Wir nehmen Hinweise auf Sicherheitslücken ernst und beantworten jede Meldung. Diese Seite beschreibt, wie Sie uns erreichen, was in den Geltungsbereich fällt und womit Sie rechnen können.
Meldung einreichen
security@gucoia.de
Bitte nennen Sie in Ihrer Meldung:
- betroffenes System, URL oder Endpunkt
- Beschreibung der Schwachstelle und der möglichen Auswirkung
- nachvollziehbare Reproduktionsschritte
- Ihre bevorzugte Sprache (Deutsch oder Englisch)
Wenn Sie verschlüsselt schreiben möchten, fordern Sie zuerst formlos unseren öffentlichen Schlüssel an.
Maschinenlesbarer Kontakt: /.well-known/security.txt nach RFC 9116.
Geltungsbereich
Im Geltungsbereich
gucoia.deund alle Unterseitenerp.gucoia.de(ERPNext-Instanz hinter dem Formular-Proxy)- öffentlich erreichbare Endpunkte unter
/erp-api/
Nicht im Geltungsbereich
- Dienste Dritter, die wir lediglich einbinden (z. B. der Analytics-Anbieter)
- Befunde ohne belegbare Sicherheitsauswirkung, etwa fehlende Header auf statischen Seiten, Ergebnisse reiner Versions-Fingerprints oder Best-Practice-Empfehlungen ohne konkretes Angriffsszenario
- Social Engineering gegen Mitarbeitende, physische Angriffe, Spam- oder Massen-Mail-Belästigung
Was wir nicht möchten
Bitte führen Sie keine Tests durch, die den Betrieb oder Daten Dritter gefährden: keine Denial-of-Service- oder Lasttests, kein Ausnutzen einer gefundenen Lücke über den minimal nötigen Nachweis hinaus, kein Zugriff auf, keine Veränderung und keine Weitergabe fremder Daten. Stoßen Sie versehentlich auf personenbezogene Daten, brechen Sie den Test ab und weisen Sie uns in der Meldung darauf hin.
Reaktionszeiten
3 Werktage Eingangsbestätigung
10 Werktage Erste Bewertung (Schweregrad, Gültigkeit)
14 Tage Statusmeldung während der Behebung
Wir bitten um eine Frist von 90 Tagen bis zu einer Veröffentlichung. Ist die Lücke früher geschlossen, ist auch eine frühere Veröffentlichung in Ordnung — sprechen Sie den Zeitpunkt bitte kurz mit uns ab.
Unsere Zusage
Wer sich an diese Regeln hält, gutgläubig handelt und Befunde vertraulich meldet, muss von uns keine rechtlichen Schritte befürchten. Wir betrachten solche Meldungen als Beitrag zur Sicherheit unserer Kundinnen und Kunden.
Auf Wunsch nennen wir Sie namentlich, sobald die Lücke geschlossen ist. Ein Bug-Bounty-Programm mit Geldprämien betreiben wir derzeit nicht.
Sicherheitslücken in Kundeninstallationen
Betreiben Sie eine GuCoIA-Installation in eigener Infrastruktur und vermuten dort eine Schwachstelle, melden Sie diese ebenfalls an security@gucoia.de. Bitte testen Sie ausschließlich Ihre eigene Instanz.