Richtlinie zur Offenlegung von Sicherheitslücken

Version 1.1 · Datum des Inkrafttretens: 14. Oktober 2026 · Zuletzt aktualisiert: 11. Oktober 2026

Übersetzung zu Informations- und Bequemlichkeitszwecken. Nur die englische Fassung dieses Dokuments ist rechtsverbindlich; bei Abweichungen, Unklarheiten oder Widersprüchen ist der englische Text maßgeblich.

Wir begrüßen Meldungen von Sicherheitsforschern. Wenn Sie glauben, eine Sicherheitslücke in LiKE gefunden zu haben, teilen Sie uns dies bitte mit.

So melden Sie eine Sicherheitslücke

Senden Sie eine E-Mail an [email protected], eine E-Mail pro Problem, auf Englisch oder Russisch, mit:

einer Beschreibung des Problems und seiner Auswirkungen;
den Schritten zur Reproduktion (ein kurzes Video oder Screenshots sind hilfreich);
der betroffenen URL bzw. dem betroffenen Endpunkt;
Ihrem Namen oder Pseudonym, falls Sie auf dieser Seite genannt werden möchten.

Bitte nehmen Sie keine personenbezogenen Daten anderer Personen in Ihre Meldung auf.

Wir prüfen alle Meldungen, die wir erhalten. Wir können Sie kontaktieren, wenn wir weitere Informationen benötigen.

Was uns am wichtigsten ist

Zugriff auf Daten im Arbeitsbereich oder in der Organisation eines anderen Kunden;
Umgehung der Authentifizierung oder Übernahme des Kontos eines anderen Nutzers;
Autorisierungsfehler in unserer API;
unsere KI-Funktionen dazu zu bringen, Daten aus einem Arbeitsbereich preiszugeben, auf den Sie keinen Zugriff haben.

Geltungsbereich

Im Geltungsbereich: lynkora.pro und seine von Lynkora betriebenen Subdomains, einschließlich der Arbeitsbereiche von Kunden (*.lynkora.pro), sowie unsere API.

Außerhalb des Geltungsbereichs: von uns genutzte Dienste Dritter (zum Beispiel Anbieter des Zahlungs-Checkouts und des E-Mail-Versands) sowie alle Systeme, die nicht von Lynkora betrieben werden.

Regeln

Testen Sie ausschließlich mit Konten und Arbeitsbereichen, die Ihnen gehören. Registrieren Sie für Tests Ihr eigenes Konto auf lynkora.pro.
Damit wir Ihre Tests von echten Aktivitäten unterscheiden können, registrieren Sie sich bitte mit einem +security-Zusatz in Ihrer E-Mail-Adresse, sofern Ihr Anbieter dies unterstützt (zum Beispiel [email protected] – E-Mails kommen weiterhin in Ihrem gewohnten Posteingang an), und nehmen Sie „test" in den Namen Ihres Arbeitsbereichs auf. Bitte löschen Sie Ihre Testkonten, wenn Sie fertig sind.
Greifen Sie nicht auf Daten zu, die anderen gehören, und ändern oder löschen Sie diese nicht. Wenn Sie versehentlich auf Daten einer anderen Person stoßen, brechen Sie ab, behalten Sie keine Kopie und informieren Sie uns.
Führen Sie keine Brute-Force-Angriffe auf Passwörter durch, verwenden Sie keine geleakten Zugangsdaten und legen Sie nicht mehr als einige wenige Konten an.
Senden Sie beim Testen von Rate Limits nicht mehr als 10 Anfragen. Das reicht aus, um das Problem nachzuweisen.
Führen Sie keine Denial-of-Service- oder Lasttests, keine automatisierten Scans mit hohem Volumen, kein Social Engineering, kein Phishing und keine physischen Angriffe durch.
Tätigen Sie keine echten oder betrügerischen Zahlungen.
Legen Sie das Problem nicht öffentlich offen, bevor wir eine Korrektur veröffentlicht haben (90-tägige Geheimhaltungsfrist).

Nicht akzeptiert

Wir akzeptieren keine Meldungen über:

Probleme, die uns bereits bekannt sind oder zuvor gemeldet wurden;
theoretische Probleme ohne Proof of Concept;
Ausgaben automatisierter Scanner ohne nachgewiesene Auswirkungen;
fehlende Sicherheits-Header oder Cookie-Flags ohne funktionierenden Angriff;
Clickjacking auf Seiten ohne sensible Aktionen;
die SPF-, DKIM- oder DMARC-Konfiguration;
Denial of Service, Lasttests oder Rate Limits auf Endpunkten, die nicht der Authentifizierung dienen;
Social Engineering oder physische Angriffe;
Enumeration von Konten oder E-Mail-Adressen;
Passwortrichtlinien (Länge oder Komplexität);
Offenlegung von Softwareversionen, Banner Grabbing oder ausführliche Fehlerseiten ohne sensible Daten;
Probleme, die ein kompromittiertes Gerät, eine Man-in-the-Middle-Position oder eine unwahrscheinliche Nutzerinteraktion erfordern;
Self-XSS, Logout-CSRF oder CSRF bei Formularen ohne sensible Aktionen;
Möglichkeiten, Tariflimits zu überschreiten (zum Beispiel Limits für KI-Tokens oder Nutzerplätze), ohne Zugriff auf Daten anderer Kunden;
das Verhalten von KI-Modellen, etwa Jailbreaks, Prompt Injection oder ungenaue Antworten, es sei denn, es legt Daten aus einem Arbeitsbereich offen, auf den Sie keinen Zugriff haben.

Belohnungen

Wir betreiben kein bezahltes Bug-Bounty-Programm und zahlen nicht für Meldungen. Mit Ihrer Einwilligung können wir Ihren Namen für gültige Funde im Geltungsbereich auf dieser Seite nennen, sobald diese behoben sind.

Guter Glaube

Forschung, die in gutem Glauben und im Einklang mit diesen Regeln durchgeführt wird, betrachten wir als autorisiert.

Danksagungen

Wir danken den folgenden Forschern für die verantwortungsvolle Meldung von Problemen:

(noch keine)

---

Wir können diese Richtlinie von Zeit zu Zeit aktualisieren.