Sicherheitsrichtlinie und verantwortungsvolle Meldung von Schwachstellen

Version 1.0 · Stand 27.10.2026

Hast du eine Sicherheitslücke in CLUP.life gefunden? Danke, dass du sie uns melden willst. Wir nehmen das ernst, weil auf der Plattform Daten von Kindern liegen.

So meldest du

E-Mail an security@clup.life mit Betreff „Sicherheit“. Die maschinenlesbare Fassung steht unter /.well-known/security.txt.
Beschreibe, wo du die Lücke gefunden hast, wie sie sich nachvollziehen lässt und welche Folgen sie haben könnte. Schick uns keine fremden Daten, die du dabei gefunden hast.
Verschlüsselte Meldung: Unseren öffentlichen PGP-Schlüssel (Ed25519, gültig bis 25.10.2028) findest du unter /.well-known/pgp-key.txt. Fingerabdruck: 9FF8 75FE 9B1C 5156 38BA FACF D25C A52B B058 1DE0. Bitte prüfe den Fingerabdruck an dieser Stelle, bevor du verschlüsselst. Wenn PGP für dich nicht in Frage kommt, schreib uns eine kurze Mail ohne Einzelheiten; wir vereinbaren dann einen anderen Weg.

Was wir zusagen

Eingangsbestätigung innerhalb von 3 Werktagen, eine erste Einschätzung innerhalb von 10 Werktagen.
Wir halten dich über den Stand auf dem Laufenden und nennen dich auf Wunsch in der Danksagung.
Wir verfolgen keine Person strafrechtlich oder zivilrechtlich, die sich an diese Richtlinie hält (Safe Harbor im Rahmen unserer Möglichkeiten; Strafverfolgung durch Behörden können wir nicht ausschließen, siehe § 202a StGB).
Wir behandeln deine Meldung vertraulich, bis die Lücke behoben ist, höchstens aber 90 Tage (koordinierte Offenlegung).

Was wir von dir erwarten

Greife nur auf Konten und Daten zu, die dir gehören oder für die du eine Genehmigung hast. Teste nicht an Daten oder Konten echter Mitglieder.
Keine Dienstunterbrechung (kein Lasttest, keine Denial-of-Service-Angriffe), kein Social Engineering gegen Mitarbeitende oder Mitglieder, kein physischer Angriff.
Halte Daten so gering und kurz wie möglich vor und lösche sie nach der Meldung.
Veröffentliche Details erst nach Absprache.

Geltungsbereich

clup.life und alle Unterdomänen der Plattform, die API und die Web-Anwendung. Nicht im Geltungsbereich: Drittanbieter-Dienste (Hetzner, E-Mail-Dienstleister, soziale Netzwerke), Spam-Berichte, fehlende Sicherheits-Header ohne nachweisbare Wirkung.

Belohnung

Wir zahlen derzeit keine Geldprämien.

Danksagung

Noch niemand. Du kannst die Erste oder der Erste sein.