Sicherheitslücken melden – Caritas-Netzwerk IT e. V.

Fassung 1.0 · Stand: 14. August 2026
Auf diese Richtlinie verweist unsere security.txt nach RFC 9116.

Worum es uns geht

Im Caritas-Netzwerk IT e. V. organisieren katholische Sozialunternehmen in Deutschland ihre IT gemeinsam. Sicherheit ist für uns kein Randthema — unsere Mitglieder verlassen sich bei genau dieser Frage auf uns. Deshalb wollen wir von Schwachstellen in unseren eigenen Systemen erfahren, und wer eine findet, soll vorher wissen, wie wir damit umgehen.

Wenn Sie eine Sicherheitslücke in einem der unten genannten Systeme gefunden haben, melden Sie sie uns bitte. Wir nehmen Ihre Meldung ernst, halten Sie auf dem Laufenden, und wir gehen nicht rechtlich gegen Sie vor, wenn Sie sich an diese Richtlinie gehalten haben.

Wir betreiben kein bezahltes Bug-Bounty-Programm. Bitte lesen Sie den Abschnitt zur Anerkennung, bevor Sie viel Zeit investieren.

Geltungsbereich

Erfasst sind

Systeme und Dienste, die der Verein in eigener Verantwortung betreibt:

Website: caritas-netzwerk-it.de und alle Subdomains, einschließlich des Mitglieder-Bereichs
E-Mail-Infrastruktur der Domain caritas-netzwerk-it.de einschließlich ihrer DNS-Konfiguration
Microsoft-365-Tenant des Vereins
Atlassian Cloud (Jira, Confluence) des Vereins
Jeder weitere öffentlich erreichbare Dienst, der erkennbar vom Caritas-Netzwerk IT e. V. betrieben wird

Konfiguration oder Produkt

Bei den genannten Cloud-Diensten endet unsere Verantwortung dort, wo das Produkt beginnt.

Melden Sie uns: alles, was wir konfiguriert, veröffentlicht oder freigegeben haben — falsch gesetzte Freigaben, öffentlich lesbare Inhalte, die intern sein sollten, Schwächen in unseren DNS-Einträgen, offenliegende Zugangsdaten von uns.
Melden Sie dem Anbieter: Schwachstellen im Produkt selbst. Microsoft und Atlassian betreiben eigene Meldeprogramme, und nur sie können solche Lücken beheben.

Wenn Sie unsicher sind, welcher Fall vorliegt: Schicken Sie es uns und schreiben Sie das dazu. Uns ist eine Meldung lieber, die sich als fremd herausstellt, als eine, die niemanden erreicht.

Nicht erfasst sind

Systeme unserer Mitgliedsträger. Siehe den nächsten Abschnitt.
Plattformen Dritter, auf denen der Verein lediglich ein Konto unterhält (etwa soziale Netzwerke), soweit der Befund die Plattform selbst betrifft.
Websites, die auf uns verweisen oder auf die wir verweisen, die wir aber nicht betreiben.
Räumlichkeiten, Geschäftsstelle und Mitarbeitende des Vereins.

Systeme unserer Mitgliedsträger

Über 150 rechtlich selbstständige katholische Sozialunternehmen sind Mitglied unseres Vereins. Wir betreiben deren IT-Systeme nicht, wir haben keinen Zugang dazu, und wir können Schwachstellen dort nicht beheben. Meldungen zu deren Websites, Portalen oder Infrastruktur fallen deshalb nicht unter diese Richtlinie.

Bitte wenden Sie sich in diesem Fall direkt an die betroffene Einrichtung — die meisten nennen ihre Kontaktdaten im Impressum.

Erreichen Sie dort niemanden, schreiben Sie uns trotzdem. Wir bewerten den Befund dann nicht selbst, geben Ihre Meldung aber an die richtige Stelle weiter und stellen den Kontakt her. Bitte schreiben Sie deutlich dazu, dass die Meldung einen Mitgliedsträger betrifft und welchen. In diesem Fall gelten die unten genannten Reaktionszeiten nicht — wir sind dabei auf Dritte angewiesen.

Wie Sie melden

Schicken Sie Ihre Meldung per E-Mail an info@caritas-netzwerk-it.de mit dem Betreff „Security“.

Das Postfach wird von der Geschäftsstelle zu den üblichen Geschäftszeiten gelesen. Meldungen werden intern an die für das betroffene System zuständigen Personen weitergegeben.

Einen verschlüsselten Meldeweg bieten wir derzeit nicht an. Enthält Ihre Meldung Informationen, die für unverschlüsselte E-Mail zu heikel sind, schicken Sie uns bitte eine kurze Nachricht ohne technische Einzelheiten — wir vereinbaren dann einen sicheren Kanal mit Ihnen.

Bitte schreiben Sie auf Deutsch oder Englisch.

Was Ihre Meldung enthalten sollte

Je genauer wir einen Befund nachvollziehen können, desto schneller ist er behoben. Bitte nennen Sie:

Das betroffene System, die Adresse oder den Endpunkt
Eine Beschreibung der Schwachstelle und ihrer technischen Ursache, soweit Sie sie einschätzen können
Eine Schritt-für-Schritt-Anleitung zum Nachstellen
Die Auswirkung, die Sie für realistisch halten — was könnte ein Angreifer tatsächlich erreichen?
Screenshots, Protokollauszüge, Anfrage-Antwort-Paare oder Beispielcode, wo das hilft
Ob Sie beabsichtigen, den Befund zu veröffentlichen, und in welchem Zeitrahmen
Ob und wie Sie genannt werden möchten

Sagen Sie uns bitte, wenn Sie den Befund bereits mit anderen geteilt haben oder wenn Sie Anhaltspunkte dafür sehen, dass er bereits ausgenutzt wird.

Spielregeln beim Testen

Wir bitten Sie, beim Testen Maß zu halten. Bitte insbesondere nicht:

Denial-of-Service- oder Lasttests durchführen oder die Verfügbarkeit unserer Dienste auf andere Weise beeinträchtigen
Social Engineering gegen unsere Mitarbeitenden, unsere Mitglieder oder unsere Dienstleister einsetzen — kein Phishing, keine vorgetäuschten Identitäten, keine Telefonangriffe
Physischen Zugang zu Räumen, Gebäuden oder Geräten versuchen
Auf Daten zugreifen, die nicht Ihre eigenen sind, sie kopieren, verändern oder löschen. Stoßen Sie auf personenbezogene Daten, brechen Sie bitte sofort ab, speichern Sie nichts und schreiben Sie uns in der Meldung, was Sie gesehen haben
Etwas auf unseren Systemen verändern oder zerstören — auch keine unnötigen Konten anlegen, keine Inhalte verändern, keine Dateien zurücklassen
Schadsoftware, Hintertüren oder Persistenzmechanismen jeder Art einsetzen
Weiter testen, als zum Nachweis nötig ist. Ein einzelner Beleg genügt; es ist nicht erforderlich, auszuloten, wie weit der Zugriff reicht

Nutzen Sie nach Möglichkeit eigene Testkonten und verwenden Sie eine wiedererkennbare Kennung (etwa im User-Agent oder in abgeschickten Formulardaten), damit wir Ihre Tests in unseren Protokollen von einem echten Angriff unterscheiden können.

Was Sie von uns erwarten können

Empfangsbestätigung: innerhalb von 5 Werktagen
Erste Einschätzung — ob wir es als Schwachstelle ansehen und wie schwer sie wiegt: innerhalb von 15 Werktagen
Zwischenstände: in angemessenen Abständen, bis die Sache behoben ist oder wir Ihnen sagen, dass wir nicht tätig werden
Nachricht über die Behebung: sobald der Befund geschlossen ist

Werktage sind Montag bis Freitag, ohne die gesetzlichen Feiertage in Hessen.

Wir sind ein kleines Team. Diese Fristen sind bewusst so gewählt, dass wir sie auch in der Urlaubszeit einhalten können — nicht, weil eine Meldung so lange unbearbeitet läge. Dringende, aktiv ausgenutzte Fälle behandeln wir erheblich schneller.

Wenn wir uns entscheiden, einem Befund nicht nachzugehen, sagen wir Ihnen, warum.

Abgestimmte Veröffentlichung

Wir bitten Sie, uns ab dem Tag Ihrer Meldung 90 Tage Zeit zu lassen, bevor Sie Einzelheiten veröffentlichen.

Haben wir die Lücke früher geschlossen, dürfen Sie gern früher veröffentlichen — sagen Sie uns einfach Bescheid. Dauert eine Behebung länger, erklären wir Ihnen warum und schlagen einen neuen Termin vor; wir werden das Verfahren nicht nutzen, um eine Veröffentlichung endlos hinauszuzögern.

Wir verlangen von Ihnen kein dauerhaftes Stillschweigen, und wir werden Sie nicht um eine Verschwiegenheitserklärung bitten, damit wir unsere eigenen Systeme in Ordnung bringen.

Was wir nicht als Schwachstelle behandeln

Die folgenden Punkte fallen für sich genommen — ohne belegte konkrete Auswirkung — nicht unter diese Richtlinie. Solche Meldungen schließen wir in der Regel mit einer kurzen Antwort:

Fehlende oder „schwache“ HTTP-Sicherheitskopfzeilen ohne funktionierenden Angriff
Ungeprüfte Ausgaben automatisierter Scanner ohne Nachweis der Ausnutzbarkeit
Befunde, die allein aus einer Versionsnummer abgeleitet sind, ohne Nachweis, dass die Installation tatsächlich betroffen ist
Self-XSS, also Angriffe, bei denen das Opfer selbst Code in den eigenen Browser einfügen muss
Fehlende Begrenzung der Anfragerate oder fehlende Kontosperre ohne belegte Auswirkung
Clickjacking auf Seiten, die keine zustandsändernde Aktion anbieten
Empfehlungen zu SPF, DKIM oder DMARC, ohne dass tatsächliches Spoofing gezeigt wurde
Fehlendes Certificate Pinning, schwache TLS-Verfahren ohne praktischen Angriff
Öffentlich zugängliche Informationen, die bewusst veröffentlicht sind — etwa Namen und Kontaktdaten im Impressum
Meldungen zu veralteten oder „unsicheren“ Fremdbibliotheken, bei denen kein verwundbarer Codepfad erreichbar ist
Allgemeine Empfehlungen zum Stand der Technik ohne konkreten Sicherheitsbefund

Wenn Sie überzeugt sind, dass einer dieser Punkte in unserem konkreten Aufbau doch eine echte Auswirkung hat: Zeigen Sie es uns — genau das macht daraus eine gültige Meldung.

Anerkennung — und wofür wir nicht zahlen

Wir betreiben kein Bug-Bounty-Programm und zahlen keine Prämien für Schwachstellenmeldungen. Als gemeinnütziger, aus Mitgliedsbeiträgen finanzierter Verein setzen wir unsere Mittel für die Sicherheit unserer Mitglieder ein.

Was wir anbieten: Wenn Sie eine gültige Schwachstelle melden, bedanken wir uns, und auf Wunsch nennen wir Sie öffentlich auf unserer Danksagungsseite, sobald die Lücke geschlossen ist. Schreiben Sie uns in der Meldung, ob Sie genannt werden möchten und unter welchem Namen. Sie können auch ausdrücklich anonym bleiben.

Meldungen ohne Nachweis. Uns erreichen automatisiert und KI-generiert erstellte Nachrichten, die allgemeine Schwächen beschreiben, ohne irgendetwas zu prüfen. Meldungen ohne nachvollziehbare Schritte und ohne belegte Auswirkung bearbeiten wir nicht.

Unaufgeforderte Rechnungen. Wir bezahlen keine Rechnungen, „Finderlöhne“ oder „Beratungshonorare“, die einer unaufgeforderten Meldung beiliegen. Eine Meldung, die mit einer Zahlungsforderung verbunden ist, behandeln wir als das, was sie ist, und behalten uns entsprechende Schritte vor.

Zusicherung: keine rechtlichen Schritte

Wenn Sie sich an diese Richtlinie halten, betrachten wir Ihre Untersuchung als autorisiert, und:

Wir leiten keine rechtlichen Schritte gegen Sie ein — weder Strafanzeige noch zivilrechtliche Ansprüche — im Zusammenhang mit Ihrer Untersuchung oder Ihrer Meldung.
Wir zeigen Sie nicht bei Strafverfolgungsbehörden an, und sollte ein Dritter das tun, bestätigen wir auf Anfrage, dass Ihr Vorgehen nach dieser Richtlinie autorisiert war.
Wir behandeln Ihre Meldung als Hilfe, nicht als Angriff.

Diese Zusicherung steht unter folgenden Einschränkungen:

Sie gilt nur für Untersuchungen innerhalb des oben beschriebenen Geltungsbereichs und innerhalb der Spielregeln.
Sie erfasst nur Ansprüche, die wir selbst geltend machen könnten. Rechte Dritter können wir nicht abbedingen, und gesetzliche Pflichten, die uns treffen, bleiben unberührt.
Sie erfasst nicht den Missbrauch erlangter Daten, Erpressung sowie den Verkauf oder die Weitergabe von Befunden an Dritte zur Ausnutzung.

Wenn Sie unsicher sind, ob ein geplanter Test gedeckt ist, fragen Sie uns vorher. Uns ist eine Frage vorab lieber als eine Diskussion hinterher.

Umgang mit Ihren personenbezogenen Daten

Wir verarbeiten die Angaben aus Ihrer Meldung — einschließlich Ihrer E-Mail-Adresse und eines von Ihnen genannten Namens — ausschließlich, um den gemeldeten Befund zu bewerten und zu beheben und um mit Ihnen darüber zu kommunizieren. Einzelheiten stehen in unserer Datenschutzerklärung.

Wenn Sie anonym bleiben möchten, können Sie von einer anonymen E-Mail-Adresse aus melden. Wir werden nicht versuchen, Sie zu identifizieren.

Änderungen dieser Richtlinie

Diese Richtlinie kann fortgeschrieben werden. Fassung und Datum am Anfang der Seite geben immer den aktuellen Stand an. Wesentliche Änderungen wirken nicht auf bereits eingereichte Meldungen zurück — maßgeblich ist die Fassung, die zum Zeitpunkt Ihrer Meldung galt.

Danke

Eine Schwachstelle zu melden, statt sie auszunutzen oder zu verkaufen, ist eine Entscheidung zugunsten aller, die sich auf diese Systeme verlassen. In unserem Fall sind das soziale Einrichtungen und die Menschen, für die sie da sind. Wir wissen das zu schätzen.