Richtlinie zur Meldung von Sicherheitslücken

Version: 1.1 · Gültig ab: 28. Oktober 2026

Wir begrüßen Meldungen von Sicherheitsforschern und Nutzern, die eine Sicherheitslücke in Mailistix entdecken. Diese Richtlinie erläutert, wie Sie eine Sicherheitslücke melden, was Sie im Rahmen Ihrer Recherche tun dürfen und was nicht, und was Sie von uns erwarten können.

1. Geltungsbereich

Vom Geltungsbereich erfasst sind:

• die Mailistix-Desktop-Anwendung für macOS und Windows in der jeweils neuesten veröffentlichten Version;
• die von uns betriebenen Cloud-Dienste von Mailistix, also die Serverfunktionen und Schnittstellen, die die Anwendung aufruft;
• mailistix.com und die von uns betriebenen Subdomains.

Vom Geltungsbereich ausgenommen sind:

• von Dritten betriebene Dienste (zum Beispiel Google, Microsoft, die eigene Plattform von Supabase, Polar, Cloudflare, Sentry, PostHog). Melden Sie diese dem jeweiligen Anbieter;
• Feststellungen, die physischen Zugriff auf ein entsperrtes Gerät, ein Gerät mit Jailbreak oder Root-Zugriff oder ein bereits kompromittiertes Betriebssystemkonto voraussetzen;
• Denial-of-Service-Tests, Lasttests, Spam, Social Engineering und physische Angriffe;
• Meldungen automatisierter Scanner ohne nachgewiesene Auswirkung; fehlende Best-Practice-Header ohne konkreten Exploit; Self-XSS; Clickjacking auf Seiten ohne sensible Aktionen; Feststellungen zu Ratenbegrenzungen ohne Auswirkung.

2. So melden Sie

Senden Sie eine E-Mail an legal@mailistix.com; der Betreff muss mit Security: beginnen. Die Meldung kann auf Englisch oder Deutsch erfolgen. Unsere security.txt nennt denselben Kontakt. Bitte geben Sie Folgendes an:

• die betroffene Komponente (Desktop-Anwendung mit Betriebssystem und Version oder den Endpunkt);
• die Auswirkung sowie die Schritte oder einen Proof of Concept zur Reproduktion;
• ob Sie annehmen, dass die Sicherheitslücke ausgenutzt wird;
• wie wir Sie erreichen können.

Fügen Sie Ihrer Meldung keine E-Mails, Passwörter oder Tokens anderer Personen bei. Erfordert Ihre Meldung sensibles Material, teilen Sie uns dies mit; wir vereinbaren dann einen sicheren Übermittlungsweg.

3. Regeln für die Recherche

Bei Ihrer Recherche haben Sie Folgendes einzuhalten:

• Sie verwenden ausschließlich Konten und Postfächer, die Ihnen gehören oder die Sie ausdrücklich nutzen dürfen.
• Sie greifen nicht auf Daten zu, die nicht Ihnen gehören, und kopieren, ändern oder löschen diese nicht; sollten Sie versehentlich auf solche Daten zugreifen, beenden Sie den Zugriff, behalten die Daten nicht und informieren uns.
• Sie beeinträchtigen den Dienst für andere nicht (kein Denial-of-Service, keine Massenautomatisierung, kein Brute-Force-Angriff auf Konten anderer Nutzer).
• Sie verwenden die KI-Funktionen nicht, um Daten anderer Nutzer auszulesen oder Dritte anzugreifen.
• Sie nutzen eine Feststellung nicht über das hinaus aus, was zu ihrem Nachweis erforderlich ist.
• Sie räumen uns angemessene Zeit ein, das Problem zu beheben, bevor Sie es offenlegen (wir empfehlen 90 Tage oder, nach Absprache, auch früher), und stimmen die Veröffentlichung mit uns ab.

4. Safe Harbor

Handeln Sie nach Treu und Glauben und befolgen Sie diese Richtlinie, betrachten wir Ihre Recherche als von uns autorisiert. Wir werden Sie dafür zivilrechtlich nicht in Anspruch nehmen und keine Strafanzeige gegen Sie erstatten; ferner werden wir Ihnen gegenüber für diese Recherche keine Klauseln unserer Nutzungsbedingungen oder der Softwarelizenzvereinbarung geltend machen, die die Umgehung von Schutzmaßnahmen oder das Reverse Engineering untersagen. Leitet ein Dritter wegen einer Recherche, die dieser Richtlinie entsprach, rechtliche Schritte gegen Sie ein, werden wir bekannt machen, dass wir Ihr Vorgehen autorisiert hatten. Dieser Safe Harbor erstreckt sich nicht auf Handlungen, die gegen geltendes Recht verstoßen; Tests an Systemen Dritter können wir nicht autorisieren.

5. Was Sie von uns erwarten können

• Wir bestätigen den Eingang Ihrer Meldung innerhalb von 5 Arbeitstagen.
• Wir halten Sie über unsere Bewertung und die Behebung auf dem Laufenden.
• Auf Wunsch nennen wir Sie in unseren Release Notes.
• Wir geben Ihre Identität nicht ohne Ihre Einwilligung an Dritte weiter, es sei denn, wir sind gesetzlich dazu verpflichtet.
• Liegt die Sicherheitslücke in einer Komponente eines Dritten, können wir die technischen Einzelheiten an diesen Dritten weitergeben, damit er sie beheben kann.
• Soweit das Gesetz es verlangt, insbesondere nach Art. 14 der Cyberresilienzverordnung (Verordnung (EU) 2024/2847), melden wir aktiv ausgenutzte Sicherheitslücken den zuständigen Behörden (dem koordinierenden CSIRT und der ENISA).
• Wir verwenden die personenbezogenen Daten in Ihrer Meldung nur zur Bearbeitung der Meldung und zur Behebung der Sicherheitslücke, wie in unserer Datenschutzerklärung beschrieben.
• Wir betreiben derzeit kein bezahltes Bug-Bounty-Programm.

6. Sicherheitsvorfälle, die Ihre Daten betreffen

Sind Sie Mailistix-Nutzer und glauben, dass Ihr Konto oder Ihre Daten kompromittiert wurden, wenden Sie sich umgehend an legal@mailistix.com. Wie wir mit Verletzungen des Schutzes personenbezogener Daten umgehen, ist in unserer Datenschutzerklärung beschrieben.