Security Policy

Die Sicherheit der von uns verantworteten und betreuten Systeme und Anwendungen ist uns wichtig. Sollten Sie eine mögliche Sicherheitslücke in einem der von dieser Security Policy erfassten öffentlich erreichbaren Systeme entdecken, bitten wir Sie, uns darüber zu informieren.

Diese Security Policy gilt für die öffentlich erreichbaren Systeme und Webauftritte der RSAG sowie für Systeme und Webauftritte weiterer Organisationen, für die das Informationssicherheits-Team der RSAG die Bearbeitung von Sicherheitsmeldungen übernommen hat.

Ob ein Webauftritt von dieser Security Policy erfasst wird, ergibt sich aus der auf dem jeweiligen Webauftritt bereitgestellten security.txt, die auf diese Security Policy und die zuständige Meldestelle verweist.

Bitte senden Sie Ihre Meldung per E-Mail an zemesis@rsag.de und geben möglichst folgende Informationen an:

• das betroffene System, die Website oder URL,
• eine Beschreibung der gefundenen Schwachstelle,
• Schritte, mit denen sich das Problem nachvollziehen lässt,
• mögliche Auswirkungen der Schwachstelle und
• sofern vorhanden, ergänzende technische Informationen oder Nachweise.

Bitte übermitteln Sie keine personenbezogenen Daten oder andere vertrauliche Informationen, sofern diese für die Beschreibung der Schwachstelle nicht erforderlich sind.

Wir bitten Sie, bei der Untersuchung möglicher Sicherheitslücken verantwortungsvoll vorzugehen. Insbesondere bitten wir Sie:

• keine Daten zu verändern oder zu löschen,
• nicht mehr Daten einzusehen oder abzurufen, als zur Feststellung der Schwachstelle notwendig ist,
• keine Daten Dritter herunterzuladen oder weiterzugeben,
• keine Schadsoftware einzusetzen,
• keine Social-Engineering-Angriffe gegen unsere Mitarbeitenden oder Dritte durchzuführen,
• keine Denial-of-Service- oder vergleichbaren Belastungstests durchzuführen und
• eine gefundene Schwachstelle nicht öffentlich zu machen, bevor wir Gelegenheit hatten, sie zu untersuchen und angemessen darauf zu reagieren.

Sollten Sie während Ihrer Untersuchung unbeabsichtigt Zugriff auf personenbezogene oder vertrauliche Daten erhalten, bitten wir Sie, die Untersuchung an dieser Stelle abzubrechen und uns darüber zu informieren.

Wir prüfen eingehende Sicherheitsmeldungen und bemühen uns, den Eingang Ihrer Meldung zeitnah zu bestätigen.

Falls für die Untersuchung weitere Informationen erforderlich sind, nehmen wir gegebenenfalls Kontakt mit Ihnen auf.

Wir bitten um Verständnis, dass die Bearbeitungsdauer von Art und Umfang der gemeldeten Schwachstelle abhängen kann.

Mit der Meldung einer Sicherheitslücke entsteht kein Anspruch auf eine Vergütung. Sofern nicht ausdrücklich anders angegeben, betreiben wir kein Bug-Bounty-Programm.