Vorgehen im Falle von Sicherheitslücken
Bei auftauchenden Sicherheitsproblemen in unserem Produkt, schreiben Sie bitte eine Nachricht an folgende E-Mail-Adresse: security-issue@kixdesk.com (bei Bedarf auch verschlüsselt per S/MIME)
Benötigte Informationen:
Für eine schnelle Überprüfung und Bearbeitung ist eine möglichst detaillierte Beschreibung hilfreich. Nach Möglichkeit sollten folgende Details enthalten sein:
Schritte zur Reproduktion: Präzise Anleitung oder ein Proof of Concept (PoC) zur Nachvollziehbarkeit
Auffindung: Angaben dazu, wie die Schwachstelle entdeckt wurde.
Risikoeinschätzung: Eigene Bewertung bezüglich der potenziellen Auswirkungen.
Lösungsvorschläge: Optionale Empfehlungen oder Ansätze zur Behebung des Problems.
Bearbeitungsprozess & Responsible Disclosure
Jeder eingehende Fehlerbericht wird vor der Rückmeldung intern technisch validiert. Aufgrund dieser eingehenden Prüfung kann die Antwort eine kurze Bearbeitungszeit in Anspruch nehmen. Der Melder wird fortlaufend über den aktuellen Stand der Analyse und Behebung informiert.
Im Sinne des Prinzips der Responsible Disclosure wird darum gebeten, Sicherheitslücken bis zur Bereitstellung eines entsprechenden Updates vertraulich zu behandeln. Auf Wunsch werden Hinweisgeber nach erfolgreicher Behebung namentlich in den offiziellen Security Advisories genannt.
Diese Vorgehensweise entspricht dem Standard für einen verantwortungsvollen Umgang mit Sicherheitsrisiken, wie er auch bei der Meldung von Schwachstellen in Drittsoftware angewendet wird.