um uns die Informationen vertraulich zukommen zu lassen.

Key-Id: 7A4187A8121BE832B487BE48BFE5B220188CF3A5.

Fingerprint: 7A41 87A8 121B E832 B487 BE48 BFE5 B220 188C F3A5

Bitte senden Sie uns keine vertraulichen Informationen wie Ihr Passwort oder andere personenbezogene Daten!

Was Sie von uns erwarten können

Nach Eintreffen Ihrer Meldung wird unser Sicherheitsteam:

• Den Erhalt Ihrer Meldung bestätigen und Ihnen eine eindeutige Kennung zuweisen, die in der Betreffzeile der E-Mail enthalten ist. Bitte verwenden Sie die Kennung in all Ihren E-Mails an uns. Wir antworten normalerweise innerhalb eines Werktages.
• Ihre Meldung auf Korrektheit und Gültigkeit überprüfen und schauen ob die Meldung ein Duplikat eines früheren Falls ist. Wenn wir weitere Fragen haben, werden wir uns bei Ihnen melden.
• Nach erfolgreicher Prüfung Ihrer Meldung wird sie an die entsprechende Fachabteilung zur Behebung weitergeleitet. Bitte beachten Sie, dass dies einige Zeit dauern kann. Sie können sich gerne bei uns über den aktuellen Stand erkundigen. Bitte beschränken Sie sich jedoch auf höchstens einmal alle 14 Tage.
• Wir werden uns mit Ihnen in Verbindung setzen sobald die Schwachstelle behoben ist und werden Sie möglicherweise bitten erneut zu testen.

Sollten wir Ihre Ergebnisse mit einer anderen Organisation teilen müssen, werden wir Sie im Voraus kontaktieren..

IONOS wird keine Strafverfolgung von Personen anstreben, die uns in guter Absicht und in Übereinstimmung mit diesem Dokument Sicherheitslücken in einem IONOS-Dienst innerhalb des Geltungsbereichs melden.

Feedback

Wenn Sie Feedback oder Vorschläge zu diesem Dokument haben, wenden Sie sich unter der oben angegebenen Adresse an unser Sicherheitsteam.