DE EN

Sicherheit

Sicherheits­lücken melden.

Wenn Sie eine Schwachstelle in nxtgenit.de, NxtFireGuard oder Tyvar finden, sagen Sie uns bitte zuerst Bescheid.

Was Sie melden können.

  • Diese Website, nxtgenit.de
  • NxtFireGuard mit nxtfireguard.de, dem Dashboard, der Dokumentation und der Anmeldung
  • Tyvar mit tyvar.de und dem Formulardienst dahinter

Systeme unserer Kunden gehören nicht dazu. Was ein Kunde bei uns betreibt oder uns zum Testen gibt, dürfen wir nicht für Ihre Prüfung freigeben.

Wie Sie melden.

Schicken Sie uns eine E-Mail, auf Deutsch oder Englisch.

E-Mail

[email protected]

Wir lesen jede Meldung selbst.

security.txt

/.well-known/security.txt

Die maschinenlesbare Datei nach RFC 9116 enthält Kontakt, Sprachen und einen Link zu dieser Richtlinie.

Was in eine Meldung gehört

  • Das betroffene System und die Adresse
  • Eine Beschreibung der Schwachstelle und ihrer Auswirkung
  • Schritte, mit denen wir sie nachvollziehen können
  • Wie wir Sie erreichen, falls wir Rückfragen haben

Verschlüsselung

Für [email protected] gibt es noch keinen PGP-Schlüssel. Deshalb hat die security.txt kein Encryption-Feld. Sobald es einen Schlüssel gibt, veröffentlichen wir ihn unter /.well-known/pgp-key.txt und auf keys.openpgp.org und verlinken ihn hier.

Worum wir Sie bitten.

  • Keine Störung des Betriebs.

    Bitte testen Sie nicht mit Denial of Service oder hoher Last und ändern oder löschen Sie keine Daten.

  • Keine fremden Daten.

    Greifen Sie auf Daten anderer Personen nur so weit zu, wie Sie es als Nachweis brauchen. Und speichern Sie nichts davon.

  • Kein Social Engineering.

    Bitte schicken Sie keine Phishing-Mails und rufen Sie niemanden an, um an Zugänge zu kommen.

  • Zeit vor der Veröffentlichung.

    Geben Sie uns Zeit, die Schwachstelle zu beheben, bevor Sie sie veröffentlichen. Wie lange, stimmen wir gemeinsam ab.

Was Sie von uns bekommen.

  • Eine Eingangsbestätigung, sobald wir Ihre Meldung gelesen haben
  • Updates zum Stand, während wir prüfen und beheben
  • Auf Wunsch ein öffentlicher Dank mit Ihrem Namen oder Handle, sobald die Schwachstelle behoben ist

Ein bezahltes Bug-Bounty-Programm gibt es nicht.

Schutz für gutgläubige Forschung

Wenn Sie sich an diese Regeln halten, nur unsere eigenen Systeme untersuchen und uns die Schwachstelle melden, statt sie auszunutzen, handeln Sie in unserem Interesse. Gegen solche gutgläubige Sicherheitsforschung leiten wir keine rechtlichen Schritte ein. Ihre Meldung behandeln wir vertraulich. Für Systeme Dritter, etwa unseres Hosters oder unserer Kunden, können wir keine Erlaubnis erteilen.

Sicherheit bei NxtFireGuard und Tyvar.

  • NxtFireGuard

    Jeder Sensor meldet sich mit einem eigenen Auth Secret bei NxtFireGuard an. IPs auf Ihrer Whitelist werden nie gesperrt, auch wenn ein Traffic-Sensor eine Sperre anfordert. Wie oft gesperrte Adressen neu bewertet werden, stellen Sie pro Blocklist ein, und Adressen, die keine Gefahr mehr sind, fliegen automatisch raus. Ihre Firewalls holen jede Blocklist per HTTPS über ihre eigene URL ab. Wie NxtFireGuard arbeitet

  • Tyvar

    Vor dem Test prüfen wir, ob die Ziele wirklich dem gehören, der die Testvereinbarung unterschreibt. Arbeitsdaten wie Scan-Ergebnisse, Belege und Testkonten löschen wir 90 Tage nach dem Abschlussgespräch oder dem Retest, auf Wunsch früher. Report und Testvereinbarung bewahren wir drei Jahre auf. Den Report bekommen Sie als verschlüsseltes Archiv, das Passwort standardmäßig per Telefon. Report und Passwort schicken wir nie zusammen in einer unverschlüsselten Nachricht. Datenumgang auf tyvar.de

Wie diese Seite gesichert ist.

  • Statische Seiten. Die Seiten werden beim Build fertig erzeugt und von Caddy ausgeliefert. Es gibt kein CMS, keine Datenbank und keine Admin-Oberfläche.
  • Keine Anfragen an Dritte. Schriften, Bilder und Skripte kommen von dieser Domain. Wir setzen keine Cookies, nutzen keine Analyse-Tools und betten nichts von außen ein.
  • Strikte Content-Security-Policy. default-src 'none', keine Inline-Styles und nur ein Inline-Skript für das Design, freigegeben per Hash.
  • Sicherheits-Header. Strict-Transport-Security, X-Content-Type-Options, Referrer-Policy, Permissions-Policy, Cross-Origin-Policies und X-Frame-Options.
  • TLS 1.2 und 1.3, Zertifikate von Let's Encrypt, Hosting bei Hetzner in Deutschland.
  • Server-Logs werden nach sieben Tagen gelöscht.