Sicherheit & Meldung von Schwachstellen
Vulnerability Disclosure Policy der comevis GmbH & Co. KG
Einleitung
Die Sicherheit unserer Produkte und der Daten unserer Kunden hat für die comevis GmbH & Co. KG hohe Priorität. Wenn ihr eine Sicherheitslücke in unseren Systemen entdeckt habt, freuen wir uns über eine vertrauliche Meldung und arbeiten mit euch koordiniert an einer Lösung.
So meldet ihr eine Schwachstelle
security (at) comevis.com- Bitte beschreibt: betroffenes System/URL, Art der Schwachstelle, Schritte zur Reproduktion, möglichen Impact, ggf. Screenshots oder Proof of Concept.
- Meldungen sind auf Deutsch oder Englisch möglich.
Was ihr von uns erwarten könnt
- Eingangsbestätigung innerhalb von 1 Werktag
- Erste Einschätzung (Triage) innerhalb von 3 Werktagen
- Regelmäßige Statusupdates bis zur Behebung
- Koordinierte Veröffentlichung: Wir bitten euch, Details erst nach Behebung, spätestens jedoch nach 90 Tagen in Abstimmung mit uns zu veröffentlichen.
- Auf Wunsch nennen wir euch nach Behebung als Finder (Danksagung).
Safe Harbor
Wenn ihr nach Treu und Glauben und im Rahmen dieser Richtlinie handelt, werden wir keine rechtlichen Schritte gegen euch einleiten. Bitte:
- greift nur auf Daten zu, die zum Nachweis der Schwachstelle unbedingt nötig sind, und löscht sie danach,
- verändert oder zerstört keine Daten,
- beeinträchtigt nicht die Verfügbarkeit unserer Dienste,
- informiert niemanden außer uns, bis die Lücke behoben ist.
Nicht im Scope
- Denial-of-Service-Angriffe (DoS/DDoS)
- Social Engineering, Phishing, physische Angriffe
- Spam oder automatisierte Massenscans ohne konkreten Befund
- Schwachstellen in Diensten Dritter (bitte direkt an den jeweiligen Anbieter melden)
- Reine Best-Practice-Hinweise ohne nachweisbares Risiko (z. B. fehlende Header ohne Exploit)
Hinweis
Wir betreiben kein Bug-Bounty-Programm und zahlen keine Prämien für Meldungen.
Stand: Oktober 2026