Zum Hauptinhalt springen

Sicherheitslücken melden

Sie haben eine mögliche Sicherheitslücke in SOFI gefunden? Dann melden Sie sie bitte zuerst uns, bevor andere davon erfahren. Diese Seite beschreibt, wie das geht, was wir Ihnen zusagen und welche Regeln beim Prüfen gelten. Sie gilt für Kunden ebenso wie für unabhängige Sicherheitsforscherinnen und Sicherheitsforscher.

So melden Sie​

Schreiben Sie eine E-Mail an help@sofi-ai.de. Wir nehmen Meldungen auf Deutsch oder Englisch entgegen.

Hilfreich sind:

  • eine kurze Beschreibung der Lücke und ihrer möglichen Auswirkung;
  • die betroffene Adresse, Funktion oder App samt Version;
  • die Schritte, mit denen sich der Fund nachvollziehen lässt, gern mit Bildschirmfotos;
  • wie wir Sie für Rückfragen erreichen.

Bitte schicken Sie keine Daten Dritter mit, auch nicht als Beleg. Zum Nachweis genügen Ihre eigenen Testdaten oder die Angabe, wo fremde Daten zu sehen waren.

Eine Meldung ohne Namen ist ebenfalls möglich. Dann können wir allerdings keine Rückfragen stellen und Ihnen keinen Stand mitteilen.

Die Kontaktangaben stehen zusätzlich maschinenlesbar unter /.well-known/security.txt auf der Adresse, unter der Sie SOFI öffnen.

Was wir Ihnen zusagen​

  • Eingangsbestätigung innerhalb von drei Werktagen.
  • Einschätzung. Wir prüfen den Fund und sagen Ihnen, ob wir ihn nachvollziehen konnten und wie wir ihn einordnen.
  • Stand. Wir halten Sie auf dem Laufenden, bis die Lücke behoben ist.
  • Veröffentlichung. Einen Termin für die Veröffentlichung stimmen wir mit Ihnen ab.
  • Vertraulichkeit. Ihre Angaben verwenden wir nur, um die Meldung zu bearbeiten. Ihren Namen geben wir ohne Ihre Zustimmung nicht weiter.

Regeln beim Prüfen​

In SOFI liegen vertrauliche Daten unserer Kunden, oft unter der beruflichen Verschwiegenheit nach § 203 StGB. Bitte halten Sie sich deshalb an diese Regeln:

  • Prüfen Sie nur mit eigenen Konten und eigenen Daten.
  • Greifen Sie auf fremde Daten nur so weit zu, wie es für den Nachweis unbedingt nötig ist. Stoßen Sie auf Daten anderer Organisationen, brechen Sie dort ab, melden Sie den Fund und löschen Sie, was Sie davon gespeichert haben.
  • Verändern oder löschen Sie keine Daten, die nicht Ihnen gehören.
  • Stören Sie den Betrieb nicht. Keine Last- oder Überlastungstests, keine massenhaften automatisierten Anfragen.
  • Täuschen Sie keine Menschen. Kein Phishing, keine Anrufe unter falschem Namen, keine Versuche, sich vor Ort Zugang zu verschaffen.
  • Nutzen Sie eine Lücke nicht weiter aus als für den Nachweis nötig. Richten Sie keine Zugänge ein und geben Sie keine weiter.
  • Veröffentlichen Sie Einzelheiten erst, wenn die Lücke behoben ist oder wir einen Termin vereinbart haben.

Handeln Sie in gutem Glauben und halten Sie sich an diese Regeln, erstatten wir keine Anzeige gegen Sie und gehen nicht rechtlich gegen Sie vor. Für Ansprüche Dritter, etwa anderer Anbieter, können wir das nicht zusagen.

Geltungsbereich​

Das Meldeverfahren gilt für SOFI im Browser, die iPhone-App, das Outlook-Add-in und diese Dokumentation.

Nicht dazu gehören die Dienste anderer Anbieter, mit denen SOFI verbunden ist, etwa Microsoft 365 oder DATEV. Einen Fund dort melden Sie bitte dem jeweiligen Anbieter.

In der Regel keine Sicherheitslücke sind Funde ohne nachweisbare Auswirkung, etwa:

  • fehlende Sicherheitsangaben im Kopf einer Antwort oder an Cookies ohne konkreten Angriffsweg;
  • angezeigte Softwareversionen;
  • Berichte automatischer Scanner ohne eigenen Nachweis;
  • Einstellungen zur Absenderprüfung von E-Mails (SPF, DKIM, DMARC);
  • Angriffe, die nur das eigene Konto betreffen.

Für Fragen, die keine Sicherheitslücke betreffen, ist der Support da.