Sicherheitslücke melden

Was dazugehört

• Die Web-App und die Websites unter gastrozen.de, gastrozen.app und gastrozen.eu
• Die Schnittstellen dieser Domains (/api)
• Der GastroZen-Hub für Windows
• Die Android-Apps von GastroZen
• Unsere Server und die Infrastruktur, auf der diese Dienste laufen

Nicht dazu gehören: Dienste anderer Anbieter, die wir anbinden (zum Beispiel Zahlungs-, Karten- oder Mailanbieter) – bitte direkt dort melden –, Angriffe auf Menschen (Phishing, Social Engineering), physische Angriffe sowie Befunde ohne Sicherheitsfolge (zum Beispiel fehlende Kopfzeilen ohne nachweisbare Auswirkung).

So gehen Sie vor

• Greifen Sie nur auf so viele Daten zu, wie Sie für den Nachweis brauchen. Stoßen Sie auf personenbezogene Daten oder Daten eines Betriebs, hören Sie auf und melden Sie es uns.
• Ändern oder löschen Sie keine Daten und behalten Sie keine Kopien.
• Keine Angriffe auf die Verfügbarkeit (DoS), kein massenhaftes automatisiertes Abfragen, kein Spam.
• Verwenden Sie eigene Testkonten. Den Betrieb echter Restaurants und ihrer Kassen dürfen Sie nicht stören.
• Veröffentlichen Sie nichts, bevor wir die Lücke geschlossen haben oder 90 Tage nach Ihrer Meldung vergangen sind. Den Zeitpunkt stimmen wir gern mit Ihnen ab.
• Nutzen Sie eine gefundene Lücke nicht weiter aus, als für den Nachweis nötig ist.

Schutz für Meldende

Wer sich in gutem Glauben an diese Regeln hält, handelt in unserem Sinne. Wir erstatten deswegen keine Strafanzeige und machen keine Ansprüche geltend. Für Dritte, etwa betroffene Betriebe oder Behörden, können wir nicht sprechen; wir setzen uns aber dafür ein, dass Ihre Hilfe anerkannt wird.

Was Sie von uns erwarten können

• Eine Eingangsbestätigung innerhalb von 3 Werktagen, wenn Sie eine Kontaktadresse angeben
• Eine erste Einschätzung innerhalb von 10 Werktagen
• Eine Behebung so schnell wie möglich – kritische Lücken haben Vorrang vor allem anderen
• Auf Wunsch nennen wir Sie nach der Behebung als Entdecker

Meldepflichten

Als Hersteller von Produkten mit digitalen Elementen melden wir aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle nach dem Cyber Resilience Act (Verordnung (EU) 2024/2847, Art. 14) über die Meldeplattform der ENISA an das zuständige CSIRT, in Deutschland das BSI.

Meldung abgeben

Beschreiben Sie bitte, was betroffen ist und wie man die Lücke nachvollziehen kann. Schicken Sie keine Daten Dritter mit.