Vermutest du eine Sicherheitslücke, schreibe an {{SICHERHEIT_EMAIL}}. Du musst nicht selbst beweisen können, wie sie technisch funktioniert. Eine konkrete Beobachtung reicht für eine erste Meldung.
Veröffentliche keine fremden Daten, Zugangsdaten oder ausnutzbaren Details in sozialen Netzwerken, Foren oder allgemeinen Vereins-Chats. Informiere gezielt die Stellen, die den Vorfall bearbeiten müssen.
Ist das eine Sicherheitslücke oder ein normaler Fehler?
Ein mögliches Sicherheitsproblem liegt beispielsweise vor, wenn du Daten eines fremden Vereins siehst oder eine eigentlich geschützte Seite ohne die erforderliche Anmeldung erreichbar ist. Melde auch Hinweise auf schädlichen Code vertraulich.
Geht es dagegen um eine hängende Seite, ein falsches Datum oder einen nicht abgeschlossenen Import ohne erkennbaren unbefugten Zugriff, nutze Hilfe & Feedback → Problem melden.
Vermutest du, dass jemand deinen eigenen Zugang benutzt, sichere ihn zusätzlich nach Was kann ich tun, wenn ich verdächtige Aktivitäten bemerke?. Eine Fehlermeldung allein schützt den betroffenen Zugang noch nicht.
Bei Unsicherheit kannst du deine Beobachtung an die Sicherheitsadresse schicken und kenntlich machen, dass du sie noch nicht einordnen kannst.
Ich sehe Daten, die ich nicht sehen dürfte
Öffne keine weiteren fremden Einträge und ändere nichts. Lege auch keine Testdaten in fremden Vereinen an. Ein zufälliger Fund ist kein Anlass, den Zugriff weiter auszuprobieren.
Notiere die Seite, den Zeitpunkt und den Weg dorthin. Ein minimaler Screenshot kann zur Einordnung helfen. Zeige darauf nur das Nötige; schwärze nicht erforderliche persönliche Angaben, ohne Passwörter oder geheime Links sichtbar zu lassen.
Lade keine umfangreichen fremden Datenbestände als Nachweis herunter. Beschreibe lieber, welche Art von Daten sichtbar war.
Was soll in meiner Nachricht stehen?
Beschreibe in deinen eigenen Worten, was passiert ist und warum dir der Zugriff ungewöhnlich vorkommt. Hilfreich sind die Seite, deine vorherigen Schritte, Datum und Uhrzeit mit Zeitzone sowie Gerät und Browser.
Nenne auch, ob echte Daten oder Testeinträge betroffen zu sein scheinen, und wie wir dich für Rückfragen erreichen. Fehlen dir einzelne Angaben, sende die vorhandenen Informationen trotzdem.
Schicke keine Passwörter, Sicherheitscodes, API-Schlüssel oder persönlichen Zugangslinks mit. Auch eine Seitenadresse kann einen geheimen Schlüssel enthalten. Entferne solche Bestandteile und beschreibe, wo sie auftauchten.
Was tue ich nach der Meldung?
Vermeide weitere Tests, die Daten oder den Betrieb gefährden können. Bewahre eure Korrespondenz und die notwendigen Nachweise sicher auf. Bleibt eine Rückmeldung aus, frage über den bekannten Kontaktweg nach.
Sind Menschen aus eurem Verein betroffen, informiere zusätzlich eure Datenschutz-Ansprechperson und die zuständige Vereinsvertretung. Diese prüfen, welche Schutzmaßnahmen und gegebenenfalls Meldungen erforderlich sind. Eine Nachricht an den Sheltra-Support ersetzt diese vereinsinterne Prüfung nicht.
Eine mögliche Meldepflicht nach Artikel 33 DSGVO wird vom verantwortlichen Verein bewertet; Sheltra unterstützt als Auftragsverarbeiter mit den benötigten Angaben. Bei ungeklärten Datenschutzvorfällen kann auch die zuständige Datenschutzaufsicht eine Anlaufstelle sein.
Die Sicherheitsadresse ist noch ein Platzhalter
Steht hier nur {{SICHERHEIT_EMAIL}}, verwende den bekannten Supportkontakt und schreibe Sicherheit in den Betreff. Eine eigene Sicherheitsadresse kannst du nicht in den Vereinseinstellungen nachschlagen oder selbst einrichten.
Ist auch hallo@sheltra.cloud noch nicht ersetzt, nutze den bereits bekannten Kontaktweg aus Wie kontaktiere ich den Support?.
Darf ich gezielt Sicherheitstests durchführen?
Beschränke Prüfungen auf Bereiche, für die du eine ausdrückliche Berechtigung hast. Automatische Scanner, Lasttests und Angriffssimulationen gegen https://app.sheltra.cloud sind ohne vorherige Absprache nicht vorgesehen.
Es gibt kein zugesagtes Belohnungsprogramm und keinen festen allgemeinen Veröffentlichungsablauf. Besprich geplante Tests oder eine Veröffentlichung deshalb vorher mit dem Sicherheitsteam.
Automatische Prüfungen auf bekannte Schwachstellen ersetzen keine Meldung konkreter Beobachtungen. Beschreibe den Fund lieber begrenzt und nachvollziehbar, statt seinen Umfang durch weitere Zugriffe zu vergrößern.
