Sicherheit & Responsible Disclosure

Wir nehmen die Sicherheit von Perimea ernst. Wenn Sie eine mögliche Sicherheitslücke in unseren Produkten oder Diensten gefunden haben, freuen wir uns über Ihre Meldung. Diese Seite beschreibt unseren Meldeweg für die koordinierte Offenlegung von Schwachstellen (u. a. im Sinne der Verordnung (EU) 2024/2847, Cyber Resilience Act).

Hersteller

Meldeweg

Bitte senden Sie Ihre Meldung per E-Mail an security@perimea.app. Maschinenlesbar finden Sie diese Angaben auch unter /.well-known/security.txt (RFC 9116). Wir bearbeiten Meldungen auf Deutsch und Englisch.

Hilfreich sind:

• betroffenes Produkt und Version (z. B. Perimea iOS 2.3, Perimea Desk 1.0.1) bzw. URL,
• eine Beschreibung der Schwachstelle und ihrer möglichen Auswirkungen,
• Schritte zur Reproduktion bzw. ein Proof of Concept,
• wie wir Sie für Rückfragen erreichen und ob Sie namentlich genannt werden möchten.

Bitte schicken Sie keine echten Kundendaten mit. Benötigen Sie einen verschlüsselten Kanal, vereinbaren wir ihn gern nach Ihrer ersten Kontaktaufnahme.

Unsere Zusagen

• Eingangsbestätigung innerhalb von 72 Stunden.
• Eine erste Einschätzung und laufende Information über den Stand der Behebung.
• Koordinierte Offenlegung: Wir bitten Sie, Details erst zu veröffentlichen, wenn ein Fix verfügbar ist, spätestens jedoch nach 90 Tagen ab Ihrer Meldung — sofern nicht gemeinsam anders vereinbart.
• Auf Wunsch nennen wir Sie in den Versionshinweisen bzw. im Sicherheitshinweis.
• Kein rechtliches Vorgehen gegen gutgläubige Forschende: Wer im Rahmen dieser Richtlinie in gutem Glauben handelt, muss von uns keine zivil- oder strafrechtlichen Schritte befürchten.

Scope

• Perimea-Apps für iOS, iPadOS und macOS,
• Perimea-App für Android,
• Perimea Desk (Windows/macOS),
• die Website perimea.app einschließlich unserer Lizenz- und Download-Dienste.

Nicht im Scope: Denial-of-Service- und Last-Tests, Social Engineering, Phishing, physische Angriffe sowie Dienste Dritter (z. B. App Store, Google Play, Zahlungs- und Hosting-Anbieter) — bitte melden Sie diese direkt beim jeweiligen Anbieter.

Spielregeln

• Greifen Sie nur so weit auf Daten zu, wie es zum Nachweis nötig ist, und löschen Sie diese danach.
• Beeinträchtigen Sie nicht die Verfügbarkeit unserer Dienste oder die Daten anderer Nutzer.
• Geben Sie uns angemessen Zeit zur Behebung, bevor Sie Informationen weitergeben.

Ein Bug-Bounty-Programm mit finanzieller Vergütung bieten wir derzeit nicht an.