Responsible Disclosure

Wir suchen beruflich Schwachstellen in den Systemen anderer und melden Lücken, die wir außerhalb von Kundenprojekten finden, verantwortungsvoll an die Hersteller. Umgekehrt sind wir dankbar, wenn Sie uns auf eine Schwachstelle bei uns hinweisen. Bitte melden Sie sie vertraulich, damit wir sie beheben können, bevor sie ausgenutzt wird.

Geltungsbereich

Diese Richtlinie gilt für:

• diese Website (netzexperten.net) und die Systeme, die sie betreiben,
• unsere Produkte NXN RAG, NXN Agent und NXN Compliance OS.

Nicht erfasst sind:

• Systeme unserer Kunden – auch wenn dort unsere Produkte laufen. Prüfen Sie Kundensysteme nicht ohne deren Erlaubnis. Wenn Sie dort eine Lücke in einem unserer Produkte finden, melden Sie sie gern uns; wir stimmen das weitere Vorgehen mit dem Kunden ab.
• Dienste Dritter, die wir nutzen (zum Beispiel E-Mail oder Online-Meetings). Wenden Sie sich dafür an den jeweiligen Anbieter.

So melden Sie

Schreiben Sie an kontakt@netzexperten.net mit dem Betreff „Responsible Disclosure“. Hilfreich sind:

• betroffenes System, Adresse oder Produkt und Version,
• Art der Schwachstelle und ihre mögliche Auswirkung,
• Schritte zum Nachvollziehen, gern mit Proof of Concept, Anfragen und Antworten oder Screenshots,
• wie wir Sie erreichen und ob Sie nach der Behebung namentlich genannt werden möchten.

Sie können auch anonym melden. Unsere Kontaktdaten für Sicherheitsmeldungen finden Sie zusätzlich maschinenlesbar unter /.well-known/security.txt.

Wird eine Lücke bereits aktiv ausgenutzt, rufen Sie uns bitte zusätzlich an: 02151-4547786.

Spielregeln

• Greifen Sie nur so weit zu, wie es für den Nachweis nötig ist. Rufen Sie keine Daten Dritter ab, verändern oder löschen Sie keine Daten. Stoßen Sie auf personenbezogene oder vertrauliche Daten, brechen Sie ab und melden Sie uns das.
• Nutzen Sie eine gefundene Lücke nicht weiter aus und verschaffen Sie sich keinen dauerhaften Zugang.
• Beeinträchtigen Sie keine Dienste: keine Denial-of-Service-Tests, kein massenhaftes automatisiertes Scannen, kein Spam über unsere Formulare.
• Kein Social Engineering gegenüber unseren Mitarbeitenden oder Kunden, keine physischen Tests.
• Behandeln Sie die Schwachstelle vertraulich, bis sie behoben ist oder wir eine Veröffentlichung gemeinsam vereinbart haben.

Was Sie von uns erwarten können

• Wir bestätigen den Eingang Ihrer Meldung und sagen Ihnen, wer sich darum kümmert.
• Wir prüfen die Meldung, bewerten sie und halten Sie über den Stand der Behebung auf dem Laufenden.
• Wir stimmen den Zeitpunkt einer Veröffentlichung mit Ihnen ab.
• Auf Wunsch nennen wir Sie nach der Behebung als Finder.
• Ihre Angaben verwenden wir nur für die Bearbeitung der Meldung.

Rechtliches

Wenn Sie in gutem Glauben handeln und sich an diese Spielregeln halten, werden wir keine rechtlichen Schritte gegen Sie einleiten und keine Strafanzeige stellen. Diese Zusage gilt nur für Systeme im Geltungsbereich und nicht für Rechte Dritter, etwa unserer Kunden.

Wie wir Ihre Daten verarbeiten, lesen Sie in unserer Datenschutzerklärung.

Stand: 11/2026