Security Policy
Responsible Disclosure - so kannst du Sicherheitslücken bei CyberKlartext verantwortungsvoll melden.
Sicherheitslücke gefunden?
Wenn du eine Sicherheitslücke in unseren Systemen oder auf unserer Website entdeckst, bitten wir dich, uns dies vertraulich zu melden - bevor du die Lücke öffentlich machst. So können wir das Problem beheben, ohne dass andere davon Schaden nehmen.
Schreibe uns eine E-Mail an security@bitzer.dev.
Verschlüsselte Meldung
Wenn du deine Meldung verschlüsselt übermitteln möchtest, kannst du unseren PGP Public Key verwenden.
Was du melden solltest
Bitte beschreibe in deiner Meldung so genau wie möglich:
- Welche Seite oder welches System ist betroffen?
- Wie hast du die Lücke gefunden? (Schritte zum Nachvollziehen)
- Was ist die potenzielle Auswirkung?
- Optional: Screenshots oder Proof-of-Concept
Was du von uns erwarten kannst
- Wir bestätigen den Eingang deiner Meldung innerhalb von 3 Werktagen.
- Wir halten dich über den Fortschritt der Behebung informiert.
- Wir gehen vertraulich mit deiner Meldung um.
- Wir nennen dich auf Wunsch in unserer Danksagung.
Was wir uns wünschen
- Gib uns ausreichend Zeit zur Behebung, bevor du die Lücke veröffentlichst.
- Greife nicht auf fremde Daten zu und verändere keine Systeme.
- Führe keine Denial-of-Service-Angriffe durch.
Maschinell lesbar
Diese Policy ist auch als security.txt nach RFC 9116 verfügbar: cyberklartext.de/.well-known/security.txt
Härtung dieser Website
Die Seite liefert HSTS mit preload, eine Content-Security-Policy,X-Frame-Options: DENY, X-Content-Type-Options: nosniff,Cross-Origin-Opener-Policy: same-origin und eine Permissions-Policy, die Kamera, Mikrofon, Standort, Zahlungen, USB, Serial, Bluetooth und Googles Topics-API abschaltet. Es gibt keine Cookies, kein Tracking und keine Analyse-Skripte von Dritten.
Eine Ausnahme benennen wir offen: die CSP erlaubt beiscript-src weiterhin 'unsafe-inline'. Next.js bettet seine Hydrations-Skripte inline ein. Der saubere Weg wäre ein Nonce pro Antwort, der aber jede Seite ins dynamische Rendering zwingt - damit entfielen die statisch vorgerenderten Glossar- und FAQ-Seiten sowie das Inkrementelle-Regenerieren der Sicherheitsmeldungen. Wir halten die Abwägung für vertretbar, weil die Seite an keiner Stelle nutzergeneriertes HTML rendert: Es gibt keine Kommentare, keine Profile und keine gespeicherten Fremdinhalte, über die sich ein Skript einschleusen ließe. Die Dokumente der Compliance-Tools verlassen den Browser des Nutzers nicht.
Wenn du hier einen Weg siehst, den wir übersehen haben, ist das genau die Art Meldung, über die wir uns freuen.
Stand: August 2026