Responsible Disclosure

Sicherheitslücke gefunden? Danke, dass du uns hilfst.

Sicherheit ist für uns kein Marketing-Versprechen, sondern Pflicht. Wir freuen uns über jeden Hinweis von Forschern, Entwicklern und neugierigen Anwendern, der hofmanager+ und seine Daten besser schützt.

So meldest du eine Lücke

Schick deinen Bericht an security@hofmanager.plus. Bitte verschlüssele sensible Inhalte oder verwende eine geteilte Notiz mit Selbstzerstörung.

Idealer Bericht enthält:

Schritt-für-Schritt-Beschreibung der Schwachstelle
Betroffene URL oder Komponente (z. B. Edge Function, Tabelle, Seite)
Realistisches Angriffs-Szenario und mögliche Auswirkungen
Optional: Screenshots, Logs, Proof-of-Concept (PoC)
Dein Name (oder Pseudonym), wenn du erwähnt werden möchtest

Was wir dir versprechen

Eingangsbestätigung: Innerhalb von 48 Stunden – meist viel schneller.
Erste Einschätzung: Innerhalb von 5 Werktagen mit Schweregrad-Einstufung.
Fix & Update: Kritische Lücken werden priorisiert gepatched. Du bekommst Bescheid, sobald live.
Anerkennung: Auf Wunsch Nennung in unserer Hall of Fame (siehe unten).
Keine rechtlichen Schritte: Solange du dich an die Spielregeln unten hältst.

Spielregeln

•Greife keine echten Kundendaten an – nutze ein Test-Konto.
•Keine DoS-, Spam- oder Brute-Force-Tests.
•Kein Phishing oder Social-Engineering gegen Mitarbeiter oder Kunden.
•Veröffentliche Details erst nach Freigabe oder 90 Tagen Frist.
•Halte dich an geltendes Recht (Deutschland).

Außerhalb des Programms

• Reine Konfigurations-Hinweise ohne Auswirkung (z. B. fehlende „X-Powered-By"-Header)
• Hinweise zu öffentlichen, dokumentierten Einstellungen
• Veraltete Browser-Versionen
• Berichte aus automatisierten Scannern ohne Validierung
• Probleme in Drittsystemen (Lovable Cloud / Supabase) → bitte direkt dort melden

Hall of Fame

Hier nennen wir Forscher, die hofmanager+ verantwortungsvoll besser gemacht haben. Aktuell: Sei der Erste – wir freuen uns auf deinen Bericht.

Stand: Mai 2026 · Diese Richtlinie wird laufend aktualisiert.