Peerdom Richtlinie zur Offenlegung von Schwachstellen (VDP) - Sicherheit

Version: 2. September 2026

Diese Seite ist eine Übersetzung des englischen Originals. Im Zweifelsfall hat die englische Version Vorrang.

Peerdom AG begrüsst Rückmeldungen von Sicherheitsforschenden und aus der Öffentlichkeit, die dazu beitragen, unsere Sicherheit zu verbessern. Wenn Sie glauben, in einem unserer Assets eine Schwachstelle, ein Datenschutzproblem, offengelegte Daten oder andere Sicherheitsprobleme entdeckt zu haben, möchten wir davon erfahren. Diese Richtlinie beschreibt die Schritte zur Meldung von Schwachstellen an uns, was wir erwarten und was Sie von uns erwarten können.

Unsere Verpflichtungen

Wenn Sie im Rahmen dieser Richtlinie mit uns zusammenarbeiten, können Sie von uns Folgendes erwarten:

  • Wir reagieren umgehend auf Ihre Meldung und arbeiten mit Ihnen zusammen, um sie zu verstehen und zu validieren;
  • Wir bemühen uns, Sie über den Fortschritt bei der Bearbeitung einer Schwachstelle auf dem Laufenden zu halten;
  • Wir arbeiten daran, entdeckte Schwachstellen im Rahmen unserer betrieblichen Möglichkeiten zeitnah zu beheben;
  • Wir beurteilen Ihre Meldung anhand der Fassung dieser Richtlinie, die an dem Tag galt, an dem wir sie erhalten haben; und
  • Wir gewähren Safe Harbor für Ihre Schwachstellenforschung, die im Zusammenhang mit dieser Richtlinie steht.

Unsere Erwartungen

Wenn Sie nach Treu und Glauben an unserem Programm zur Offenlegung von Schwachstellen teilnehmen, bitten wir Sie um Folgendes:

  • Halten Sie sich an die Regeln, einschliesslich dieser Richtlinie und aller anderen einschlägigen Vereinbarungen. Bei Widersprüchen zwischen dieser Richtlinie und anderen anwendbaren Bedingungen gehen die Bestimmungen dieser Richtlinie vor;
  • Melden Sie jede von Ihnen entdeckte Schwachstelle umgehend;
  • Wir bitten um einen funktionierenden PoC oder zumindest um einen Nachweis bzw. ein Beispiel dafür, dass die gemeldete Schwachstelle tatsächlich ausgenutzt werden kann;
  • Vermeiden Sie es, die Privatsphäre anderer zu verletzen, unsere Systeme zu stören, Daten zu zerstören und/oder die Nutzererfahrung zu beeinträchtigen;
  • Nutzen Sie ausschliesslich die Offiziellen Kanäle, um Informationen zu Schwachstellen mit uns zu besprechen;
  • Gewähren Sie uns eine angemessene Frist (mindestens 90 Tage ab der ersten Meldung), um das Problem zu beheben, bevor Sie es öffentlich machen;
  • Führen Sie Tests ausschliesslich an Systemen innerhalb des Geltungsbereichs durch und respektieren Sie Systeme und Aktivitäten, die ausserhalb des Geltungsbereichs liegen;
  • Wenn eine Schwachstelle einen unbeabsichtigten Zugriff auf Daten ermöglicht: Beschränken Sie die Menge der Daten, auf die Sie zugreifen, auf das Minimum, das für einen aussagekräftigen Proof of Concept (PoC) erforderlich ist; und stellen Sie die Tests ein und reichen Sie unverzüglich eine Meldung ein, wenn Sie während der Tests auf Nutzerdaten stossen, etwa auf personenbezogene Daten (Personally Identifiable Information, PII), Gesundheitsdaten (Personal Healthcare Information, PHI), Kreditkartendaten oder vertrauliche Geschäftsinformationen;
  • Sie sollten ausschliesslich mit Testkonten interagieren, die Ihnen gehören, oder mit ausdrücklicher Erlaubnis der Kontoinhaberin bzw. des Kontoinhabers; und
  • Betreiben Sie keine Erpressung.

Offizielle Kanäle

Bitte melden Sie Sicherheitsprobleme über security@peerdom.org und geben Sie dabei alle relevanten Informationen an. Je mehr Details Sie liefern, desto einfacher können wir das Problem einordnen und beheben.

Systeme im Geltungsbereich

Diese Richtlinie gilt für sämtliche digitalen Assets, die im Eigentum von Peerdom AG stehen oder von Peerdom AG betrieben oder gewartet werden.

Ausserhalb des Geltungsbereichs

Assets oder sonstige Ausrüstung, die nicht im Eigentum der an dieser Richtlinie beteiligten Parteien stehen. In Systemen ausserhalb des Geltungsbereichs entdeckte oder vermutete Schwachstellen sollten dem zuständigen Anbieter oder der zuständigen Behörde gemeldet werden. Meldungen, die sich auf die folgenden Schwachstellen beziehen, gelten als ausserhalb des Geltungsbereichs und sind nicht prämienberechtigt:

  • Hyperlink-Injection in E-Mails
  • Rate Limiting
  • Bedenken zu Best Practices (wir benötigen einen Nachweis für eine Sicherheitslücke)
  • Schwachstellen, die ausschliesslich Nutzende veralteter oder nicht gepatchter Browser und Plattformen betreffen
  • Race Conditions, die weder die Sicherheit von Nutzenden noch die von Peerdom beeinträchtigen
  • Meldungen über theoretische Schäden ohne tatsächliches Risiko
  • Die Ausgabe automatisierter Scanner oder Sprachmodelle ohne Erläuterung sowie Feststellungen, welche die meldende Person nicht selbst an einem laufenden Peerdom-System überprüft hat
  • CSRF ohne Sicherheitsauswirkungen (etwa Login-/Logout-/nicht authentifiziertes CSRF)
  • Defekte Links
  • Fehlende Cookie-Flags bei nicht sicherheitsrelevanten Cookies
  • Angriffe, die physischen Zugriff auf das Gerät einer nutzenden Person voraussetzen
  • Fehlende Security-Header, die nicht mit einer Sicherheitslücke zusammenhängen
  • Meldungen über unsichere SSL/TLS-Ciphers, sofern Sie keinen funktionierenden Proof of Concept vorlegen
  • Banner Grabbing, um den von uns eingesetzten Stack zu ermitteln, oder die Offenlegung von Softwareversionen
  • Offene Ports ohne Schwachstelle
  • Richtlinien zur Passwort- und Kontowiederherstellung, etwa der Ablauf von Zurücksetzungslinks oder die Passwortkomplexität
  • Offenlegung bekannter öffentlicher Dateien oder Verzeichnisse (z. B. robots.txt)
  • Meldungen über Spam
  • Enumeration von Benutzernamen/E-Mail-Adressen
  • Vorhandensein des autocomplete-Attributs in Webformularen
  • E-Mail- und DNS-Sicherheitseinträge wie DNSSEC, DMARC, DANE, MTA-STS, TLS-RPT und BIMI, unabhängig davon, ob sie fehlen oder auf eine permissive Richtlinie gesetzt sind (z. B. eine DMARC-Richtlinie mit p=none)
  • HSTS- oder CSP-Header
  • Host-Header-Injection, sofern Sie nicht aufzeigen können, wie ein Dritter sie ausnutzen kann
  • Reflected File Download (RFD)
  • Nicht aus hochgeladenen Bildern entfernte EXIF-Informationen
  • DoS-Schwachstellen, die darauf beruhen, eine grosse Payload in ein Eingabefeld zu senden und damit einen 500-Fehler auszulösen
  • Die Nutzung von Produktfunktionen wie Einladung/Registrierung/Passwort-vergessen, um Nachrichten an beliebige E-Mail-Adressen zuzustellen
  • Uneingeschränkter Datei-Upload ohne klares Angriffsszenario oder PoC
  • Unzureichende Meldungen, die nur Screenshots oder Aufzeichnungen ohne klare Beschreibung und Reproduktionsschritte enthalten
  • Meldungen von Mitarbeitenden oder beauftragten Freelancern, die zuvor für Peerdom AG tätig waren
  • Markdown-bezogene HTML-Injection ohne XSS (z. B. Link-Tags)
  • Meldungen über Konten, auf die mit Zugangsdaten aus Datenlecks Dritter, aus Infostealer-Logs, von Paste-Sites oder aus anderen externen Quellen zugegriffen werden kann (d. h. Credential Stuffing / OAT-008). Die Wiederverwendung von Zugangsdaten durch Endnutzende bei nicht verbundenen Diensten stellt keine Schwachstelle in Peerdom dar.
  • Clickjacking, Framing oder UI-Redressing ohne eine nachgewiesene, sicherheitsrelevante zustandsändernde Aktion
  • Tabnabbing oder ein fehlendes Attribut rel="noopener" / rel="noreferrer" bei ausgehenden Links
  • Sitzungen, die nach einer Passwortänderung, einer Änderung der E-Mail-Adresse oder der Löschung der zur Registrierung verwendeten externen Identität gültig bleiben, ohne dass ein Weg zur Kontoübernahme nachgewiesen wird
  • CSV-, TSV- oder Tabellenkalkulations-Formelinjektion in exportierten Dateien, wenn die Ausnutzung davon abhängt, dass die empfangende Person die Warnung ihrer Tabellenkalkulation vor Formeln oder externen Inhalten übergeht
  • Feststellungen, die bereits von einer anderen forschenden Person gemeldet wurden, uns bereits bekannt sind oder zum Zeitpunkt Ihrer Meldung bereits in unserem internen Backlog erfasst sind. Massgebend ist die erste vollständige und reproduzierbare Meldung eines Problems.
  • Offene Weiterleitungen auf unserer Marketing-Website (peerdom.com), bei denen kein Abfluss von Token, Zugangsdaten oder Sitzungen nachgewiesen wird

Die folgenden Aktivitäten führen zum sofortigen Ausschluss aus dem Programm und zum Verlust jeglichen Anspruchs auf Prämien:

  • Social Engineering jeglicher Art gegen andere Kundinnen und Kunden oder gegen Mitarbeitende von Peerdom, einschliesslich Spearphishing-Versuchen oder der Kontaktaufnahme mit unserem Support-Team.
  • Automatisiertes Scannen, Mail Bombing, Spam, Brute-Forcing oder automatisierte Angriffe mit Programmen wie Burp Intruder.
  • Denial of Service: die Störung des Zugriffs anderer Kundinnen und Kunden auf ihre eigenen Konten.

Zahlungsbedingungen (optionale Prämie)

Peerdom betreibt zwar kein formelles Bug-Bounty-Programm, wir können uns jedoch nach eigenem Ermessen dafür entscheiden, für einzelne, als aussergewöhnlich wertvoll eingestufte Schwachstellenmeldungen eine Geldprämie anzubieten. Wird eine solche Prämie angeboten, gelten die folgenden Bedingungen:

  • Währung und Zahlungsweise: Zahlungen erfolgen in US-Dollar (USD), Schweizer Franken (CHF) oder Euro (EUR) über PayPal. PayPal ist die einzige akzeptierte Zahlungsmethode und dies sind die einzigen akzeptierten Währungen, um die Einhaltung finanzrechtlicher Vorschriften sicherzustellen.

  • Kontoinhaberschaft: Zahlungen erfolgen ausschliesslich auf Bank- oder PayPal-Konten, die auf den Namen der natürlichen oder juristischen Person lauten, die die Meldung eingereicht hat. Ein Nachweis der Inhaberschaft kann verlangt werden.

  • Zahlungsablauf: Die Zahlung erfolgt innerhalb von 30 Tagen, nachdem die gemeldete Schwachstelle validiert und eine Prämie schriftlich bestätigt wurde.

  • Steuerliche Verantwortung: Die prämienempfangende Person ist allein dafür verantwortlich, alle in ihrer Rechtsordnung anfallenden Steuern zu deklarieren und zu entrichten. Peerdom behält keine Steuern ein und führt keine Steuern für die empfangende Person ab.

  • Unverbindlichkeitsklausel: Das Angebot einer Geldprämie liegt vollständig im Ermessen von Peerdom. Kann eine Prämie aus rechtlichen, technischen oder Compliance-Gründen nicht abgewickelt werden, behält sich Peerdom das Recht vor, das Angebot ohne Haftung zu widerrufen.

Safe Harbor

Wenn Sie im Rahmen dieser Richtlinie Schwachstellenforschung betreiben, betrachten wir diese unter dieser Richtlinie durchgeführte Forschung als:

  • autorisiert im Hinblick auf sämtliche anwendbaren Anti-Hacking-Gesetze; wir werden keine rechtlichen Schritte gegen Sie einleiten oder unterstützen, wenn Sie versehentlich und nach Treu und Glauben gegen diese Richtlinie verstossen;
  • autorisiert im Hinblick auf sämtliche einschlägigen Umgehungsschutzgesetze; wir werden keine Ansprüche gegen Sie wegen der Umgehung technischer Schutzmassnahmen geltend machen;
  • ausgenommen von Beschränkungen in unseren Abonnementbedingungen, die der Durchführung von Sicherheitsforschung entgegenstehen würden; auf diese Beschränkungen verzichten wir in begrenztem Umfang; und
  • rechtmässig, förderlich für die Gesamtsicherheit des Internets und nach Treu und Glauben durchgeführt.
  • Wie immer wird von Ihnen erwartet, dass Sie alle anwendbaren Gesetze einhalten. Leitet ein Dritter rechtliche Schritte gegen Sie ein und haben Sie diese Richtlinie eingehalten, werden wir Schritte unternehmen, um bekannt zu machen, dass Ihr Handeln im Einklang mit dieser Richtlinie erfolgte.

Wenn Sie zu irgendeinem Zeitpunkt Bedenken haben oder unsicher sind, ob Ihre Sicherheitsforschung mit dieser Richtlinie vereinbar ist, reichen Sie bitte eine Meldung über einen unserer Offiziellen Kanäle ein, bevor Sie weitere Schritte unternehmen.

Beachten Sie, dass der Safe Harbor nur für Rechtsansprüche gilt, die der Kontrolle der an dieser Richtlinie teilnehmenden Organisation unterliegen, und dass die Richtlinie unabhängige Dritte nicht bindet.

Änderungen an dieser Richtlinie

Wir überarbeiten diese Richtlinie von Zeit zu Zeit, meist um zu präzisieren, was ausserhalb ihres Geltungsbereichs liegt, wenn uns neue Arten von Meldungen erreichen. Das oben in diesem Dokument angegebene Datum ist das Datum der letzten Überarbeitung.

Änderungen am Geltungsbereich gelten nicht rückwirkend. Ihre Meldung wird anhand der Fassung dieser Richtlinie beurteilt, die an dem Tag galt, an dem wir sie erhalten haben; ein danach hinzugefügter Ausschluss betrifft sie nicht. Wenn Sie wissen möchten, welche Fassung für eine von Ihnen eingereichte Meldung galt, fragen Sie über unsere offiziellen Kanäle nach, und wir teilen es Ihnen mit.