Sicherheit

1. Meldeweg

Senden Sie Meldungen zu Sicherheitslücken an security@nyxory.com. Verschlüsseln Sie gern mit PGP; einen PGP-Schlüssel veröffentlichen wir, sobald wir einen ausgeben. Veröffentlichen Sie Schwachstellen nicht in GitHub-Issues, auf in sozialen Medien oder anderen öffentlichen Kanälen, bevor wir geantwortet haben.

Während der offenen Beta bestätigen wir den Eingang von Meldungen möglichst innerhalb von 72 Stunden. Wir halten Sie über Bewertung, Behebung und den Zeitpunkt der Veröffentlichung auf dem Laufenden. Die Reaktionszeiten werden mit der Gründung der GmbH kürzer.

2. Geltungsbereich

Im Geltungsbereich:

• nyxory.com und die von uns betriebenen Subdomains (ausgenommen Kundenanwendungen unter *.nyxory.app)
• Die nyxory-Console, die Control-Plane-APIs und der MCP-Server
• Authentifizierung, Autorisierung, Mandantentrennung, Umgang mit Secrets
• Server-Side Request Forgery, Injection, Deserialisierung oder Path Traversal in unserem Code
• Datenabfluss zwischen Mandanten

Außerhalb des Geltungsbereichs:

• Auf nyxory gehostete Kundenanwendungen (das sind Inhalte Dritter; melden Sie Sicherheitslücken dem jeweiligen Kunden)
• Infrastruktur von Infomaniak oder Hetzner, vorgelagerte LLM-Anbieter oder Dienste anderer Unterauftragsverarbeiter
• Best-Practice-Befunde ohne ausnutzbare Auswirkung (z. B. fehlende CSP-Header ohne echte Angriffskette)
• Selbst herbeigeführte Überlastung (Self-DoS), Missbrauch von Rate Limits, Social Engineering gegenüber unseren Mitarbeitenden, physische Angriffe
• Schwachstellen, die nur über veraltete Browser von Endnutzern ausnutzbar sind (älter als aktuelle Version minus 2)
• Probleme, die bereits anderswo öffentlich bekannt gemacht wurden

3. Safe Harbor

Wenn Sie in gutem Glauben und innerhalb des oben genannten Geltungsbereichs handeln und über den oben genannten Kanal melden, gehen wir wegen Ihrer Forschung weder zivil- noch strafrechtlich gegen Sie vor. Dieser Safe Harbor gilt nicht für:

• Zugriff auf Kundendaten, deren Veränderung, Ausleitung oder Zerstörung über das hinaus, was zum Nachweis der Schwachstelle unbedingt erforderlich ist
• Anhaltendes automatisiertes Scannen, das die Verfügbarkeit der Plattform beeinträchtigt
• Social Engineering gegenüber Mitarbeitenden, Nutzern oder Dritten
• Veröffentlichung vor einer abgestimmten Behebung
• Handlungen, die gegen §§ 202a, 202b, 202c, 303a, 303b StGB oder vergleichbare Computerstrafvorschriften des für Sie geltenden Rechts verstoßen würden

4. Noch kein Bug-Bounty

Wir betreiben derzeit kein bezahltes Bug-Bounty-Programm. Sobald wir eine öffentliche Danksagungsseite einrichten, können wir Sie dort mit Ihrer Zustimmung nennen. Wenn Sie etwas Wesentliches entdecken, sprechen wir im Einzelfall über eine Anerkennung (Hall of Fame, schriftliche Referenz, Merchandise). Eine Zahlung wird nicht geschuldet.

5. Offenlegung

Wir verfolgen den Ansatz der koordinierten Offenlegung (Coordinated Disclosure). Sobald eine Schwachstelle behoben ist, dürfen Sie Ihre Ergebnisse veröffentlichen. Wir bitten Sie, nach der Behebung mindestens 14 Tage bis zur Veröffentlichung zu warten und keine Details offenzulegen, die eine erneute Ausnutzung gegen Kunden, die noch nicht aktualisiert haben, wesentlich erleichtern würden.

6. Best Effort, keine Garantie

Diese Richtlinie gehört zu unserer Arbeitsweise; sie ist keine Sicherheitsgarantie. Der Dienst wird nach bestem Bemühen (Best Effort) bereitgestellt, wie in §§ 6.2 und 6.4 der AGB geregelt. Eine Zusammenfassung unserer Sicherheitsmaßnahmen enthält außerdem § 6 der Datenschutzerklärung.