Sicherheitslücken melden
Richtlinie zur koordinierten Offenlegung (Coordinated Vulnerability Disclosure). Stand: 2026-07-25.
1. Wie Sie uns erreichen
Melden Sie Sicherheitslücken bitte per E-Mail an security@air-node.net — auf Deutsch oder Englisch. Diese Adresse ist auch in unserer maschinenlesbaren Datei https://air-node.net/.well-known/security.txt (RFC 9116) hinterlegt.
Hilfreich für eine schnelle Bearbeitung: eine Beschreibung der Schwachstelle, die betroffene Komponente (Website, App/API, Gerät bzw. Firmware), eine Schritt-für-Schritt-Anleitung zur Reproduktion, die vermutete Auswirkung und — falls vorhanden — Logs oder Screenshots. Bitte senden Sie keine personenbezogenen Daten Dritter mit.
2. Geltungsbereich
Erfasst sind: die von uns betriebenen, öffentlich erreichbaren Dienste unter air-node.net und seinen Subdomains, die Anbindung der AirNode-Geräte an die Plattform sowie die AirNode-Geräte-Firmware.
Nicht erfasst sind: Systeme unserer Dienstleister (die eingesetzten Anbieter nennt unsere Datenschutzerklärung) — melden Sie diese bitte direkt dort; Denial-of-Service- und Lasttests; physische Angriffe; Social Engineering gegen uns oder unsere Dienstleister; Spam- oder Massen-Registrierungsversuche; sowie Befunde ohne Sicherheitsauswirkung (z. B. fehlende Header ohne belegbare Ausnutzbarkeit).
3. Was Sie von uns erwarten können
Wir bestätigen den Eingang Ihrer Meldung innerhalb von fünf Werktagen und teilen Ihnen innerhalb von zehn Werktagen unsere erste Bewertung mit. Danach halten wir Sie über den Stand der Behebung informiert. AirNode wird von einer Person betrieben — wir bitten um Verständnis, dass die Bearbeitung entsprechend priorisiert erfolgt.
Auf Wunsch nennen wir Sie als Finderin oder Finder, sobald die Schwachstelle behoben ist. Wir zahlen keine Prämien (kein Bug-Bounty-Programm).
4. Zusage bei gutgläubiger Forschung (Safe Harbour)
Wenn Sie sich an diese Richtlinie halten, betrachten wir Ihre Untersuchung als autorisiert und gutgläubig und leiten deswegen keine rechtlichen Schritte gegen Sie ein. Halten Sie sich dabei bitte an folgende Grenzen: greifen Sie ausschließlich auf eigene Konten und eigene Geräte zu; verschaffen Sie sich keinen Zugang zu Daten anderer Nutzer und laden Sie keine Daten herunter, die über den Nachweis der Schwachstelle hinausgehen; beeinträchtigen Sie den Betrieb nicht (keine Lasttests, keine Löschungen, keine Änderungen an fremden Daten); melden Sie den Befund unverzüglich und behalten Sie ihn bis zur Behebung für sich.
Diese Zusage kann nur für uns selbst gelten — nicht für Dritte, deren Systeme Sie berühren, und nicht, soweit zwingendes Recht Handlungen dennoch verbietet.
5. Koordinierte Offenlegung
Wir bitten um eine Frist von 90 Tagen ab Ihrer Meldung, bevor Sie Details veröffentlichen; bei bereits ausgenutzten Schwachstellen stimmen wir uns kurzfristiger ab. Wenn wir schneller fertig sind, geben wir die Veröffentlichung entsprechend früher frei.
Betrifft eine Schwachstelle personenbezogene Daten, greifen unabhängig davon unsere Pflichten nach Art. 33/34 DSGVO; wir informieren Aufsichtsbehörde und betroffene Personen, soweit gesetzlich erforderlich.