Sicherheit & Coordinated Disclosure

MandateOS verarbeitet sensible Daten politischer Kampagnen - Spenderlisten, Finanzen, GPS-Routen, Wählerstimmungsdaten. Sicherheitsforschung an unserem System ist ausdrücklich willkommen. Diese Seite erklärt, wie du Lücken verantwortungsvoll meldest und welche Zusagen wir dir geben.

Meldewege

Was wir versprechen

  • Wir antworten innerhalb von 72 Stunden auf jede in gutem Glauben gemeldete Schwachstelle.
  • Wir verfolgen keine rechtlichen Schritte gegen Sicherheitsforscher, die sich an die unten stehenden Regeln halten - auch nicht nach §202a/§202c StGB. Kein Strafantrag, keine Abmahnung, keine Schadenersatzforderung.
  • Wir nennen dich auf Wunsch in unserer Acknowledgments-Liste.
  • Wir kommunizieren transparent nach Behebung - du erhältst eine Benachrichtigung mit Zeitleiste und Behebungsdetails.

Spielregeln

  • Nutze ausschließlich Test-Accounts oder selbst angelegte Kampagnen - keine Daten anderer Nutzer einsehen, herunterladen oder verändern.
  • Keine DoS-Tests, keine Spam-/Phishing-Angriffe gegen unsere Nutzer, keine Social-Engineering-Versuche gegen Mitarbeiter.
  • Wenn du versehentlich auf personenbezogene Daten anderer stößt: stoppe, lösche lokale Kopien, melde es uns.
  • Halte deinen Bericht 90 Tage vertraulich, damit wir Zeit für die Behebung haben. Danach kannst du veröffentlichen.

In Scope

  • mandateos.de und alle Subdomains
  • Die Backend-APIs des MandateOS-Projekts
  • Die iOS-App
  • Edge Functions und Storage Buckets

Out of Scope

  • Eingesetzte Drittanbieter-/Infrastruktur-Dienste (z. B. Datenbank-, Hosting-, E-Mail- und KI-Dienstleister)
  • Selbstgehostete oder Fork-Versionen des Codes
  • Theoretische Angriffe ohne praktischen PoC
  • Fehlende Best-Practice-Header ohne demonstrierbare Auswirkung

MandateOS ist privat finanziert und betreibt aktuell kein bezahltes Bug-Bounty-Programm. Wir bedanken uns mit Anerkennung und - wo angemessen - mit einem MandateOS-Hoodie. Eine bezahlte Bounty kann ggf. fallweise vereinbart werden.