SINCLIQZurück zu Sincliq

Polen · Version 2026-10-08

Sicherheitslücke melden

Zu diesem Thema schreiben

1. Eine Sicherheitslücke melden

Melden Sie vermutete Schwachstellen oder Vorfälle für den ausgewählten Markt an Sincliq Sp. z o.o., ul. Hoża 86, lok. 410, 00-682 Warszawa, Polska, über hello@sincliq.com mit dem Betreff „Security“. Beginnen Sie mit einer kurzen Beschreibung des Problems, des betroffenen Dienstes und möglicher Folgen. Nennen Sie den Länderbezug und Ihre bevorzugte Antwortsprache: Polnisch, Deutsch oder Englisch. Die Sprache der Website ändert das zuständige Unternehmen nicht. Sie müssen keinen erfolgreichen Angriff nachweisen oder einen weiteren Test durchführen, um einen begründeten Verdacht mitzuteilen. Dieses Dokument beschreibt sichere Meldung und Zusammenarbeit; eine Meldung, automatische Bestätigung oder Korrespondenz allein erteilt keine Erlaubnis zur Untersuchung von Systemen.

2. Normale Nutzung und Beobachtung

Sie können Probleme melden, die Sie beim rechtmäßigen Besuch öffentlicher Seiten, beim Lesen regulär an Ihren Browser übermittelter Informationen oder bei bestimmungsgemäßer Nutzung Ihres eigenen Kontos innerhalb seiner Berechtigungen bemerken. Eine erneute Auslösung ist nicht erforderlich. Die öffentliche Erreichbarkeit einer Adresse, Datei oder Eingabemaske erlaubt keine beliebigen Tests. Das Ändern von Kennungen zur Suche nach fremden Daten, Umgehungsversuche, gezielt präparierte Anfragen und automatisierte Scans gehen über gewöhnliche Beobachtung hinaus. Wenn weitere Erkenntnisse solche Schritte erfordern würden, stoppen Sie und beschreiben Sie das bereits Beobachtete. Fehlende technische Sperren erweitern Ihre Berechtigungen nicht.

3. Einwilligung vor aktiven Tests

Holen Sie vor aktiven Tests eine ausdrückliche schriftliche Erlaubnis einer berechtigten Vertretung ein, die Systeme, Methoden, Testkonten, Zeitraum und Abbruchbedingungen festlegt. Einen Vorschlag können Sie an hello@sincliq.com senden; das Absenden oder Schweigen bedeutet keine Zustimmung. Eine Erlaubnis für einen Test umfasst nicht automatisch andere Umgebungen, Funktionen oder spätere Versuche. Die Zustimmung eines Kundenbetriebs, Beschäftigten oder Kontoinhabers kann für Sincliq-Infrastruktur unzureichend sein. Erforderlich sind die entsprechenden Befugnisse aller Stellen, die über die betroffene Ressource verfügen. Klären Sie unklare Eigentumsverhältnisse oder Grenzen vor Beginn. Diese Richtlinie ist keine allgemeine Testgenehmigung und ersetzt keine solche Vereinbarung.

4. Unzulässige Handlungen

Beschaffen, exportieren oder kopieren Sie keine fremden Daten und verändern oder löschen Sie weder Daten noch Konfigurationen. Unterlassen Sie Last- und Verfügbarkeitstests, massenhaftes Passwortprobieren, die Nutzung entwendeter Zugangsdaten, Social Engineering und physische Zutrittsversuche. Richten Sie keine dauerhaften Zugänge ein, wechseln Sie nicht in weitere Systeme und lösen Sie keine Finanztransaktionen als Wirkungsnachweis aus. Diese Richtlinie umfasst keine Tests bei Kunden, Zahlungsanbietern, Cloudanbietern oder sonstigen Dritten, auch nicht über eine Sincliq-Integration. Gute Absichten oder die gewünschte Bestätigung des Ausmaßes rechtfertigen keine zusätzlichen Schäden. Bestehende gesonderte Testverträge gelten ausschließlich in ihrem jeweiligen Umfang und nach ihren Bedingungen.

5. Minimale, aussagekräftige Nachweise

Nennen Sie Adresse oder Funktion, Datum und Uhrzeit mit Zeitzone, Softwareversion, Rolle Ihres eigenen Kontos sowie erwartetes und beobachtetes Verhalten. Beschreiben Sie tatsächlich ausgeführte Schritte und mögliche Auswirkungen, wobei Vermutungen klar von Tatsachen zu trennen sind. Ein kurzer geschwärzter Auszug oder eine aussagekräftige Bildschirmaufnahme genügt häufig; vollständige Datenbankexporte werden nicht benötigt. Entfernen Sie Passwörter, Token, Sitzungscookies, Schlüssel, Kartennummern und Kundendaten aus Texten, Bildern, Adressen und Metadaten. Fügen Sie der ersten Nachricht weder funktionsfähigen Angriffscode noch ausführbare Anlagen bei. Wenn Nachweise besonderen Schutz benötigen, beschreiben Sie ihre Art und vereinbaren Sie die Übermittlung.

6. Unerwarteter Zugriff auf Daten

Wenn Sie unbeabsichtigt fremde Daten oder ein aktives Geheimnis sehen, beenden Sie die weitere Einsicht und prüfen Sie weder zusätzliche Datensätze noch die Gültigkeit von Zugangsdaten. Veröffentlichen, verbreiten oder verwenden Sie die Informationen nicht für Anmeldungen, Kontakte zu Betroffenen oder die Bestätigung des Umfangs. Notieren Sie nur erforderliche Angaben zu Ort, Zeit und Art der Offenlegung, ohne Inhalte zu kopieren. Wurde eine Datei automatisch heruntergeladen, sichern Sie sie gegen weiteren Zugriff und erwähnen Sie dies; versenden Sie sie nicht per gewöhnlicher E-Mail. Stimmen Sie begrenzte Aufbewahrung oder sichere Löschung unter Beachtung gesetzlicher Pflichten ab. Verändern oder löschen Sie nichts im Ursprungssystem.

7. Dringende Vorfälle und sicherer Kontakt

Bei laufender Datenoffenlegung, Kontoübernahme oder vermutetem aktivem Angriff schreiben Sie an hello@sincliq.com mit dem Betreff „Security urgent“ und nennen Dienst, Zeitpunkt und unmittelbare Folgen. Die erste Nachricht sollte ausschließlich eine Beschreibung ohne sensible Daten oder Geheimnisse enthalten. Die Übermittlung sensibler Nachweise muss vorher gesondert abgestimmt werden; die Kontaktaufnahme allein schützt diese Informationen nicht. Das Postfach garantiert keine Betreuung rund um die Uhr oder sofortige Antwort. Bei Lebensgefahr verständigen Sie zuständige Einsatzkräfte, bei gefährdeten Zahlungen außerdem Ihren Zahlungsanbieter über einen verifizierten Kontaktweg. Sie dürfen Ihr eigenes Konto innerhalb Ihrer Befugnisse absichern. Greifen Sie nicht eigenständig in fremde Systeme ein.

8. Bewertung und weitere Kommunikation

Bei der Bewertung berücksichtigen wir Glaubhaftigkeit, tatsächliche Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit, Ausnutzbarkeit sowie betroffene Personen und Dienste. Eine technische Punktzahl ist nicht erforderlich; die Beschreibung konkreter Folgen hilft mehr als die bloße Einstufung als kritisch. Wir können Erläuterungen zu bereits erhobenen Angaben anfordern, ohne damit weitere Tests zu erlauben. Antworten Sie im selben Nachrichtenverlauf und kennzeichnen Sie neue Umstände. Datenschutz und laufende Untersuchungen können die mitteilbaren Einzelheiten begrenzen. Diese Richtlinie garantiert keine Frist für Bestätigung, Lösung oder Behebung; gesetzliche Pflichten gelten unabhängig davon. Eine ausbleibende Antwort erweitert den erlaubten Handlungsrahmen nicht.

9. Abhilfe und erneute Tests

Die geeignete Abhilfe hängt von der Ursache, technischen Abhängigkeiten und Änderungsrisiken für Nutzer ab. Möglich sind Konfigurationsänderungen, Korrekturen, eingeschränkte Funktionen oder die Sperrung gefährdeter Zugangsdaten durch die zuständige Stelle. Eine Nachricht über eine Korrektur lädt nicht zur eigenständigen Wiederholung eines Angriffs ein. Eine Überprüfung durch die meldende Person benötigt eine gesonderte Vereinbarung und Erlaubnis wie jeder erste aktive Test. Wenn Sie ein erneutes Auftreten ohne weitere Tests bemerken, teilen Sie die neuen Umstände mit. Eine Meldung kann ein Duplikat sein oder zusätzliche Erläuterungen erfordern; dies bewertet weder Ihre Absichten noch erlaubt es riskante Methoden zur Gewinnung stärkerer Beweise.

10. Koordinierte Veröffentlichung

Bitte räumen Sie angemessene Zeit für Bewertung und Risikobegrenzung ein, bevor Sie ausnutzbare Einzelheiten veröffentlichen. Teilen Sie geplanten Termin und Umfang mit, damit ein praktikabler Zeitplan und Aktualisierungen abgestimmt werden können. Eine Verlängerung sollte einen konkreten Grund und einen neuen Überprüfungstermin haben. Diese Richtlinie begründet weder ein unbegrenztes Veröffentlichungsverbot noch eine Pflicht, endlos auf Zustimmung zu warten. Bei ausbleibendem Kontakt können Sie eine zuständige CERT- oder CSIRT-Stelle zur Koordination erwägen. Veröffentlichen Sie keine personenbezogenen Daten, Geheimnisse oder unmittelbar gefährlichen Anleitungen. Gesetzliche Behördenmeldungen, gesetzlich geschützte Offenlegungen und die Inanspruchnahme rechtlicher Beratung bleiben möglich.

11. Schutz von Meldung und Daten

Informationen aus einer Meldung werden für deren Bearbeitung, den Schutz von Systemen und Personen, erforderliche Zusammenarbeit sowie gesetzliche Pflichten und Ansprüche verwendet. Zugriff oder Weitergabe sollen auf erforderliche Angaben für zuständige Bearbeitende, Dienstleister, Berater oder Behörden und eine geeignete Grundlage beschränkt sein. Absolute Vertraulichkeit oder anwaltliche Verschwiegenheit wird nicht zugesagt. Eine Meldung ohne Namen kann weitere Rückfragen erschweren; regelmäßig genügt eine erreichbare Rückadresse ohne Identitätsdokument. Kennzeichnen Sie besondere Risiken einer Offenlegung Ihrer Identität. Die Aufbewahrung richtet sich nach dem Bedarf für den Vorgang, Pflichten und Ansprüchen. Informationen zu Datenschutzrechten und ihrer Ausübung enthält die Datenschutzerklärung.

12. EU: Meldungen nach der DSGVO

Eine Schwachstelle ist nicht immer eine Verletzung personenbezogener Daten. Gilt die DSGVO, meldet der Verantwortliche eine Verletzung ohne unangemessene Verzögerung, möglichst binnen 72 Stunden nach Bekanntwerden, der zuständigen Aufsicht, außer wenn ein Risiko für Rechte und Freiheiten unwahrscheinlich ist; Verzögerungen sind zu begründen. Auftragsverarbeiter informieren den Verantwortlichen unverzüglich. Bei voraussichtlich hohem Risiko verlangt Artikel 34 außerdem eine unverzügliche Benachrichtigung betroffener Personen unter Beachtung seiner Ausnahmen. Rollenbestimmung, Dokumentation und Risikobewertung liegen bei der verantwortlichen Stelle. Diese Frist verspricht weder eine Antwort an Forschende noch eine Fehlerbehebung und beginnt nicht zwangsläufig mit der ersten E-Mail.