Autovig

Richtlinie zur koordinierten Offenlegung von Sicherheitslücken

Wie Sie eine Sicherheitslücke an Autovig melden: Geltungsbereich, Meldekanal, Zeitplan, belgischer CVD-Rechtsrahmen und CCB-Eskalation.

Zuletzt geprüft
11. Oktober 2026

Kurz gefasst

  • Melden Sie eine Schwachstelle in einer einzigen strukturierten E-Mail an security@autovig.eu mit „security report“ im Betreff; der Geltungsbereich umfasst autovig.eu, dessen Build-Ausgabe und den Cookie-Consent-Flow, und Meldungen sind in sechs Sprachen möglich.
  • Autovig bestätigt innerhalb von 5 Werktagen, triagiert innerhalb von 10 Werktagen und strebt 90 Tage bis zur Behebung nach einem Modell der koordinierten Offenlegung an; es gibt kein bezahltes Bug-Bounty, nur öffentliche Nennung.
  • Gutgläubige Forschung im Geltungsbereich ist durch eine Autorisierung des Verantwortlichen gedeckt; die gesetzliche Ausnahme nach Artikel 23 des belgischen NIS2-Gesetzes gilt zusätzlich, wenn Sie das CCB innerhalb von 24 Stunden (vereinfachte Meldung) und 72 Stunden (vollständige Meldung) benachrichtigen, und das CCB (CERT.be) ist der Eskalationsweg.

Autovig begrüßt Sicherheitsforschung, die in gutem Glauben an den öffentlich zugänglichen Systemen des Unternehmens durchgeführt wird. Diese Richtlinie ist die CVD-Richtlinie des Verantwortlichen im Sinne von ISO/IEC 29147:2018, des belgischen Rechtsrahmens für die koordinierte Offenlegung von Schwachstellen (Artikel 22 und 23 des Gesetzes vom 26. April 2024, des belgischen NIS2-Gesetzes, und Rolle des Zentrums für Cybersicherheit Belgien — CCB) sowie des Good Practice Guide on Vulnerability Disclosure der ENISA. Sie gilt für die Website autovig.eu (die „Website“).

1. Meldekanal

Senden Sie eine einzige, strukturierte Meldung an:

Falls Sie uns nicht erreichen oder innerhalb der in Abschnitt 6 genannten Frist keine Bestätigung erhalten, können Sie die Meldung an das belgische nationale CSIRT weiterleiten:

Sie können auf Englisch, Französisch, Deutsch, Niederländisch, Rumänisch oder Polnisch schreiben.

2. Geltungsbereich

Im Geltungsbereich:

  • autovig.eu und jede Subdomain mit Produktionsinhalten;
  • die Ausgabe des statischen Builds: HTML, CSS, JavaScript-Bundles und die von uns ausgegebenen strukturierten Daten;
  • der Cookie-Einwilligungsdialog und die clientseitige Einwilligungsspeicherung.

3. Außerhalb des Geltungsbereichs

  • Websites externer Betreiber (ASFINAG, DARS, NÚSZ, BGTOLL, CNAIR usw.) — bitte direkt an den Betreiber melden.
  • Probleme, die eine privilegierte Position voraussetzen (bereits kompromittierter Browser, bösartige Browser-Erweiterung, physischer Zugriff auf das Endgerät des Nutzers).
  • Ausgaben automatisierter Scanner ohne klare und nachweisbare Sicherheitsauswirkung.
  • Meldungen über fehlende Best Practices (HTTP-Header-Härtung, TLS-Konfiguration, Software-Versions-Fingerabdrücke) ohne nachgewiesenes ausnutzbares Risiko.
  • Denial-of-Service-Tests, Social Engineering gegen Mitarbeiter oder Auftragnehmer, Angriffe gegen physische Räumlichkeiten oder Drittanbieter (Hosting, DNS, E-Mail).

4. Inhalt der Meldung

  • Eine kurze Beschreibung des Problems und die betroffene URL oder Komponente.
  • Reproduktionsschritte, ggf. einschließlich der Anfrage-Payload.
  • Die von Ihnen eingeschätzte Auswirkung und ein realistisches Ausnutzungsszenario.
  • Datum und Uhrzeit des Tests sowie verwendeter Browser, Werkzeug oder Skript.
  • Der Name oder das Pseudonym, unter dem Sie ggf. öffentlich erwähnt werden möchten (Abschnitt 8).

5. Was wir von Ihnen erwarten

  • Greifen Sie nicht auf Daten zu, ändern Sie keine und laden Sie keine Daten herunter, die Ihnen nicht gehören. Wenn eine Fehlkonfiguration Daten Dritter offenlegt, stoppen Sie und informieren Sie uns — laden Sie nicht mehr herunter als das Mindestmaß, das zur Belegung des Problems nötig ist.
  • Führen Sie keine Denial-of-Service-Tests, kein Social Engineering und keine Angriffe gegen physische Räumlichkeiten oder Drittanbieter durch.
  • Geben Sie uns ein angemessenes Zeitfenster zur Behebung vor jeder öffentlichen Offenlegung (Abschnitt 7).
  • Handeln Sie in gutem Glauben. Meldungen mit der ehrlichen Absicht, die Sicherheit zu verbessern, sind willkommen; Drohungen, Erpressung oder Zahlungsforderungen gegen Nichtoffenlegung sind es nicht.

6. Koordinierter Zeitplan — unsere Zusagen

  • Eingangsbestätigung innerhalb von 5 Werktagen ab Eingang.
  • Triage (Geltungsbereichsbestätigung, anfängliche Schweregradeinschätzung) innerhalb von 10 Werktagen.
  • Statusaktualisierungen zu materiellen Befunden mindestens alle 15 Kalendertage bis zum Abschluss.
  • Behebung in einem der Schwere angemessenen Zeitrahmen: kritische oder aktiv ausgenutzte Schwachstellen haben Vorrang; Standardkorrekturen streben 90 Kalendertage ab der Triage an; eine längere Frist wird mit Ihnen begründet vereinbart.
  • Öffentliche Anerkennung bei Auslieferung der Korrektur, sofern gewünscht (Abschnitt 8).

7. Koordinierte öffentliche Offenlegung

Wir folgen einem koordinierten Offenlegungsmodell:

  • Meldung und Korrektur bleiben vertraulich bis zur Auslieferung der Korrektur oder bis zum Ablauf der Standardfrist von 90 Kalendertagen ab der Triage;
  • Verantwortlicher und Forscher stimmen Wortlaut, Zuschreibung und Zeitpunkt jeder Veröffentlichung ab;
  • betrifft ein Befund einen Dritten (Betreiber, Auftragsverarbeiter, Bibliothek), kann die Frist einvernehmlich verlängert werden, damit dieser eine eigene Antwort koordinieren kann;
  • bei Uneinigkeit über den Zeitplan kann der Fall an das CCB herangetragen werden (Abschnitt 9);
  • wenn Sie sich auf den gesetzlichen Schutz nach Abschnitt 9 stützen, erfordert eine öffentliche Offenlegung zusätzlich die Zustimmung des CCB.

8. Anerkennung — derzeit kein Bug-Bounty-Programm

Autovig betreibt derzeit kein bezahltes Bug-Bounty-Programm. Anerkennung erfolgt durch öffentliche Nennung auf dieser Seite (unter Ihrem bevorzugten Namen oder Pseudonym) und durch direkten Austausch. Es wird keine Zusage einer Geldprämie gemacht; sollte zu einem späteren Zeitpunkt ein Programm eingeführt werden, werden die Bedingungen hier veröffentlicht, bevor sich eine Meldung darauf berufen kann.

9. Safe Harbour und belgischer Rechtsrahmen

Wir werden auf Rechtsverfolgung verzichten — und Ihr Verhalten für die Zwecke der einschlägigen belgischen Strafbestimmungen zum unbefugten Zugang zu Informatiksystemen als autorisiert behandeln — sofern Sie:

  • in gutem Glauben mit der ehrlichen Absicht handeln, die Sicherheit zu verbessern;
  • innerhalb des Geltungsbereichs gemäß Abschnitt 2 bleiben und die Negativliste in Abschnitt 3 respektieren;
  • nur auf die für den Befund unbedingt notwendige Mindestmenge an Daten zugreifen und keine Daten Dritter exfiltrieren, speichern, veröffentlichen oder weitergeben;
  • Verfügbarkeit, Integrität oder Vertraulichkeit nicht über das zur Demonstration des Problems unbedingt nötige Maß hinaus beeinträchtigen;
  • die Meldung ohne unangemessene Verzögerung über den Kanal in Abschnitt 1 übermitteln;
  • den koordinierten Offenlegungszeitplan in Abschnitt 7 einhalten.

Diese Autorisierung wird von Autovig in ihrer Eigenschaft als Verantwortliche der betreffenden Assets erteilt und gilt nur für Handlungen im Geltungsbereich. Sie bindet öffentliche Behörden oder Dritte, deren Systeme inzidenziell betroffen sein könnten, nicht.

Gesetzlicher Schutz. Unabhängig von dieser Autorisierung bestimmt Artikel 23 des belgischen Gesetzes vom 26. April 2024 zur Festlegung eines Rahmens für die Cybersicherheit von Netz- und Informationssystemen (des belgischen NIS2-Gesetzes), dass Personen, die eine potenzielle Schwachstelle im Verfahren nach dessen Artikel 22 melden, bestimmte Straftaten — darunter den unbefugten Zugang zu einem Informatiksystem — nicht begehen, sofern sie alle Bedingungen erfüllen, insbesondere:

  • sie handeln ohne betrügerische Absicht und ohne Schädigungsabsicht;
  • sie senden eine vereinfachte Meldung — das betroffene System und eine kurze Beschreibung der potenziellen Schwachstelle — unverzüglich und spätestens 24 Stunden nach der Entdeckung an die verantwortliche Organisation (für diese Website: security@autovig.eu) und an das CCB;
  • sie senden eine vollständige Meldung unverzüglich und spätestens 72 Stunden nach der Entdeckung an dieselben Empfänger;
  • sie gehen nicht über das hinaus, was zur Überprüfung und Meldung der Schwachstelle notwendig und verhältnismäßig ist;
  • sie legen Informationen über die Schwachstelle nicht ohne Zustimmung des CCB öffentlich offen.

Maßgeblich für dieses Verfahren ist die CVD-Seite des CCB (https://ccb.belgium.be/de/regulation/cvdp). Das belgische Strafgesetzbuch von 1867 wurde am 1. September 2026 durch ein neues Strafgesetzbuch ersetzt; wenden Sie sich an das CCB oder einen Rechtsanwalt, wenn Sie die nun geltenden Straftatbestände benötigen.

10. Verarbeitung Ihrer personenbezogenen Daten

Die Daten, die Sie bei einer Meldung übermitteln (E-Mail-Adresse, Inhalt der Meldung, ggf. PGP-verschlüsselter Inhalt), werden von Autovig als Verantwortliche auf Grundlage des berechtigten Interesses (Artikel 6 Absatz 1 Buchstabe f DSGVO) zu Zwecken der Triage, Behebung und koordinierten Offenlegung verarbeitet. Meldungen werden bis zu 5 Jahre nach Abschluss gespeichert. Ihre Rechte, der Beschwerdeweg an die belgische APD/GBA und die übrigen DSGVO-Informationen finden sich in unserer Datenschutzerklärung.

Quellen

Verwandte Rechtsseiten