Sicherheit & Schwachstellenmeldung
1.Überblick
Crossroutes nimmt die Sicherheit von Fahrer-Konten und -Daten ernst. Diese Seite erklärt, wie du eine vermutete Sicherheitslücke meldest, was danach passiert, und wie lange App-Versionen mit Sicherheitsupdates versorgt werden.
2.Wie du eine Schwachstelle meldest
Schreibe eine E-Mail an [email protected] - dieselbe Adresse, die auch maschinenlesbar unter /.well-known/security.txt (RFC 9116) veröffentlicht ist. Gib bitte genug Details an, um das Problem nachvollziehen zu können: was du getan hast, was du erwartet hast, und was stattdessen passiert ist.
3.Was nach deiner Meldung passiert
- Wir bestätigen den Eingang jeder ernsthaften Meldung in der Regel innerhalb von 24 Stunden.
- Wir prüfen und bestätigen das Problem und arbeiten dann an einer Behebung. Wir versprechen keine einheitliche Frist für jede Meldung - dafür ist der Schweregrad zu unterschiedlich -, aber ein bestätigtes, aktiv ausnutzbares Problem mit Auswirkung auf Nutzerdaten hat Vorrang vor allem anderen, woran gerade gearbeitet wird.
- Auf Wunsch halten wir dich über den Fortschritt auf dem Laufenden und nennen dich (mit deiner Erlaubnis) als Entdecker:in, sobald ein Fix veröffentlicht ist - oder du bleibst anonym, wenn dir das lieber ist.
4.Koordinierte Offenlegung
Wir bitten darum, uns eine angemessene Gelegenheit zu geben, ein gemeldetes Problem zu untersuchen und zu beheben, bevor du es öffentlich machst. Im Gegenzug: Wenn du eine echte Schwachstelle gutgläubig über den obigen Kanal meldest, ohne dabei über das für den Nachweis unbedingt nötige Maß hinaus auf die Daten anderer Nutzer:innen zuzugreifen, sie zu verändern oder zu extrahieren, werden wir wegen dieser Recherche keine rechtlichen Schritte gegen dich einleiten. Dies ist kein bezahltes Bug-Bounty-Programm, aber ernsthafte Meldungen sind immer willkommen und werden ernst genommen.
5.Sicherheitsupdates & unterstützte Versionen
Crossroutes wird ausschließlich über Google Play vertrieben, was die App für den Großteil der Nutzer:innen automatisch aktuell hält. Sicherheitsupdates sind immer kostenlos. Wir führen keine feste Liste "unterstützter" älterer Versionen - die aktuell auf Google Play veröffentlichte Version ist diejenige, die wir sicher halten, und da sich die App für fast alle Nutzer:innen automatisch aktualisiert, bedeutet die neueste Play-Store-Version zu haben, dass du bereits unseren aktuellen Sicherheitsstand hast.
6.Sicherheitshinweise
Bisher wurden keine Schwachstellen öffentlich bekannt gegeben. Sobald eine gemeldete Schwachstelle behoben ist, wird hier eine kurze, verständliche Zusammenfassung ergänzt - was betroffen war, wann es behoben wurde, und (mit Erlaubnis) wer es gefunden hat.
7.Kontakt
[email protected] - siehe auch /.well-known/security.txt und die Datenschutzerklärung der App.