Security Policy

Falls du auf dohmen-design.de eine Sicherheitslücke findest, sind hier die Infos, wie du mir diese Information am besten zukommen lässt.
Diese Seite beschreibt, was ich mir von einer Sicherheitsmeldung erhoffe und welche Grenzen ich dabei setze.

Kontakt

Meldungen zu Sicherheitslücken bitte per E-Mail an security@dohmen-design.de senden.
Du kannst mir die Meldung auf Deutsch oder auf Englisch zukommen lassen.

Bitte nutze diese Adresse nur für Sicherheitsmeldungen zu dohmen-design.de.
Allgemeine Anfragen gehören an info@dohmen-design.de.

Scope

Diese Richtlinie gilt für die öffentliche Website dohmen-design.de.

Nicht eingeschlossen sind externe Dienste, verlinkte Websites, Fediverse-Profile, Mailserver, Kundensysteme und andere Infrastruktur, die nicht ausdrücklich Teil von dohmen-design.de sind.

Erwünschte Meldungen

Hilfreich sind konkrete, nachvollziehbare Hinweise auf technische Schwachstellen, zum Beispiel:

• offen erreichbare Dateien oder Verzeichnisse, die nicht öffentlich sein sollten
• fehlerhafte HTTP-Sicherheitsheader oder TLS-Konfigurationen
• Möglichkeiten, fremde Inhalte einzuschleusen oder auszuführen
• Hinweise auf unbeabsichtigte Datenweitergabe an Dritte
• Konfigurationsfehler, die die Verfügbarkeit oder Integrität der Website gefährden

Nicht erwünscht

Bitte führe keine Tests durch, die Schaden verursachen, Daten verändern oder die Website stören. Insbesondere nicht erlaubt sind:

• Denial-of-Service-Tests, Lasttests oder automatisierte Scans mit hoher Request-Zahl
• Social Engineering, Phishing, Betrug oder Kontaktaufnahme mit Dritten
• Zugriff auf, Kopieren, Verändern oder Löschen fremder Daten
• Ausnutzen einer Schwachstelle über den minimal nötigen Nachweis hinaus
• Tests gegen Systeme, die nicht im Scope dieser Richtlinie stehen

Was die Meldung idealerweise beinhaltet

Je klarer deine Meldung ist, desto schneller kann ich sie prüfen.
Bitte führe wenn möglich auf:

• die betroffene URL oder Komponente
• eine kurze Beschreibung des Problems
• Schritte zur Reproduktion
• die möglichen Auswirkungen
• relevante Header, Screenshots oder kurze Logauszüge

Bitte sende keine personenbezogenen Daten mit, es sei denn, sie sind für den Nachweis zwingend erforderlich. Wenn du versehentlich solche Daten siehst, brich den Test bitte ab und melde nur, dass ein Zugriff möglich war.

Umgang mit deiner Meldung

Ich bestätige den Eingang in der Regel innerhalb von drei Werktagen. Danach prüfe ich die Meldung, behebe bestätigte Schwachstellen nach Risiko und Aufwand und gebe dir Rückmeldung, sobald es etwas Belastbares zu sagen gibt.

Bitte veröffentliche Details erst, wenn die Schwachstelle behoben ist oder wir einen sinnvollen Zeitpunkt abgesprochen haben. Wenn ich nicht reagiere, erinnere mich bitte noch einmal über dieselbe Adresse.

Kein „Bug Bounty“

dohmen-design.de ist eine kleine Website und kein Bug-Bounty-Programm. Es gibt keinen Anspruch auf Vergütung, Finderlohn, Auflistung in einer „Hall of Fame“ oder öffentliche Nennung.

Rechtlicher Rahmen

Wenn du gutgläubig handelst, dich an diese Richtlinie hältst und nur den minimal nötigen Nachweis führst, werde ich wegen deiner Sicherheitsmeldung keine rechtlichen Schritte gegen dich einleiten. Das ist keine Zusage für Dritte und kein Schutz vor staatlicher Strafverfolgung.

Mir geht es darum, verantwortungsvolle Hinweise möglich zu machen: Melden statt ausnutzen, klären statt verschweigen.

Stand

Diese Security Policy ist aktuell gültig und hat den Stand: August 2026.