Responsible-Disclosure-Policy

Einleitung

Sicherheit ist für Elevatry zentral, weil Kunden der Elevatry Plattform uns vertrauliche Inhalte anvertrauen. Wir freuen uns über Hinweise von Sicherheitsforschern und anderen Personen, die uns helfen, die Plattform sicherer zu machen. Diese Policy beschreibt, wie Sie uns Sicherheitslücken melden können, was wir von Ihnen erwarten und was Sie von uns erwarten können.

1. Geltungsbereich

1.1 In den Geltungsbereich fallen die Elevatry Plattform mit den Komponenten Elevatry, Elevatry API und Elevatry App (einschließlich der iOS-App) sowie die Website www.elevatry.ai sowie die Domains media.elevatry.ai, static.elevatry.ai und auth.elevatry.ai. Es zählen Sicherheitslücken, die die Vertraulichkeit, Integrität oder Verfügbarkeit dieser Systeme oder der darin verarbeiteten Daten beeinträchtigen können.

1.2 Besonders interessant sind insbesondere: Zugriff auf Daten oder Funktionen eines anderen Mandanten, Umgehung von Authentifizierung oder Berechtigungen, Ausführung von Code außerhalb der vorgesehenen Isolation (etwa in den isolierten Umgebungen für KI-generierten Code), Offenlegung von Zugangsdaten oder Schlüsseln sowie Prompt-Injection oder vergleichbare Angriffe, die zu Datenabfluss, unbefugten Aktionen oder mandantenübergreifenden Auswirkungen führen.

1.3 Nicht im Geltungsbereich sind: (a) Systeme und Dienste Dritter, etwa Modellanbieter, Cloud-Anbieter, Hosting- und Identitätsdienste (bitte melden Sie dort direkt), (b) Systeme, Konfigurationen und angebundene Systeme von Kunden, (c) rein inhaltliche Qualitätsprobleme von KI-Modellen, etwa fehlerhafte Antworten („Halluzinationen“) ohne Sicherheitsauswirkung, (d) Hinweise auf fehlende Sicherheits-Header oder vergleichbare Best-Practice-Abweichungen ohne konkrete Ausnutzbarkeit.

2. Regeln für Tests

2.1 Bitte handeln Sie in gutem Glauben, mit dem Ziel, die Sicherheit zu verbessern, und nutzen Sie nur eigene Konten und eigene Testdaten.

2.2 Nicht erlaubt sind: (a) Denial-of-Service-Angriffe und Tests mit hoher Last, (b) Social Engineering, Phishing oder Angriffe auf Mitarbeitende, Kunden oder Dienstleister von Elevatry, (c) physische Angriffe, (d) das Verändern, Löschen oder Herunterladen von Daten, die nicht Ihnen gehören, (e) Zugriffe auf Daten anderer Mandanten über das zum Nachweis der Lücke unbedingt erforderliche Maß hinaus, (f) das Installieren von Schadsoftware oder dauerhaften Zugängen, (g) das Weitergeben oder Veröffentlichen von Daten, auf die Sie zugegriffen haben, und (h) Spam und massenhafte automatisierte Scans.

2.3 Wenn Sie versehentlich auf Kundendaten oder personenbezogene Daten zugreifen, beenden Sie den Test sofort, kopieren oder speichern Sie keine Daten, löschen Sie vorhandene Kopien und melden Sie uns den Vorfall.

3. So melden Sie eine Sicherheitslücke

3.1 Senden Sie Ihre Meldung an security@elevatry.ai. Unsere Kontaktdaten finden Sie auch in der Datei security.txt unter https://www.elevatry.ai/.well-known/security.txt; diese Policy finden Sie unter https://www.elevatry.ai/security.

3.2 Bitte nennen Sie in Ihrer Meldung, soweit möglich: eine Beschreibung der Lücke und ihrer Auswirkung, die betroffene Komponente oder URL, Schritte zur Reproduktion oder einen Proof of Concept, verwendete Testkonten, Zeitpunkte der Tests und Ihre Kontaktdaten. Bitte senden Sie keine Kundendaten oder sonstigen sensiblen Daten in der Meldung.

3.3 Bitte behandeln Sie Ihre Erkenntnisse vertraulich, bis wir die Lücke behoben haben oder die Frist nach Ziffer 5 abgelaufen ist.

4. Was Sie von uns erwarten können

4.1 Wir bemühen uns, den Eingang Ihrer Meldung innerhalb von drei Werktagen zu bestätigen (Zielwert), und prüfen sie sorgfältig.

4.2 Wir informieren Sie über den Bearbeitungsstand, insbesondere über unsere Einschätzung der Lücke und darüber, ob und wann wir sie beheben. Die Schwere beurteilen wir nach anerkannten Maßstäben, etwa dem Common Vulnerability Scoring System (CVSS).

4.3 Wir sagen keine festen Fristen für die Behebung zu, bemühen uns aber um eine Behebung entsprechend der Schwere der Lücke.

4.4 Wir behandeln Ihre Meldung und Ihre Kontaktdaten vertraulich und geben sie nur an Personen weiter, die zur Bearbeitung erforderlich sind.

5. Koordinierte Offenlegung

5.1 Wir bitten Sie, Sicherheitslücken erst zu veröffentlichen, wenn wir sie behoben haben oder Sie sich mit uns über den Zeitpunkt abgestimmt haben.

5.2 Spätestens 90 Tage nach Eingang Ihrer Meldung können Sie die Lücke veröffentlichen, wenn wir uns bis dahin nicht auf einen anderen Zeitpunkt verständigt haben. Wird eine Lücke aktiv ausgenutzt oder besteht für Dritte ein erhebliches Risiko, stimmen wir einen kürzeren oder längeren Zeitraum mit Ihnen ab.

5.3 Bei einer Veröffentlichung dürfen keine Kundendaten, personenbezogenen Daten oder Zugangsdaten offengelegt werden.

6. Rechtliche Hinweise

6.1 Handeln Sie im Rahmen dieser Policy und in gutem Glauben, wird Elevatry deswegen keine zivilrechtlichen Schritte gegen Sie einleiten und keinen Strafantrag stellen.

6.2 Diese Zusage gilt nur für Systeme von Elevatry. Sie bindet weder Kunden noch Dienstleister, Behörden oder sonstige Dritte, und sie ersetzt keine Genehmigung nach geltendem Recht. Die gesetzlichen Regelungen, insbesondere zum Ausspähen und Abfangen von Daten (§§ 202a ff. StGB), bleiben unberührt. Bei Verstößen gegen diese Policy, insbesondere bei Zugriff auf Daten Dritter über das erforderliche Maß hinaus, bei Erpressungsversuchen oder bei Weitergabe von Daten, entfällt die Zusage nach Ziffer 6.1.

6.3 Diese Policy begründet kein Vertragsverhältnis und keinen Vergütungsanspruch.

7. Anerkennung

7.1 Auf Wunsch nennen wir Sie nach der Behebung der Lücke namentlich in unserer „Hall of Fame“ unter https://www.elevatry.ai/security. Sagen Sie uns bitte in Ihrer Meldung, ob und unter welchem Namen wir Sie nennen dürfen.

7.2 Wir zeigen unsere Wertschätzung in geeigneten Fällen nach eigenem Ermessen durch eine Anerkennung. Ein Anspruch darauf, auf eine Anerkennung oder auf ihre Art und Höhe besteht nicht.

8. Datenschutz

Wir verarbeiten Ihre Kontaktdaten und die Inhalte Ihrer Meldung, um sie zu bearbeiten, mit Ihnen zu kommunizieren und die Sicherheit unserer Systeme zu gewährleisten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Wir speichern die Daten, bis die Meldung abgeschlossen ist, und anschließend nur so lange, wie es zum Nachweis und zur Abwehr von Ansprüchen erforderlich ist (in der Regel sieben Jahre). Weitere Informationen finden Sie in unserer Datenschutzerklärung.

9. Änderungen

Wir können diese Policy jederzeit ändern. Maßgeblich ist die zum Zeitpunkt Ihrer Meldung veröffentlichte Fassung unter https://www.elevatry.ai/security.

10. Sprache

Diese Policy wird in deutscher und englischer Sprache bereitgestellt. Verbindlich ist ausschließlich die deutsche Fassung. Die englische Fassung ist eine unverbindliche Übersetzung zu Informationszwecken. Bei Abweichungen oder Auslegungsfragen geht die deutsche Fassung vor.