Sicherheitsmeldungen

ODISTRACKER läuft auf Diagnosetestern mit Zugriff auf die Fahrzeugelektronik. Wer eine Schwachstelle findet, soll sie uns leicht melden können und dabei nichts befürchten müssen. Diese Seite beschreibt, wie das geht, was wir zusagen und worum wir bitten.

So melden Sie

Per E-Mail an support@paro-it.de mit dem Betreff Sicherheitsmeldung. Hilfreich sind: betroffene Adresse oder Komponente, Schritte zum Nachstellen, was Sie beobachtet haben und was Sie erwartet hätten. Bildschirmabzüge oder ein kurzes Skript sind willkommen. Verschlüsselung ist nicht Voraussetzung; wenn Sie sie wünschen, nennen Sie das in der ersten Nachricht, dann tauschen wir Schlüssel aus. Die maschinenlesbare Fassung dieser Angaben steht unter /.well-known/security.txt.

Was dazugehört

Die Webseite odistracker.de, die Anwendung unter app.odistracker.de, das Backend unter backend.odistracker.de, die Dokumentation unter docs.odistracker.de, der Update-Server unter update.odistracker.de sowie der Agent auf den Diagnosetestern samt seinem Update-Paket. Nicht dazu gehören Dienste Dritter, die wir nutzen, etwa der Hoster, der Mailanbieter oder die Sicherungslösung – melden Sie Funde dort bitte dem jeweiligen Anbieter.

Was Sie von uns erwarten können

Eine Eingangsbestätigung innerhalb von drei Werktagen. Eine erste Einschätzung, ob und wie schwer der Fund uns betrifft, innerhalb von zehn Werktagen. Wir halten Sie über den Stand auf dem Laufenden und sagen Ihnen, wann eine Korrektur ausgeliefert ist. Auf Wunsch nennen wir Sie in den Release-Informationen als Finder; auf Wunsch bleiben Sie ungenannt. Eine Belohnung in Geld gibt es nicht, ein ehrliches Danke und eine ehrliche Antwort schon.

Worum wir bitten

Prüfen Sie nur so weit, wie es nötig ist, um den Fund zu belegen. Lesen, verändern oder löschen Sie keine Daten, die nicht Ihre eigenen sind – hinter jedem Mandanten steht ein Autohaus. Verzichten Sie auf Angriffe, die den Betrieb stören, etwa Lastangriffe oder das massenhafte Auslösen von Updates auf Testern. Keine Täuschung von Mitarbeitern oder Kunden. Wenn Sie beim Prüfen auf fremde Daten stoßen, hören Sie dort auf und melden es uns. Geben Sie uns Zeit, den Fund zu beheben, bevor Sie ihn veröffentlichen; wir sagen Ihnen, wann es so weit ist, und ziehen das nicht in die Länge.

Unsere Zusage

Wer sich an diese Regeln hält und in gutem Glauben handelt, hat von uns keine rechtlichen Schritte zu erwarten. Wir betrachten eine solche Prüfung als erlaubt und werden sie nicht bei Behörden anzeigen. Sollte eine Meldung Dritte betreffen, etwa einen unserer Kunden, informieren wir diese selbst; Sie müssen sich darum nicht kümmern.

Was uns weniger interessiert

Fehlende HTTP-Kopfzeilen ohne nachweisbare Auswirkung, Ergebnisse automatischer Scanner ohne Beleg, Angaben zu Softwareversionen, Ausgaben von Standardfehlerseiten, fehlende Ratenbegrenzung ohne konkreten Missbrauch. Solche Hinweise dürfen Sie schicken, wir bearbeiten sie nachrangig.