Responsible-Disclosure-Policy
Rhaetix AG · Stand: 09.11.2026 · Version 1.0
Die Sicherheit unserer Kunden und ihrer Daten hat für uns höchste Priorität. Wir begrüssen die verantwortungsvolle Meldung von Sicherheitslücken durch Sicherheitsforschende und verpflichten uns zu einem fairen, transparenten Umgang.
1. Geltungsbereich (Scope)
Im Scope:
Im Scope:
- rhaetix.com und zugehörige Subdomains
- Die Rhaetix Workspace Software (Managed Hosting und Self-Hosted), aktuelle Version
- Zugehörige APIs
Ausserhalb des Scopes:
Ausserhalb des Scopes:
- Denial-of-Service-Angriffe oder Lasttests
- Social Engineering (z. B. Phishing) gegenüber Mitarbeitenden oder Kunden
- Physischer Zugriff auf Einrichtungen oder Geräte
- Schwachstellen in Systemen Dritter (bitte dem jeweiligen Anbieter melden)
- Spam-, Clickjacking- oder reine Konfigurationshinweise ohne nachweisbare Auswirkung
- Selbst kompromittierte Geräte oder Accounts
2. Spielregeln
Bei der Untersuchung bitten wir Sie:
- Handeln Sie nach Treu und Glauben und nur soweit, wie es zum Nachweis der Schwachstelle erforderlich ist.
- Greifen Sie nicht auf Daten anderer Nutzer zu, verändern oder löschen Sie keine Daten.
- Beeinträchtigen Sie die Verfügbarkeit unserer Dienste nicht.
- Nutzen Sie nach Möglichkeit Testkonten statt produktiver Daten.
- Halten Sie Details vertraulich, bis die Schwachstelle behoben ist (koordinierte Veröffentlichung, siehe § 4).
3. Unsere Zusagen (Safe Harbor)
Wenn Sie sich an diese Policy halten:
- betrachten wir Ihre Untersuchung als autorisiert und verzichten auf rechtliche Schritte im Zusammenhang mit der Meldung;
- behandeln wir Ihre Meldung vertraulich und geben Ihre Identität ohne Ihre Einwilligung nicht weiter;
- halten wir Sie über den Bearbeitungsstand auf dem Laufenden.
4. Ablauf
| Schritt | Zeitrahmen |
|---|---|
| Empfangsbestätigung Ihrer Meldung | innert 3 Werktagen |
| Erste inhaltliche Bewertung (Schweregrad) | innert 10 Werktagen |
| Behebung | abhängig vom Schweregrad: kritisch innert 14 Tagen, sonst innert 60 Tagen |
| Koordinierte Veröffentlichung | frühestens nach Behebung, in Abstimmung mit Ihnen (Richtwert: 90 Tage nach Meldung) |
5. So melden Sie eine Schwachstelle
E-Mail: contact@rhaetix.com
Bitte beschreiben Sie möglichst konkret:
- Art der Schwachstelle und betroffene Komponente (URL, Modul, Version)
- Schritte zur Reproduktion (Proof of Concept, falls möglich)
- Eingeschätzte Auswirkung
- Ob und wie wir Sie öffentlich nennen dürfen (siehe § 6)
6. Anerkennung
Ein Bug-Bounty-Programm besteht derzeit nicht. Auf Wunsch nennen wir Sie – nach Behebung und mit Ihrer Einwilligung – mit Namen in unserer Danksagung («Hall of Fame»).
7. Rechtliches
Diese Policy begründet keinen Vertrag und keinen Vergütungsanspruch. Es gilt Schweizer Recht. Die Policy kann jederzeit angepasst werden; es gilt die zum Zeitpunkt der Meldung veröffentlichte Fassung.