Zum Inhalt springen
Sicherheitslücke gefunden? Melde sie uns.Found a security vulnerability? Tell us.

Sicherheitslücke gefunden? Melde sie uns.

Wir bauen und betreiben unsere Systeme nach strengen Sicherheitsregeln und lassen unsere Prozesse regelmäßig extern prüfen (ISO 27001). Die Absicherung digitaler Systeme ist aber nie abgeschlossen: Auch in guten Anlagen können blinde Flecken, alte Lücken oder neue Angriffswege auftauchen. Wenn du als Sicherheitsforscherin oder Sicherheitsforscher unsere Systeme in den Blick nimmst, bitten wir dich um ein verantwortungsvolles Vorgehen (Responsible Disclosure). Danke, dass du mit uns für sichere digitale Infrastrukturen sorgst.

So erreichst du uns

  • E-Mail: security@plutex.de (nur für Sicherheitsmeldungen; alle anderen Anliegen an support@plutex.de)
  • Maschinenlesbar: /.well-known/security.txt nach RFC 9116
  • Wir antworten in der Regel innerhalb von drei Werktagen.

Was wir brauchen

  • Welches System ist betroffen (URL oder IP-Adresse)?
  • Was genau hast du getan, und wie lässt es sich nachvollziehen (Schritte, verwendete Werkzeuge, Zeitpunkt, Screenshots)?
  • Welche Auswirkung siehst du?
  • Wie können wir dich erreichen, wenn du eine Rückmeldung möchtest? Anonyme Meldungen nehmen wir ebenfalls ernst.

Rahmenbedingungen

Wir bitten dich:

  • Nutze eine gefundene Schwachstelle nur so weit, wie es nötig ist, um sie zu belegen, und melde sie uns so schnell wie möglich.
  • Gib keine Informationen über die Schwachstelle an Dritte weiter, bevor wir uns über eine Veröffentlichung abgestimmt haben.
  • Vermeide Störungen unserer Dienste; verändere, kopiere oder lösche keine Daten auf unseren Systemen und speichere keine vertraulichen Daten, auf die du Zugriff erlangt hast.
  • Verzichte auf destruktive, soziale oder physische Angriffe: kein Eindringen in unsere Räume, kein Social Engineering oder Phishing, keine (Distributed-)Denial-of-Service-Angriffe.
  • Teste keine Systeme, die unsere Kundinnen und Kunden exklusiv nutzen (dedizierte Server, Colocation, Kundennetze).

Dafür versprechen wir:

  • Wir leiten wegen deiner Meldung keine rechtlichen Schritte gegen dich ein, solange du dich an diese Rahmenbedingungen hältst und fair mit uns zusammenarbeitest.
  • Wir geben keine Informationen über dich an Dritte weiter, ohne vorher deine Zustimmung einzuholen.
  • Wir halten dich auf dem Laufenden, wenn du das möchtest, und stimmen eine Veröffentlichung mit dir ab, sobald die Lücke geschlossen ist.
  • Auf Wunsch nennen wir dich in unseren Danksagungen.

Wie wir mit deiner Meldung umgehen

Jede Meldung geht an unseren Informationssicherheitsbeauftragten. Wir bestätigen den Eingang, bewerten die Schwachstelle nach unserem Prozess für Sicherheitsereignisse, beheben sie zusammen mit unserem Technikteam und überwachen die Wirkung der Maßnahmen. Kritische Schwachstellen behandeln wir mit Vorrang.

Aktuelle Sicherheitsmeldungen zu verbreiteter Software veröffentlichen wir laufend in unseren Blogs IT-Sicherheits-News für Admins und IT-News für Anwender.


Found a security vulnerability? Tell us.

We build and run our systems under strict security rules and have our processes audited regularly (ISO 27001). Securing digital systems is never finished: even well-run environments can have blind spots, old gaps or new attack paths. If you look at our systems as a security researcher, we ask you to follow a responsible disclosure process. Thank you for helping us keep digital infrastructure safe.

How to reach us

  • E-mail: security@plutex.de (security reports only; everything else goes to support@plutex.de)
  • Machine-readable: /.well-known/security.txt (RFC 9116)
  • We usually reply within three working days.

What we need

  • Which system is affected (URL or IP address)?
  • What exactly did you do, and how can we reproduce it (steps, tools, time, screenshots)?
  • What impact do you see?
  • How can we contact you if you want feedback? We take anonymous reports seriously as well.

Rules of engagement

We ask you to:

  • Exploit a vulnerability only as far as needed to demonstrate it, and report it to us as soon as possible.
  • Not share information about the vulnerability with third parties before we have agreed on a publication.
  • Avoid service disruption; do not modify, copy or delete data on our systems and do not store confidential data you gained access to.
  • Refrain from destructive, social or physical attacks: no physical intrusion, no social engineering or phishing, no (distributed) denial-of-service attacks.
  • Not test systems used exclusively by our customers (dedicated servers, colocation, customer networks).

In return we promise:

  • We will not take legal action against you because of your report as long as you follow these rules and cooperate fairly.
  • We will not pass on information about you to third parties without your consent.
  • We keep you informed if you wish and coordinate any publication with you once the issue is fixed.
  • On request we name you in our acknowledgments.

How we handle your report

Every report goes to our information security officer. We confirm receipt, assess the vulnerability under our security event process, fix it together with our engineering team and monitor the effect of the measures. Critical vulnerabilities are handled with priority.