Bitte zuerst lesen: Tests sind nicht erlaubt

BauGrid erteilt keine Erlaubnis, unsere Systeme zu testen. Es gibt kein Bug-Bounty-Programm, keine Freigabe für Sicherheitsforschung und keine Safe-Harbor-Zusage. Erlaubt ist allein, uns zu melden, was Ihnen bei der normalen, bestimmungsgemäßen Nutzung der Anwendung auffällt.

Nicht erlaubt ist insbesondere:

Sicherheitstests, Penetrationstests, Schwachstellen-Scans, Fuzzing
Automatisierte Zugriffe jeder Art: Skripte, Bots, Crawler, Massenabrufe unserer Schnittstellen
Herunterladen, Kopieren, Zerlegen oder Nachbauen der Anwendung und ihrer Bestandteile
Umgehen von Anmeldung, Rechten, Grenzwerten oder Sperren
Jeder Zugriffsversuch auf Daten, Konten oder Organisationen, die nicht Ihnen gehören
Last-, Verfügbarkeits- oder DoS-Versuche, Spam, Social Engineering, Phishing
Test-Konten, die allein zum Prüfen unserer Sicherheit angelegt werden

Ein Zugang zu BauGrid ist die Erlaubnis, die Software zu nutzen. Er ist keine Erlaubnis, sie anzugreifen. Das gilt auch dann, wenn Sie in guter Absicht handeln.

Wir prüfen laufend mit

Zugriffe auf unsere Dienste werden protokolliert und fortlaufend ausgewertet. Fällt uns ungewöhnliches Verhalten auf, etwa automatisierte Abrufe, auffällige Mengen, Zugriffsversuche auf fremde Daten oder Umgehungsversuche, dann sperren wir Konto und IP-Adresse ohne Vorankündigung. Eine Ankündigung oder Anhörung vorab gibt es nicht.

Wir behalten uns ausdrücklich vor, solche Vorgänge mit allen vorliegenden Protokollen an unsere Rechtsabteilung zu übergeben, rechtliche Schritte einzuleiten, Schadenersatz geltend zu machen und Strafanzeige zu erstatten. Das unbefugte Verschaffen von Daten, das Abfangen von Daten sowie das Stören von Datenverarbeitungen sind in Deutschland strafbar, unter anderem nach den §§ 202a bis 202d, 303a und 303b StGB.

So melden Sie einen Befund

Senden Sie Ihre Meldung an security@baugrid.de - auf Deutsch oder Englisch. Hilfreich sind:

Betroffene Seite oder Funktion in der Anwendung
Was Sie getan haben und was dabei passiert ist
Zeitpunkt, möglichst mit Datum und Uhrzeit
Optional: Screenshots aus Ihrer normalen Nutzung
Ihr Name oder Pseudonym, falls Sie in den Danksagungen genannt werden möchten

Bitte gehen Sie einem Befund nicht weiter nach. Beenden Sie den Vorgang, speichern Sie nichts und schreiben Sie uns, was Sie gesehen haben. Alles Weitere prüfen wir selbst.

Maschinenlesbare Kontaktdaten finden Sie unter /.well-known/security.txt (RFC 9116).

Was wir zusagen

Eingangsbestätigung innerhalb von 2 Werktagen
Erste fachliche Einschätzung innerhalb von 5 Werktagen
Transparente Updates, bis der Befund geklärt ist
Wer uns einen bei normaler Nutzung entdeckten Befund meldet, hat von der Meldung selbst nichts zu befürchten. Eine Erlaubnis zu Tests folgt daraus nicht.
Auf Wunsch namentliche Nennung in den Danksagungen

Eine Vergütung für Meldungen zahlen wir nicht.

Für welche Dienste gilt das

Diese Seite gilt für die von BauGrid betriebenen Dienste:

www.baugrid.de (Landingpage)
dash.baugrid.de (Plattform)
status.baugrid.de (Statusseite)
Die BauGrid-Apps für iOS, Android und Windows

Für Dienste Dritter, etwa App Stores oder Zahlungsdienstleister, sind wir nicht zuständig, auch wenn BauGrid sie nutzt. Melden Sie Befunde dort bitte direkt beim jeweiligen Anbieter.

Was wir nicht annehmen

Ergebnisse aus Tests, Scans oder automatisierten Zugriffen nehmen wir nicht entgegen, auch nicht als Meldung. Ebenfalls nicht sicherheitsrelevant behandeln wir in der Regel: fehlende Security-Header ohne gezeigte Auswirkung, Clickjacking auf Seiten ohne sensible Aktionen, Ausgaben automatischer Scanner, Best-Practice-Hinweise ohne konkretes Risiko, fehlende Rate-Limits ohne Missbrauchsszenario sowie Befunde, die physischen Zugriff auf ein entsperrtes Gerät voraussetzen.

Kontakt

security@baugrid.de · Nirmla Labs, Berlin · Antwort auf Deutsch oder Englisch · Hinweise zum Datenschutz: baugrid.de/datenschutz