Responsible Disclosure

1. Wofür diese Regelung gilt

Diese Regelung gilt für Systeme und Dienste, die in unserer eigenen Verantwortung liegen:

• die Website jmnl.nl und die zugehörigen Subdomains;
• die E-Mail-Infrastruktur der Domain jmnl.nl;
• Software, Firmware und Hardwarelösungen, die von JMNL Innovation entwickelt und geliefert wurden.

Finden Sie eine Schwachstelle in einem System eines unserer Kunden? Melden Sie diese ebenfalls bei uns, auch wenn das System nicht von uns verwaltet wird. Wir sorgen dann für eine koordinierte Meldung an die richtige Stelle.

2. Was außerhalb der Regelung liegt

Die folgenden Meldungen bearbeiten wir nicht. Sie stellen in der Praxis kein nutzbares Sicherheitsrisiko dar oder erfordern Handlungen, die wir nicht fördern möchten:

• Schwachstellen in Software oder Diensten Dritter, die wir nicht selbst verwalten (melden Sie diese bitte beim jeweiligen Anbieter);
• Meldungen, die ausschließlich aus der Ausgabe eines automatisierten Scanners bestehen, ohne nachgewiesene Auswirkung;
• fehlende Sicherheitsheader, Cookie-Flags oder Best Practices ohne nachweisbare Folge;
• die Konfiguration von SPF, DKIM oder DMARC, sofern Sie nicht nachweisen, dass tatsächlich Spoofing möglich ist;
• schwache oder veraltete TLS-Suiten ohne funktionierendes Angriffsszenario;
• Rate Limiting auf öffentlichen Seiten, sofern dies nicht zu einem konkreten Risiko führt;
• Self-XSS, Clickjacking auf Seiten ohne sensible Handlungen sowie Probleme, die nur in veralteten oder nicht unterstützten Browsern auftreten;
• Social Engineering, Phishing oder das Ansprechen unserer Mitarbeiter oder Kunden;
• physische Angriffe auf unsere Büros oder Geräte;
• (verteilte) Denial-of-Service-Angriffe, Stresstests und Spam.

3. Was wir von Ihnen erwarten

Damit wir Ihre Meldung bearbeiten können, ohne dass Schaden entsteht, bitten wir Sie, sich an die folgenden Spielregeln zu halten:

• Richten Sie keinen Schaden an. Gehen Sie nicht weiter, als zum Nachweis der Schwachstelle unbedingt erforderlich ist.
• Lassen Sie Daten unangetastet. Ändern, löschen oder laden Sie keine Daten von uns oder von Dritten herunter. Stoßen Sie unbeabsichtigt auf personenbezogene Daten, brechen Sie sofort ab, melden Sie es und löschen Sie die Daten.
• Kein Denial-of-Service. Führen Sie keine Stress- oder Lasttests durch und installieren Sie keine Backdoor, auch nicht zum Nachweis des Zugriffs.
• Halten Sie sich aus OT-Umgebungen heraus. Führen Sie niemals aktive Tests an industriellen Systemen, SPS oder Steuerungsnetzen durch. Beschreiben Sie Ihre Erkenntnis in diesem Fall theoretisch und nehmen Sie zuerst Kontakt mit uns auf.
• Kein Brute Force und keine automatisierten Scans. Verwenden Sie keine Werkzeuge, die große Mengen an Datenverkehr erzeugen.
• Teilen Sie nichts mit anderen, solange die Schwachstelle nicht behoben ist, und veröffentlichen Sie keine Einzelheiten.
• Melden Sie unverzüglich, nachdem Sie die Erkenntnis gewonnen haben, und geben Sie uns angemessene Zeit zur Reaktion.
• Geben Sie ausreichend Informationen, damit wir das Problem reproduzieren können.

Halten Sie sich an diese Regeln, so unternehmen wir keine rechtlichen Schritte gegen Sie aufgrund der Meldung und erstatten auch keine Anzeige. Wir können jedoch nicht gewährleisten, dass Dritte — etwa ein Kunde oder die Staatsanwaltschaft — dies ebenso sehen, wenn Sie sich nicht an die Regeln halten oder außerhalb unserer Systeme tätig geworden sind.

4. Wie Sie eine Meldung machen

Senden Sie Ihre Meldung per E-Mail an security@jmnl.nl. Melden Sie eine Schwachstelle bitte nicht über das gewöhnliche Kontaktformular oder über soziale Medien.

Nehmen Sie in Ihre Meldung möglichst Folgendes auf:

• die Art der Schwachstelle und das betroffene System, die Domain oder die Komponente;
• eine klare, schrittweise Beschreibung, mit der wir das Problem reproduzieren können;
• Belege wie Requests, Responses, Screenshots oder einen knappen Proof-of-Concept;
• die mögliche Auswirkung nach Ihrer Einschätzung;
• Datum und Uhrzeit Ihrer Untersuchung sowie die IP-Adresse, von der aus Sie getestet haben — so können wir Ihren Datenverkehr in unseren Protokollen wiederfinden und von böswilligem Verkehr unterscheiden;
• Kontaktdaten, unter denen wir Sie erreichen können, und ob Sie bei einer Veröffentlichung genannt werden möchten.

Sie dürfen anonym melden. Bedenken Sie dann, dass wir keine Rückfragen stellen und Sie nicht über den Stand der Bearbeitung informieren können.

Möchten Sie Ihre Meldung verschlüsselt übermitteln? Fordern Sie über security@jmnl.nl unseren aktuellen PGP-Schlüssel an; wir senden ihn mit dem zugehörigen Fingerabdruck auf Anfrage zu.

5. Was wir Ihnen zusagen

Darüber hinaus sagen wir zu, dass wir:

• Ihre Meldung vertraulich behandeln und Ihre personenbezogenen Daten nicht ohne Ihre Zustimmung an Dritte weitergeben;
• Sie über den Fortschritt auf dem Laufenden halten;
• gemeinsam mit Ihnen festlegen, ob, wann und wie über die Schwachstelle veröffentlicht wird;
• keine rechtlichen Schritte unternehmen, wenn Sie sich an die Spielregeln gehalten haben.

6. Veröffentlichung und Anerkennung

Wir streben eine koordinierte Veröffentlichung an. Unser Grundsatz ist, dass eine Schwachstelle erst dann öffentlich gemacht wird, nachdem sie behoben wurde, spätestens jedoch 90 Tage nach Ihrer Meldung. Betrifft es eine Schwachstelle in einer OT- oder ICS-Umgebung, kann diese Frist nach Absprache länger sein: Das Patchen in einer industriellen Umgebung erfordert häufig einen geplanten Wartungsstillstand.

Wenn Sie das wünschen, nennen wir Sie bei der Veröffentlichung als Entdecker der Schwachstelle. Geben Sie an, anonym bleiben zu wollen, so respektieren wir das.

7. Belohnung

JMNL Innovation ist ein kleines, spezialisiertes Unternehmen und betreibt kein Bug-Bounty-Programm. Wir bieten daher keine finanzielle Belohnung. Was wir sehr wohl bieten: eine ernsthafte, inhaltliche Bearbeitung Ihrer Meldung durch Menschen, die das Fach verstehen, eine aufrichtige Wertschätzung und — wenn Sie möchten — öffentliche Anerkennung.

8. security.txt

Unsere Kontaktdaten für Sicherheitsmeldungen sind auch maschinenlesbar gemäß RFC 9116 verfügbar, unter /.well-known/security.txt:

Contact: mailto:security@jmnl.nl
Expires: 2027-08-16T00:00:00.000Z
Preferred-Languages: nl, en
Canonical: https://jmnl.nl/.well-known/security.txt
Policy: https://jmnl.nl/de/responsible-disclosure.html