Sicherheit & Schwachstellen-Offenlegung

1. Wie Sie eine Schwachstelle melden

Senden Sie Ihre Meldung per E-Mail. Bitte verwenden Sie eine klare Betreffzeile und geben Sie uns genug Details, um das Problem nachzustellen und zu bewerten.

Bitte fügen Sie, wo möglich, bei:

• das betroffene Produkt oder die Website sowie die genaue Version bzw. URL;
• eine Beschreibung der Schwachstelle und ihrer Sicherheitsauswirkung;
• klare, nachvollziehbare Schritte oder einen Proof-of-Concept;
• hilfreiche Logs, Screenshots oder Mitschnitte von Anfrage/Antwort;
• ob die Schwachstelle Ihrer Einschätzung nach aktiv ausgenutzt wird.

Meldungen auf Deutsch oder Englisch sind gleichermaßen willkommen. Möchten Sie Ihre Meldung verschlüsseln, teilen Sie uns das in einer ersten unverschlüsselten E-Mail mit, und wir richten einen sicheren Kanal ein; ein veröffentlichter PGP-Schlüssel kann dieser Seite und security.txt künftig hinzugefügt werden.

2. Geltungsbereich

Im Geltungsbereich — die Software, die wir entwickeln, und die Dienste, die wir betreiben:

• CodeB Credential Provider V2, CodeB Web SSO, CodeB Single Sign-On, CodeB Conference (einschließlich CodeB Phone und CodeB Voice AI) sowie die CodeB Admin CLI;
• die CodeB-Wallet-Anwendung und myeudi.app;
• die Websites www.codeb.io und phone.codeb.io.

In der Regel außerhalb des Geltungsbereichs — bitte melden Sie diese nur, wenn Sie eine konkrete Sicherheitsauswirkung belegen können:

• Befunde automatischer Scanner ohne funktionierenden, belegten Exploit;
• fehlende Security-Header, Cookie-Flags oder TLS-Feinheiten ohne ausnutzbare Folge;
• volumetrische Denial-of-Service-, Rate-Limiting- oder Lasttests;
• Social Engineering, Phishing oder physische Angriffe auf Mitarbeitende oder Büros;
• Meldungen zu Drittanbieterdiensten, die wir lediglich nutzen (wenden Sie sich an den jeweiligen Anbieter).

Bitte testen Sie ausschließlich gegen Ihre eigenen Installationen und Konten. Greifen Sie nicht auf fremde Daten zu, verändern oder exfiltrieren Sie diese nicht, und beeinträchtigen Sie den Dienst für andere nicht.

3. Was Sie von uns erwarten können

• Eingangsbestätigung — wir bestätigen den Eingang innerhalb von zwei Werktagen.
• Triage — wir bewerten die Meldung, stufen den Schweregrad ein und nehmen die Triage innerhalb der Ziele in der Tabelle unten in Angriff.
• Updates — wir halten Sie über den Fortschritt sowie über unsere Einschätzung von Schweregrad und Auswirkung auf dem Laufenden.
• Behebung — wir entwickeln einen Fix und liefern ihn als signiertes Update innerhalb des Supportzeitraums kostenfrei aus und teilen Ihnen mit, wann er verfügbar ist.
• Abstimmung — wir vereinbaren mit Ihnen einen Offenlegungszeitplan (siehe unten).

Dies sind die Ziele, die wir nach bestem Wissen anstreben, keine vertraglichen Zusicherungen; die tatsächliche Zeit hängt von Komplexität, Reproduzierbarkeit und davon ab, ob ein Problem aktiv ausgenutzt wird.

4. Schweregrad & Reaktionsziele

Wir bestätigen jede Meldung unabhängig vom Schweregrad innerhalb von zwei Werktagen und nehmen die Triage dann innerhalb von:

5. Safe Harbour für gutgläubige Forschung

Wenn Sie sich bei Ihrer Forschung in gutem Glauben um die Einhaltung dieser Richtlinie bemühen, betrachten wir Ihre Tätigkeit als autorisiert, leiten keine rechtlichen Schritte dagegen ein und unterstützen solche nicht, und arbeiten mit Ihnen daran, das Problem rasch zu verstehen und zu beheben. Um im Safe Harbour zu bleiben:

• handeln Sie nur gegen die im Geltungsbereich gelisteten Assets und nur gegen Ihre eigenen Konten und Installationen;
• vermeiden Sie Verletzungen der Privatsphäre, Datenzerstörung und jede Unterbrechung oder Beeinträchtigung unserer Dienste;
• greifen Sie nicht auf fremde Daten zu, speichern oder veröffentlichen Sie diese nicht; stoppen Sie und melden Sie, sobald Sie einen Proof-of-Concept haben;
• geben Sie uns eine angemessene Gelegenheit, das Problem zu beheben, bevor Sie es öffentlich machen.

Dieser Safe Harbour autorisiert keine Handlungen gegen Dritte und verzichtet nicht auf Rechte Dritter, die keine vergleichbare Richtlinie verabschiedet haben. Im Zweifel, ob etwas im Geltungsbereich oder erlaubt ist, fragen Sie uns zuerst.

6. Koordinierte Offenlegung & Nennung

Wir praktizieren koordinierte Offenlegung. Standardmäßig vereinbaren wir mit Ihnen einen Offenlegungstermin, sobald ein Fix verfügbar ist, in der Regel innerhalb von 90 Tagen nach Ihrer Meldung — früher bei einfachen Problemen, und wir sagen Ihnen Bescheid, wenn ein komplexer Fix länger braucht. Mit Ihrer Erlaubnis nennen wir Sie gerne mit Namen oder Handle, wenn wir ein Advisory oder eine Release-Note veröffentlichen. Möchten Sie anonym bleiben, ist das ebenfalls in Ordnung.

Wir betreiben derzeit kein bezahltes Bug-Bounty-Programm; Meldungen werden auf Basis koordinierter Offenlegung behandelt.

7. Unsere Meldepflichten (EU Cyber Resilience Act, Artikel 14)

Getrennt vom eingehenden Prozess oben hat CodeB als Hersteller eigene ausgehende Meldepflichten nach dem EU Cyber Resilience Act (Verordnung (EU) 2024/2847). Für aktiv ausgenutzte Schwachstellen und schwere Vorfälle, die Produkte im Anwendungsbereich betreffen, melden wir an ENISA und das zuständige nationale CSIRT innerhalb der CRA-Fenster:

• Frühwarnung — innerhalb von 24 Stunden nach Kenntnisnahme;
• Meldung — innerhalb von 72 Stunden, mit verfügbaren Details und etwaigen Korrektur- oder Minderungsmaßnahmen;
• Abschlussbericht — innerhalb von 14 Tagen nach Bereitstellung eines korrigierenden Updates.

Diese Pflichten nach Artikel 14 gelten seit dem 11. September 2026; die vollständigen CRA-Herstellerpflichten ab dem 11. Dezember 2027. Wir positionieren CodeB als CRA-ready und nicht als „zertifiziert“, solange die harmonisierten Normen finalisiert werden. Eine zügige, gut dokumentierte Meldung von Ihnen unterstützt uns unmittelbar dabei, diese Fenster einzuhalten.

8. security.txt

Ein maschinenlesbarer Sicherheitskontakt ist nach RFC 9116 unter /.well-known/security.txt veröffentlicht. Er nennt diese Seite als kanonische Richtlinie und info@codeb.io als Kontakt.

9. Änderungen dieser Richtlinie

Wir können diese Richtlinie überarbeiten, wenn sich unser Prozess weiterentwickelt oder das Gesetz es verlangt. Die aktuelle Fassung mit Gültigkeitsdatum ist stets unter dieser URL verfügbar; wesentliche Änderungen spiegeln sich in einer höheren Versionsnummer.

Dokument-ID: codeb-security-policy-1.0 · Zuletzt geprüft: 12. November 2026.