Sicherheitslücke melden

Wie Du eine Sicherheitslücke bei MeinGPT meldest, was wir Dir zusagen, wie unser Bug-Bounty-Programm funktioniert und wer schon mitgeholfen hat

Du hast eine Sicherheitslücke gefunden? Diese Seite ist unsere Richtlinie zur Meldung von Sicherheitslücken und Dein zentraler Anlaufpunkt für alle sicherheitsrelevanten Meldungen. Sie beschreibt, wie Du uns erreichst, was Du von uns erwarten kannst und was wir von Dir erwarten.

Maschinenlesbare Kontaktangaben nach RFC 9116 findest Du unter meingpt.com/.well-known/security.txt.

Hinweis

Einen technischen Überblick über unsere Infrastruktur- und Software-Sicherheit findest Du auf meingpt.com/security und im Trust Center.

🚨 So meldest Du sie

Wenn Du eine Sicherheitslücke entdeckt hast:

📧 E-Mail: security@meingpt.com 📝 Betreff: URGENT - Critical Security Issue (bei kritischen Problemen)

Was Du angeben solltest

  • Eine detaillierte Beschreibung der Lücke
  • Schritte zur Reproduktion
  • Mögliche Auswirkungen und eine Einschätzung des Risikos
  • Screenshots oder Code-Beispiele, wenn möglich

Ein Proof of Concept hilft uns sehr, eine CVSS-Einschätzung ist willkommen.

Was wir Dir zusagen

Eingangsbestätigunginnerhalb von 3 Werktagen
Erste Einschätzunginnerhalb von 10 Werktagen
Statusmeldungmindestens alle 10 Werktage, bis der Fall abgeschlossen ist
Rückmeldung zur Behebungmit dem Abschluss, auf Wunsch mit Zeitplan

Wir priorisieren Meldungen nach Schweregrad. Wenn wir einen Befund nicht als Sicherheitslücke einstufen, sagen wir Dir, warum.

💰 Bug-Bounty-Programm

Wir belohnen Sicherheitsforscher:innen, die Schwachstellen in unseren Systemen verantwortungsvoll finden und melden.

Höhe der Belohnung

Die Höhe richtet sich nach:

  • Schweregrad der Schwachstelle (Critical, High, Medium, Low)
  • Qualität der Meldung (Reproduzierbarkeit, Dokumentation, Klarheit)
  • Mögliche Auswirkung auf Nutzer:innen und Systeme
  • Erstmeldung (nur die erste gültige Meldung wird belohnt)

Scope

In Scope

  • Webanwendungen und APIs (app.meingpt.com), einschließlich der Administrationsoberfläche
  • Der Outpost — die Anwendung, die Kunden in ihrem eigenen Netz betreiben
  • Unsere öffentlich erreichbaren Dienste unter meingpt.com
  • Authentifizierung und Autorisierung
  • Datenlecks und Datenschutzverletzungen
  • SQL-Injection, XSS, CSRF
  • Remote Code Execution
  • Authentication Bypass
  • Privilege Escalation
  • Befunde, bei denen sich über Eingaben an ein Sprachmodell Daten anderer Organisationen erreichen, Berechtigungen umgehen oder Aktionen auslösen lassen

Out of Scope (keine Belohnung)

  • Abgelaufene SSL/TLS-Zertifikate – wir freuen uns über den Hinweis, das zählt aber nicht als Bounty
  • Fehlende Security-Header ohne nachgewiesene Auswirkung
  • Self-XSS, das eine Nutzerinteraktion voraussetzt
  • Social-Engineering-Angriffe
  • DoS-/DDoS-Angriffe
  • SPF-/DMARC-/DKIM-Hinweise ohne nachgewiesene Ausnutzbarkeit
  • Rate-Limiting-Hinweise ohne Sicherheitsauswirkung
  • Schwachstellen in Drittanbieter-Systemen (bitte direkt beim Anbieter melden)
  • Probleme in veralteten oder abgekündigten Funktionen
  • Theoretische Schwachstellen ohne Proof of Concept
  • Paywall-/Feature-Gating-Umgehungen ohne unautorisierten Datenzugriff
  • Meldungen, die allein aus dem Verhalten eines Sprachmodells folgen, etwa eine unzutreffende oder unerwünschte Antwort – das ist kein Sicherheitsmangel
  • HackerOne Core Ineligible Findings

Teilnahme

Schreib uns für die aktuellen Konditionen des Bug-Bounty-Programms an: security@meingpt.com

Wir besprechen dann individuell:

  • Den Umfang der erlaubten Tests
  • Testmethoden
  • Meldeverfahren
  • Den Verifikationsprozess

Programmregeln

  1. Keine Nutzerdaten aufrufen, verändern oder löschen. Nutze unsere Staging-Umgebung auf staging.meingpt.com, um sicherzustellen, dass Du nicht versehentlich auf echte Nutzerdaten zugreifst.
  2. Keine Serviceunterbrechungen – keine DoS-Angriffe oder Ressourcenerschöpfung.
  3. Eine Schwachstelle pro Meldung – separate Probleme brauchen separate Meldungen.
  4. Zeit für die Behebung einräumen – stimm den Zeitpunkt der Veröffentlichung mit uns ab. Als Regelfrist gelten 90 Tage ab Eingangsbestätigung; bei aktiv ausgenutzten Lücken stimmen wir uns kurzfristig ab. Wenn Du früher veröffentlichen willst, sprich mit uns.
  5. Alle geltenden Gesetze einhalten – unautorisierter Zugriff ist nicht erlaubt.
  6. In gutem Glauben melden – keine Erpressung oder Drohungen.
  7. Nur Test-Accounts – nutze ausschließlich Accounts, die Dir gehören.
  8. Personenbezogene Daten – stößt Du trotzdem auf personenbezogene Daten, brich ab, melde es uns und lösche, was Du erhalten hast.

Ausschlussgründe

Folgendes führt zum sofortigen Ausschluss aus dem Programm und kann rechtliche Schritte nach sich ziehen:

  • Öffentliche Bekanntgabe vor Behebung
  • Versuchte Erpressung
  • Tests an Produktivsystemen, die über diese Richtlinie hinausgehen
  • Zugriff auf Kundendaten
  • Social Engineering gegenüber Mitarbeitenden
  • Physische Angriffe auf unsere Infrastruktur

Responsible Disclosure Policy

✅ Erlaubt

  • Koordinierte Offenlegung nach erfolgreicher Behebung
  • Anerkennung in unserer Hall of Fame
  • Rechtlicher Schutz für verantwortungsvoll meldende Forscher:innen (siehe Safe Harbor)
  • Konstruktive Zusammenarbeit mit unserem Security-Team

❌ Nicht erlaubt

  • Zugriff auf Kundendaten ohne Erlaubnis
  • Denial-of-Service-Angriffe
  • Social Engineering gegenüber Mitarbeitenden
  • Physische Angriffe auf unsere Infrastruktur

Safe Harbor

Wenn Du Dich an diese Richtlinie hältst, in gutem Glauben handelst und nur das tust, was nötig ist, um einen Befund zu belegen, dann gilt:

  • Wir werten Deine Untersuchung als autorisiert und leiten weder zivil- noch strafrechtliche Schritte gegen Dich ein.
  • Wir wirken nicht darauf hin, dass Dritte solche Schritte einleiten, und unterstützen Dich auf Wunsch mit einer Klarstellung, falls es dazu kommt.
  • Ein Verstoß gegen unsere Nutzungsbedingungen wird Dir aus einer Untersuchung im Rahmen dieser Richtlinie nicht entgegengehalten.

Diese Zusage endet dort, wo Daten Dritter abgeflossen, verändert oder gelöscht werden, wo der Betrieb gestört wird oder wo eine Meldung mit einer Forderung verbunden wird.

Was wir mit Deiner Meldung tun

Wir erfassen, bewerten und priorisieren jeden Befund nach seiner Auswirkung. Betroffene Kunden informieren wir, soweit sie betroffen sind. Wird eine Schwachstelle im Outpost aktiv ausgenutzt, melden wir das nach Art. 14 der Verordnung (EU) 2024/2847 (Cyber Resilience Act) innerhalb von 24 Stunden als Frühwarnung an das BSI und die ENISA, über die zentrale Meldeplattform der ENISA.

Betrifft der Befund eine Open-Source-Komponente, melden wir ihn zusätzlich dem betroffenen Projekt und nennen Dich dort auf Wunsch als Finder:in.

🏆 Hall of Fame

Wir danken allen Sicherheitsforscher:innen, die zur Verbesserung von MeinGPT beigetragen haben. Mit ihrem Einverständnis veröffentlichen wir ihre Namen hier.

Details zu einzelnen Schwachstellen veröffentlichen wir aus Sicherheitsgründen nicht.

📞 Kontakt

War diese Seite hilfreich?