Wir nehmen die Sicherheit unserer Website und unserer Online-Dienste ernst. Wenn Sie eine Schwachstelle gefunden haben, melden Sie sie uns bitte, bevor Sie sie veröffentlichen. Wir bearbeiten jede Meldung und melden uns bei Ihnen zurück.

Meldeweg

E-Mail: security@decide.de
Telefon: +49 9841 65 874 (Mo-Fr, 9-17 Uhr)

Sie können auf Deutsch oder Englisch schreiben. Dieser Meldeweg gilt für alle, auch für Kunden von CheckBox.

Was Ihre Meldung enthalten sollte

• Die betroffene Adresse, Seite oder Funktion, bei CheckBox auch die betroffene Instanz (Subdomain)
• Eine Beschreibung der Schwachstelle und ihrer möglichen Auswirkung
• Die Schritte, mit denen sich das Verhalten nachvollziehen lässt
• Datum und Uhrzeit Ihrer Beobachtung, gern mit Screenshot oder Protokollauszug
• Ihren Namen oder ein Pseudonym, falls Sie in unserer Danksagung genannt werden möchten
   

Geltungsbereich

Diese Erklärung gilt für:

• unsere Website decide.de,
• unseren Dienst CheckBox mit allen Instanzen unserer Kunden und den zugehörigen Schnittstellen.

Schwachstellen in der CheckBox-Anwendung selbst fallen auch dann unter diese Erklärung, wenn sie sich an einem Gerät beim Kunden zeigen, etwa an einem Terminal am Empfang.

Nicht erfasst sind:

• Entwicklungs- und Testsysteme unter Subdomains von decide.de.
• Systeme unserer Kunden, die mit CheckBox verbunden sind, etwa Kartenleser, Schranken und andere Geräte vor Ort oder die Anmeldedienste der Kunden. Melden Sie Schwachstellen dort bitte dem jeweiligen Betreiber; im Zweifel leiten wir Ihre Meldung weiter.
• Systeme und Dienste Dritter, die wir lediglich einbinden oder nutzen, etwa Zahlungsdienstleister, Schriftarten- und Kartendienste oder soziale Netzwerke. Melden Sie Schwachstellen dort bitte direkt beim jeweiligen Anbieter.

Was wir Ihnen zusagen

• Wir bestätigen den Eingang Ihrer Meldung innerhalb von drei Werktagen.
• Innerhalb von zehn Werktagen erhalten Sie eine erste Einschätzung, ob wir die Meldung als Schwachstelle bewerten.
• Wir halten Sie über den Stand der Behebung auf dem Laufenden und informieren Sie, sobald die Lücke geschlossen ist.
• Wir behandeln Ihre Meldung vertraulich. Soweit es für die Behebung nötig ist oder uns Gesetz oder Vertrag dazu verpflichten, informieren wir betroffene Kunden und zuständige Stellen über die Schwachstelle. Ihren Namen und Ihre Kontaktdaten geben wir nur mit Ihrer Zustimmung weiter.

Was wir von Ihnen erwarten

• Greifen Sie nicht mehr Daten ab, als für den Nachweis der Schwachstelle nötig ist. Wenn Sie dabei auf fremde personenbezogene Daten stoßen, etwa auf Daten von Besuchern oder Beschäftigten, brechen Sie ab und melden Sie uns das.
• Greifen Sie nicht auf Instanzen anderer Kunden zu. Wenn Sie feststellen, dass Daten einer anderen Instanz erreichbar sind, brechen Sie ab und melden Sie uns das umgehend.
• Verändern und löschen Sie keine Daten und richten Sie keine dauerhaften Zugänge ein.
• Verzichten Sie auf Angriffe, die den Betrieb beeinträchtigen, insbesondere auf Überlast- und Denial-of-Service-Tests, auf automatisierte Massenscans und auf alles, was den Empfang oder den Zutritt bei unseren Kunden stören kann.
• Verzichten Sie auf Social Engineering, Phishing und auf den physischen Zugang zu unseren Räumen und Geräten sowie zu Standorten, Terminals, Kartenlesern und Schranken unserer Kunden.
• Geben Sie uns Gelegenheit, die Schwachstelle zu schließen, bevor Sie darüber berichten. Wir streben eine Behebung innerhalb von 90 Tagen an und stimmen eine Veröffentlichung gern mit Ihnen ab.

 

Keine Prämien

Wir betreiben kein Bug-Bounty-Programm und zahlen keine Prämien für Meldungen. Sie erhalten auf Wunsch eine namentliche Nennung und, falls Sie sie benötigen, eine schriftliche Bestätigung Ihrer Meldung.

 

Nicht als Schwachstelle bewertet

Folgende Punkte nennen wir hier vorab, um Ihnen und uns Aufwand zu ersparen. Wir bearbeiten sie nur, wenn Sie einen konkreten Angriffsweg zeigen können:

• Fehlende oder abweichend gesetzte HTTP-Sicherheitskopfzeilen ohne belegte Auswirkung
• Ergebnisse reiner Konfigurationsscanner ohne nachgewiesene Ausnutzbarkeit
• Hinweise zu SPF-, DKIM- oder DMARC-Einträgen ohne konkreten Missbrauchsnachweis
• Angaben zu eingesetzten Softwareversionen, solange keine ausnutzbare Lücke gezeigt wird
• Schwachstellen, die nur bei veralteten Browsern oder unter vollständiger Kontrolle über das Endgerät des Nutzers auftreten
• Selbstausnutzende Angriffe, bei denen ein Nutzer den Schadcode selbst eingeben muss

 

Rechtlicher Hinweis

Wir gehen von einer Meldung in gutem Glauben aus, wenn Sie sich an diese Erklärung halten. In diesem Fall werden wir keine rechtlichen Schritte gegen Sie einleiten. Diese Zusage gilt nicht für Handlungen, die über den beschriebenen Rahmen hinausgehen, und sie entbindet Sie nicht von geltendem Recht. Ansprüche Dritter bleiben davon unberührt.

Das Vorhandensein dieser Seite und unserer Dateien unter /.well-known/security.txt ist keine Erlaubnis, Sicherheitstests gegen unsere Systeme oder die Systeme unserer Kunden durchzuführen.

Stand: 28. September 2026