Richtlinie zur Meldung von Sicherheitslücken

Zuletzt aktualisiert: 24. September 2026 · Version 1.0.0

Diese Richtlinie beschreibt, wie Sie eine Sicherheitslücke in Diensten von SwiftQuantum melden, was wir von Ihnen während der Suche erwarten und was Sie von uns erwarten können. SwiftQuantum wird von der SwiftQuantum Technologies, LLC betrieben, einer Limited Liability Company nach dem Recht von Delaware (USA). Meldungen werden vom Gründer persönlich gelesen und bearbeitet; die unten genannten Fristen berücksichtigen das.

Eine maschinenlesbare Fassung der Kontaktdaten steht unter /.well-known/security.txt (RFC 9116).

1. So melden Sie

Schreiben Sie an security@swiftquantum.tech und geben Sie nach Möglichkeit an:

• das betroffene Produkt, die URL, den API-Endpunkt oder die App samt Version;
• eine Beschreibung des Problems und seiner voraussichtlichen Auswirkungen;
• Schritte zur Reproduktion und, falls vorhanden, einen Proof of Concept (Screenshots, HTTP-Anfragen, ein kurzes Skript);
• ob Sie auf Daten zugegriffen, sie verändert oder behalten haben, und welche;
• ob und wie Sie namentlich genannt werden möchten.

Meldungen können auf Englisch oder Koreanisch verfasst werden. Wenn Sie vertrauliches Material übermitteln müssen, teilen Sie uns das zunächst mit; wir vereinbaren dann einen Übertragungsweg. Einen PGP-Schlüssel veröffentlichen wir derzeit nicht.

Bitte melden Sie Sicherheitslücken nicht über App-Bewertungen, soziale Medien, öffentliche GitHub-Issues oder den allgemeinen Support.

2. Geltungsbereich

Im Geltungsbereich

• Webanwendungen und Websites unter swiftquantum.tech und seinen Subdomains (*.swiftquantum.tech), einschließlich dieser Website;
• APIs unter *.swiftquantum.tech, einschließlich des Authentifizierungsdienstes und der SwiftQuantum Legal API;
• von SwiftQuantum im Apple App Store veröffentlichte Apps für iOS, iPadOS, macOS und visionOS: SwiftQuantum, QuantumNative, Q-Bridge, QuantumCareer, Q-Alpha, Q-Shield, Q-Logos und Q-Bio Genesis;
• unter der SwiftQuantum-Organisation veröffentlichte Open-Source-Pakete, soweit das Problem deren Nutzer betrifft.

Nicht im Geltungsbereich

• Dienste Dritter, die wir nutzen, etwa Amazon Web Services, Stripe, Apple, OpenAI, Anthropic, IBM Quantum oder unser E-Mail-Anbieter. Melden Sie solche Probleme direkt beim Anbieter. Liegt der Fehler in unserer Konfiguration oder Integration, ist er im Geltungsbereich.
• Befunde, die ein gerootetes oder gejailbreaktes Gerät, physischen Zugriff auf ein entsperrtes Gerät des Opfers oder einen bereits kompromittierten Browser voraussetzen.
• Fehlende Sicherheits-Header, Cookie-Attribute oder TLS-Einstellungen ohne nachgewiesene Ausnutzbarkeit.
• Clickjacking auf Seiten ohne zustandsändernde Aktionen, Logout-CSRF und Self-XSS.
• Reine Ergebnisse automatischer Scanner ohne überprüfte Auswirkung.
• Hinweise zu Rate Limiting oder Brute Force ohne realistischen Weg zur Kontoübernahme oder Datenoffenlegung.
• Hinweise zur E-Mail-Konfiguration (SPF, DKIM, DMARC-Richtlinie) ohne nachgewiesene Spoofing-Auswirkung.
• Schwachstellen, die nur in vom Hersteller nicht mehr unterstützten Browsern oder Betriebssystemen auftreten.

Wenn Sie unsicher sind, ob etwas in den Geltungsbereich fällt, melden Sie es trotzdem und weisen Sie darauf hin.

3. Was Sie bitte unterlassen

• Keine Denial-of-Service-Angriffe. Keine Lasttests, kein Fluten und nichts, was den Dienst für andere verschlechtert; füllen Sie keine Speicher oder Warteschlangen.
• Kein Datenzugriff über den Nachweis hinaus. Stoßen Sie auf personenbezogene Daten, brechen Sie ab, kopieren oder behalten Sie nichts und beschreiben Sie in der Meldung, was Sie gesehen haben. Verwenden Sie nur selbst angelegte Konten oder Konten, deren Inhaber zugestimmt haben.
• Kein Social Engineering gegenüber Nutzern, dem Gründer oder unseren Dienstleistern, und kein Phishing.
• Keine physischen Angriffe auf Büros, Wohnungen oder Geräte.
• Verändern oder löschen Sie keine fremden Daten und hinterlassen Sie nach der Bestätigung eines Problems keinen dauerhaften Zugang (Backdoors, persistente Sitzungen, Web-Shells).
• Nutzen Sie keine kostenpflichtigen Ressourcen anderer, etwa durch das Einreichen von Quantenhardware-Jobs oder KI-Anfragen mit fremden Zugangsdaten.
• Veröffentlichen Sie das Problem nicht und teilen Sie es niemandem mit, bevor wir es behoben haben oder bis zu dem nach Abschnitt 5 vereinbarten Termin.

4. Safe Harbor

Forschung, die in gutem Glauben im Einklang mit dieser Richtlinie erfolgt, betrachten wir als autorisiert. Insbesondere werden wir

• keine rechtlichen Schritte gegen Sie einleiten und keine Strafverfolgungsbehörde dazu auffordern, soweit Ihre Forschung dieser Richtlinie entspricht, auch nicht auf Grundlage von Gesetzen über den unbefugten Zugriff auf Computersysteme (etwa des koreanischen Netzwerkgesetzes oder des U.S. Computer Fraud and Abuse Act) oder über die Umgehung technischer Schutzmaßnahmen;
• solche Forschung nicht als Verstoß gegen unsere Nutzungsbedingungen behandeln, soweit sie mit diesen kollidiert;
• erklären, dass Ihre Tätigkeit von uns autorisiert war, falls ein Dritter wegen richtlinienkonformer Forschung Ansprüche gegen Sie erhebt.

Dieser Safe Harbor gilt nur für Systeme und Tätigkeiten im Geltungsbereich dieser Richtlinie. Er bindet keine Dritten, und wir können keine Tests an Systemen erlauben, die uns nicht gehören. Fragen Sie im Zweifel vorab unter security@swiftquantum.tech nach.

5. Was Sie von uns erwarten können

SwiftQuantum wird von einer Person betrieben. Die folgenden Ziele sind Bemühenszusagen, keine Garantien:

Wir halten Sie auf dem Laufenden, teilen Ihnen die Behebung mit und fragen Sie, bevor wir Sie namentlich nennen. Bitte geben Sie uns ab Ihrer Meldung bis zu 90 Tage Zeit für eine Behebung, bevor Sie etwas veröffentlichen. Brauchen wir länger, erklären wir den Grund und vereinbaren mit Ihnen einen Termin.

Deutet eine Meldung darauf hin, dass personenbezogene Daten offengelegt worden sein könnten, behandeln wir dies unabhängig von diesem Zeitplan nach unserer Datenschutzerklärung und den geltenden Meldepflichten.

6. Kein Bug-Bounty-Programm

Wir betreiben kein Bug-Bounty-Programm und zahlen nicht für Meldungen. Mit Ihrer Zustimmung nennen wir Sie nach der Behebung gern öffentlich. Wer eine Zahlung zur Bedingung für die Offenlegung von Details macht, meldet nicht in gutem Glauben im Sinne dieser Richtlinie.

7. Zugehörige Dokumente

• Datenschutz
• Unterauftragsverarbeiter
• Auftragsverarbeitungsvertrag
• Nutzungsbedingungen

8. Änderungen

Wir können diese Richtlinie ändern. Versionsnummer und Datum oben werden bei jeder Änderung angepasst; für eine Meldung gilt weiterhin die Fassung, die am Tag ihres Eingangs galt.

Diese Richtlinie wird in mehreren Sprachen veröffentlicht. Bei Abweichungen ist die englische Fassung maßgeblich.