Sicherheitshinweise

Du hast eine Sicherheitslücke bei Ustap entdeckt? Danke, dass du sie uns meldest, bevor jemand anderes sie findet. Hier steht, wie du uns erreichst, was danach passiert und woran wir uns dabei halten.

So meldest du eine Lücke

Schreib an support@ustap.de mit dem Betreff „Sicherheit“. Hilfreich sind die betroffene Adresse oder App, die Schritte zum Nachstellen und was du gesehen hast. Bitte schick keine Daten anderer Personen mit, beschreib sie nur. Wir antworten innerhalb von zwei Werktagen und sagen dir innerhalb von fünf Werktagen, wie wir die Meldung einschätzen. Sobald die Lücke geschlossen ist, bekommst du Bescheid.

Maschinenlesbar steht das alles in /.well-known/security.txt.

Was dazugehört

ustap.de, app.ustap.de, business.ustap.de, api.ustap.de, die Apps Ustap und Ustap Business sowie die Karten, die wir für Apple Wallet und Google Wallet erzeugen.

Nicht dazu gehören Dienste anderer Anbieter, die wir nutzen, etwa Stripe für Zahlungen oder die Push-Dienste von Apple und Google. Eine Lücke dort meldest du bitte direkt beim Anbieter. Ebenfalls nicht gemeint sind Lasttests und Überlastangriffe, Social Engineering, Phishing gegen unser Team oder unsere Kundinnen und Kunden, physische Angriffe und reine Scanner-Ausgaben ohne nachgewiesene Auswirkung.

Woran wir dich bitten, dich zu halten

Geh nur so weit, wie es nötig ist, um die Lücke zu belegen. Lies, ändere und lösche keine Daten anderer Personen und greif nicht auf fremde Konten zu, nutze für Tests eigene Konten. Störe den Betrieb nicht und behalte die Lücke für dich, bis wir sie geschlossen haben oder 90 Tage seit deiner Meldung vergangen sind.

Was wir dir zusagen

Wer sich an diese Regeln hält und in guter Absicht handelt, muss von uns keine rechtlichen Schritte befürchten. Wir nehmen jede Meldung ernst, beheben bestätigte Lücken nach Schwere und halten dich auf dem Laufenden. Ustap ist ein kleines Unternehmen, Prämien zahlen wir nicht. Auf Wunsch nennen wir dich, sobald die Lücke geschlossen ist.