Sicherheit
Hinweise auf Sicherheitslücken nehmen wir ernst. Hier erfahren Sie, wie Sie eine Schwachstelle melden und was Sie von uns erwarten können.
Verantwortlich: SERVIT Software Solutions, Christof Servit, 2152 Zwentendorf, Österreich · Impressum
Eine Schwachstelle melden
Bitte melden Sie Sicherheitsprobleme nicht über öffentliche Issues, Foren, Bewertungen oder das normale Support-Postfach.
E-Mail: security@servit.dev
Hilfreich für die Bearbeitung:
- betroffenes Produkt und Version
- Beschreibung der Schwachstelle und ihrer Auswirkung
- Schritte zur Reproduktion oder ein Proof of Concept
- Hinweise darauf, ob die Lücke bereits ausgenutzt wird
- Ihre Kontaktdaten und ob Sie in den Credits genannt werden möchten
Bitte übermitteln Sie keine personenbezogenen Daten Dritter und keine echten Kundendaten.
Was Sie von uns erwarten können
| Schritt | Zeitrahmen |
|---|---|
| Empfangsbestätigung | 3 Werktage |
| Erste Einschätzung | 10 Werktage |
| Statusmeldung | mindestens alle 14 Tage |
| Zielwert für einen Fix | 90 Tage, bei hohem Schweregrad früher |
Diese Zeiten beziehen sich auf unsere Geschäftszeiten: Montag bis Freitag, 09:00–17:00 Uhr (MEZ/MESZ), ausgenommen österreichische Feiertage. Das Postfach security@servit.dev wird durchgehend überwacht — Meldungen zu aktiv ausgenutzten Schwachstellen bearbeiten wir unabhängig von den Geschäftszeiten unverzüglich.
Wir informieren Sie, bevor wir eine Korrektur veröffentlichen, und nennen Sie auf Wunsch in den Release-Notes.
Unterstützte Produkte
Sicherheitsupdates erhalten die jeweils aktuelle Hauptversion sowie alle Versionen innerhalb ihres angegebenen Supportzeitraums. Den Supportzeitraum finden Sie auf der jeweiligen Produktseite.
Rahmen für Sicherheitstests
Erlaubt: Tests gegen eigene Installationen unserer Produkte.
Nicht erlaubt:
- Angriffe auf Systeme Dritter oder auf unsere Produktivsysteme
- Denial-of-Service und Lasttests
- Social Engineering gegen uns, unsere Kunden oder Dienstleister
- Zugriff auf, Veränderung oder Weitergabe fremder Daten
- Spam, Massen-Scans oder automatisierte Tests gegen unsere Infrastruktur
Bitte geben Sie uns eine angemessene Frist zur Behebung, bevor Sie Details veröffentlichen. Wir betreiben kein Bug-Bounty-Programm und zahlen keine Prämien; Meldungen, die diesen Rahmen einhalten, verfolgen wir nicht rechtlich.
Behördliche Meldung
Als Hersteller im Sinne der Verordnung (EU) 2024/2847 (Cyber Resilience Act) melden wir aktiv ausgenutzte Schwachstellen unserer Produkte über die Single Reporting Platform der ENISA an das zuständige CSIRT. Ihre Meldung kann damit eine gesetzliche Meldepflicht auslösen.
Maschinenlesbare Angaben
security.txt nach RFC 9116
English
Report security issues to security@servit.dev — please do not use public issues, forums or the general support inbox. Include the affected product and version, a description of the issue and its impact, reproduction steps, any indication that the flaw is already being exploited, and how you would like to be credited.
We acknowledge within 3 business days, provide an initial assessment within 10 business days, update you at least every 14 days, and target a fix within 90 days depending on severity. We notify you before publishing a correction. Business hours are Monday to Friday, 09:00–17:00 CET/CEST, excluding Austrian public holidays. The security@servit.dev inbox is monitored continuously; reports of actively exploited vulnerabilities are handled without delay regardless of business hours.
Testing against your own installations is permitted. Attacks on third-party or production systems, denial of service, social engineering, and accessing, altering or disclosing other people’s data are not. We do not run a bug bounty programme. Please allow reasonable time for remediation before public disclosure.
As a manufacturer under Regulation (EU) 2024/2847 (Cyber Resilience Act) we report actively exploited vulnerabilities in our products to the competent CSIRT via the ENISA Single Reporting Platform.
Letzte Aktualisierung: 07.09.2026