Bei der FITKO legen wir sehr viel Wert auf die Sicherheit der von uns betrieben Systeme.
Niemand ist perfekt und so kann es trotzdem passieren, dass eine Schwachstelle in einem der von der FITKO betriebenen Projekte und Produkte entdeckt wird.
Wir würden uns freuen, wenn ihr uns über gefundene Schwachstellen so schnell wie möglich nach dem „Responsible Disclosure“-Prinzip (auch „Coordinated Disclosure“) informiert, damit wir zeitnah Maßnahmen zum Schutz von FIT-Connect und aller Nutzer:innen einleiten können.
Wir würden uns freuen, wenn ihr uns über gefundene Schwachstellen so schnell wie möglich nach dem „Responsible Disclosure“-Prinzip informiert, damit wir zeitnah Maßnahmen zum Schutz von FIT-Connect und aller Nutzer:innen einleiten können.
Im folgenden soll daher unser Umgang mit Schwachstellen im Detail beschrieben werden.
Dazu gehört auch, zu erklären, wie ihr uns Schwachstellen melden könnt und wie wir dann im Anschluss mit den von euch gemeldeten Schwachstellen verfahren.
Im Folgenden soll daher unser Umgang mit Schwachstellen im Detail beschrieben werden.
Dazu gehört auch, zu erklären, wie ihr uns Schwachstellen melden könnt und wie wir dann im Anschluss mit den von euch gemeldeten Schwachstellen umgehen.
Alternativ findet ihr die wesentlichen Informationen in Kurzform nach dem [Security.txt-Standard](https://securitytxt.org/) in der Datei [security.txt](https://docs.fitko.de/.well-known/security.txt).
## Meldung von Schwachstellen
Wenn ihr glaubt, eine Schwachstelle in FIT-Connect oder einem anderen von der FITKO betriebenen Dienst gefunden zu haben, teilt uns dies bitte so schnell wie möglich nach Entdeckung mit, vorzugsweise per E-Mail an <!-- TODO: Mail-Adresse ergänzen (obfuscated!) -->.
Verwendet dabei bitte unseren PGP-Schlüssel mit dem Fingerprint <!-- TODO: Link und Fingerprint ergänzen -->.
Wenn ihr glaubt, eine Schwachstelle in FIT-Connect oder einem anderen von der FITKO betriebenen Dienst gefunden zu haben, teilt uns dies bitte so schnell wie möglich nach Entdeckung mit, vorzugsweise per E-Mail an `it-sicherheit`@`fitko.de`.
Verwendet dabei bitte [unseren PGP-Schlüssel](https://keys.openpgp.org/search?q=924BDA2DF08D50B179CE3A46E4EDC7C651502C53) mit dem Fingerprint `924B DA2D F08D 50B1 79CE 3A46 E4ED C7C6 5150 2C53`.
Wenn ihr einen telefonischen Austausch wünscht, gebt bitte eine Telefonnummer an, unter der wir euch erreichen können.
Folgende Details sind dabei für uns besonders relevant und helfen etwaiige Lücken schneller zu beheben:
@@ -25,7 +25,7 @@ Weitere Kontaktdaten findet ihr [auf unserer Webseite](https://www.fitko.de/uebe
### Rahmenbedingungen für einen verantwortungsvollen Umgang
Auch beim Umgang mit Schwachstellen sollten einige wichtige Verhaltensregeln beachtet werden:
Beim Umgang mit Schwachstellen sollten einige wichtige Verhaltensregeln beachtet werden:
1. Teilt eure Informationen über das Sicherheitsproblem nicht mit Dritten, bis das Problem gelöst ist und gebt uns damit bitte die Chance, das Problem zu beheben, bevor es zu größeren Schäden kommen kann.
2. Geht mit eurem Wissen über das Sicherheitsproblem verantwortungsbewusst um, d.h., tut nur das, was notwendig ist, um das Sicherheitsproblem kenntlich zu machen.
3. Nutzt die Schwachstelle nicht aus und speichert keine vertraulichen Daten, auf die ihr im Rahmen der Erforschung der Schwachstelle Zugriff erlangt habt.