Schwachstelle melden

Sie haben eine Schwachstelle in noveu.eu oder in einem unserer Dienste gefunden? Dann möchten wir davon erfahren. Diese Richtlinie beschreibt, wie Sie eine Schwachstelle verantwortungsvoll melden und was Sie von uns erwarten können. Wir folgen dabei dem Leitfaden Coordinated Vulnerability Disclosure des niederländischen Nationaal Cyber Security Centrum (NCSC).

Worauf sich diese Richtlinie bezieht

Die folgenden Systeme und Domains fallen unter diese Richtlinie:

noveu.eu (die Website)
*.noveu.eu (Subdomains, die Noveu Solutions verwaltet, darunter app.noveu.eu, api.noveu.eu, portal.noveu.eu und webmail.noveu.eu)
Offizielle mobile Apps von Noveu (sobald diese verfügbar sind)
Unsere öffentlichen API-Endpunkte

Was nicht unter diese Richtlinie fällt

Dienste Dritter, die wir nutzen, etwa Cloudflare, Hetzner und Stripe. Melden Sie diese direkt beim jeweiligen Anbieter.
Social Engineering, Phishing und Angriffe auf die physische Sicherheit von Noveu oder ihrer Mitarbeiter.
(Distributed-)Denial-of-Service-Angriffe und Stresstests.
Spam, das Einschleusen von Inhalten in öffentliche Suchergebnisse und SEO-Fragen.
Meldungen über Best Practices ohne nachweisbares Sicherheitsrisiko, etwa ein fehlender SPF- oder DMARC-Eintrag auf einer Domain, die keine E-Mails versendet, fehlende Sicherheits-Header ohne konkrete Auswirkung oder Präferenzen für TLS-Cipher.
Self-XSS und Probleme, die nur in veralteten Browsern auftreten.
Ausgaben automatisierter Scanner ohne eigene Prüfung.

So melden Sie eine Schwachstelle

Senden Sie Ihre Meldung an security@noveu.eu. Das ist die einzige Meldeadresse.

Geben Sie in Ihrer Meldung an:

eine klare Beschreibung der Schwachstelle und ihrer Auswirkung;
die Schritte, um das Problem nachzustellen, einen Proof of Concept oder einen anderen Nachweis;
das System oder die URL, in dem bzw. unter der Sie die Schwachstelle gefunden haben;
gegebenenfalls Vorschläge zur Behebung des Problems.

Was Sie von uns erwarten können

Erste Reaktion: Innerhalb von 5 Werktagen nach Eingang Ihrer Meldung erhalten Sie eine erste Reaktion von uns.
Behebung: Wir arbeiten an einer Lösung. Wie lange das dauert, hängt von der Schwere und der Komplexität ab.
Veröffentlichung: Wir vereinbaren mit Ihnen, ob, wann und wie die Schwachstelle veröffentlicht wird. Als Richtwert gelten 90 Tage nach Ihrer Meldung, in Absprache.

Safe Harbor

Melden Sie in gutem Glauben und halten Sie sich an die nachstehenden Bedingungen, dann erstatten wir keine Strafanzeige und ergreifen keine rechtlichen Schritte gegen Sie. Das folgt Coordinated Vulnerability Disclosure: de Leidraad des NCSC (November 2017, abgerufen am 29. September 2026). Diese Zusage bindet nur Noveu: Das Openbaar Ministerie (die niederländische Staatsanwaltschaft) entscheidet selbst, ob es eine Strafverfolgung einleitet, wie auch das NCSC angibt.

Die Bedingungen:

Sie bleiben innerhalb des Geltungsbereichs und der Ausschlüsse dieser Richtlinie.
Sie entnehmen keine Kundendaten und ändern oder vernichten sie nicht. Sie weisen die Auswirkung mit so wenig Zugriff wie möglich nach und hören auf, sobald die Schwachstelle bestätigt ist.
Sie respektieren die Privatsphäre der Nutzer.
Sie geben uns angemessen Zeit, das Problem zu beheben, bevor die Schwachstelle veröffentlicht wird (Richtwert 90 Tage, in Absprache).
Sie stören die Plattform nicht und machen Dienste für unsere Kunden nicht unerreichbar.

Belohnung

Noveu gewährt keine Belohnung für Meldungen, auch keine finanzielle Bug Bounty.

Kontakt

Sicherheit: security@noveu.eu
Datenschutz und DSGVO: privacy@noveu.eu
security.txt: https://noveu.eu/.well-known/security.txt
English version: /legal/vulnerability-disclosure

Zuletzt aktualisiert: 21. Oktober 2026.