Sicherheitsproblem melden

Dies ist eine Übersetzung. Nur der niederländische Text ist rechtlich verbindlich; bei Abweichungen gilt dieser.

Zuletzt aktualisiert: 30. September 2026

Haben Sie eine Schwachstelle in einem unserer Systeme gefunden? Danke, dass Sie sie uns melden. Auf dieser Seite steht, wie wir mit Meldungen umgehen, was wir honorieren und was nicht, und was Sie von uns erwarten können.

1. Wie Sie etwas melden

Schreiben Sie an security@tromptech.nl. Sensible Meldungen können Sie mit unserem PGP-Schlüssel verschlüsseln (auf Anfrage).

Nennen Sie in Ihrer Meldung:

Eine klare Beschreibung des Problems und seiner Auswirkungen
Schritte zum Nachstellen (ein funktionierendes Beispiel, wenn möglich)
Die URL oder die Komponente, in der Sie es gefunden haben
Ob Sie auf unserer Ehrenliste stehen möchten und wenn ja, unter welchem Namen

2. Was wir versprechen

Eingangsbestätigung innerhalb von 2 Werktagen
Erste inhaltliche Antwort innerhalb von 5 Werktagen
Statusmeldungen mindestens alle 14 Tage, bis die Meldung erledigt ist
Keine rechtlichen Schritte gegen Forschende, die sich an diese Regeln halten
Ein Eintrag auf unserer Ehrenliste, wenn Sie das möchten

Derzeit zahlen wir keine Geldprämie für Meldungen, bedanken uns aber mit einem kleinen Geschenk, einem Rabatt auf unsere Leistungen oder einer Erwähnung. Bei außergewöhnlichen Funden sind wir offen für eine individuelle Lösung.

3. Was wir honorieren

SQL-Injection, XSS, CSRF, SSRF, RCE
Probleme bei Anmeldung und Zugriffsrechten
Zugriff auf Daten anderer (IDOR, fehlerhafte Zugriffskontrolle)
Datenlecks (personenbezogene Daten, Schlüssel, Tokens)
Konfigurationsfehler mit Folgen für die Sicherheit (offener Speicher, öffentliche Datenbanken und Ähnliches)

4. Was wir für weniger relevant halten

Fehlende Sicherheits-Header ohne konkrete Folgen
Self-XSS
Theoretische CSRF auf öffentlichen Seiten, die nur lesen
SPF, DKIM und DMARC ohne funktionierendes Phishing-Beispiel
Angriffe mit viel Datenverkehr (DDoS, Brute Force)

5. Spielregeln

Geben Sie uns angemessen Zeit zu reagieren, bevor Sie etwas veröffentlichen (Richtwert: 90 Tage)
Kein Schaden an unseren Daten, Diensten oder Kunden
Kein Brute Force, keine Angriffe mit viel Datenverkehr, keine Täuschung (Social Engineering) unserer Mitarbeitenden oder Kunden
Testen Sie nur mit Ihrem eigenen Konto oder einem Testkonto. Fragen Sie uns, wenn Sie ein Testkonto brauchen.
Wenn Sie an Daten anderer gelangen, melden Sie das sofort und laden Sie sie nicht herunter

6. Geltungsbereich

Im Geltungsbereich:

tromptech.nl und alle Subdomains
Der Arbeitsbereich von TrompTech Layer (app.tromptech.nl)
Unsere API-Adressen (/api/*)
Unsere Automatisierungen, die über eine direkte Adresse erreichbar sind

Außerhalb des Geltungsbereichs:

Websites, die wir für Kunden unter einer eigenen Domain gebaut haben
Dienste Dritter, die wir nutzen (etwa Vercel, Supabase und OpenAI): Melden Sie diese direkt dort
Unsere Verwaltungsumgebung (dafür ist eine Berechtigung nötig, Untersuchungen sind daher nicht möglich)

7. Kontakt

Siehe auch: Dokumente und Vereinbarungen und Datenschutzerklärung.