Finden Sie einen Fehler, melden Sie ihn privat über die Kontaktseite, reproduzierbar beschrieben; sorgfältige Tests gelten hier nicht als Angriff.
Eine Meldung ist mehr wert als eine Veröffentlichung — aber nur, wenn das Melden für die meldende Person sicher ist. Diese Seite legt fest, was hier sicher bedeutet.
Die Regeln sind kurz: privat melden, keine fremden Daten berühren, den Dienst nicht beeinträchtigen und eine angemessene Frist vor einer Veröffentlichung einhalten.
Melden und die Frist bis zur Veröffentlichung
- Senden Sie die Meldung privat über die Kontaktseite, gekennzeichnet als Sicherheitsmeldung — nicht öffentlich und nicht als offenes Ticket.
- Beschreiben Sie Befund und Reproduktion: Adresse, Schritte und was Sie stattdessen erwartet hätten. Reproduzierbares wird behoben.
- Melden Sie so wenig wie nötig. Keine personenbezogenen Daten anderer in die Meldung aufnehmen.
- Nennen Sie ein Veröffentlichungsdatum, wenn Sie publizieren wollen. Neunzig Tage ab Meldung gelten hier als angemessener Standard.
- Erwarten Sie eine direkte Antwort, auch wenn die Meldung ein Missverständnis betrifft oder beabsichtigtes Verhalten beschreibt. Ziel ist eine inhaltliche Antwort, kein Serienbrief.
Was Forschung in gutem Glauben bedeutet
- Testen Sie nur gegen eigene Konten, eigene Eingaben und eigene Geräte, und nur auf der Seite selbst.
- Keine fremden Daten abrufen, ändern, löschen oder exfiltrieren. Stoßen Sie auf fremde Daten: abbrechen und melden, ohne zu kopieren.
- Den Dienst nicht beeinträchtigen: kein Denial-of-Service, keine automatisierten Massentests, keine Erschöpfung von Ressourcen.
- Kein Social Engineering gegen Betreiber, Hosting-Anbieter oder Dritte, um Zugang zu erlangen.
- Nichts veröffentlichen, bevor die vereinbarte Frist abgelaufen ist, und nie Material, das gegen Nutzer verwendet werden könnte.
Forschung nach diesen Regeln gilt als Meldung in gutem Glauben, nicht als Angriff, und der Betreiber wird rechtlich nicht dagegen vorgehen. Wer sie verlässt — besonders durch Zugriff auf fremde Daten oder Störung des Dienstes — fällt nicht unter diese Zusage.
Umfang und wohin eine Meldung gehört
- Im Umfang: die Seite selbst, ihre Seiten, Header und die mit den statischen Dateien ausgelieferte Konfiguration.
- Im Umfang: ein Fehler, der Eingaben von Nutzern offenlegen oder ein Ergebnis in schädlicher Weise irreführend machen könnte.
- Außerhalb: Plattform und Bibliotheken darunter — diese gehören upstream gemeldet. Meldungen hier werden weitergeleitet, nicht lokal behoben.
- Außerhalb: der Leckprüfdienst und der Hash-Bereichsdienst, die eigene Meldewege haben.
- Keine Schwachstelle: fehlende Funktionen, das Fehlen eines Kontosystems, fehlende kontinuierliche Überwachung oder eine Seite, die eine in den Berichten dokumentierte Grenze nennt.
Es gibt kein Bug-Bounty-Programm und keine Zahlung für Meldungen. Das vorab zu sagen ist fairer, als es offenzulassen.
Häufige Fragen
Erhalte ich Geld für eine Meldung?
Nein. Es gibt kein Bounty-Programm und keine zu erwartende Belohnung. Meldungen sind weiter willkommen und werden namentlich genannt, wenn Sie möchten.
Können Sie eine Behebung binnen einer Frist zusagen?
Nein, und ein Versprechen wäre wenig wert: kleiner Betrieb, kein Service-Level-Agreement. Zugesagt wird eine direkte Antwort und ein benannter Plan, keine Frist, die scheitern kann.
Was, wenn ich unsicher bin, ob es ein echtes Problem ist?
Melden Sie es dennoch mit klarer Beschreibung der Beobachtung. Eine unsichere Meldung ist in einem Satz abgetan, eine übersehene echte Schwachstelle nicht.
Geschrieben von Das BaitScan-Team
Zuletzt aktualisiert 16. September 2026
Ergebnisse sind automatische Risikoeinschätzungen auf Basis öffentlicher Indikatoren und Heuristiken.