Kurz: Sicherheitslücken in unseren Produkten oder auf dieser Website melden Sie bitte per E-Mail an info@aloaha.com, Betreff „Sicherheit“. Wir bestätigen den Eingang innerhalb von zwei Werktagen, bewerten die Meldung, beheben die Lücke und stimmen die Veröffentlichung mit Ihnen ab. Aktiv ausgenutzte Schwachstellen melden wir nach dem Cyber Resilience Act (Verordnung (EU) 2024/2847) an die zuständigen Behörden. Die maschinenlesbare Kontaktdatei finden Sie unter /.well-known/security.txt.
Für welche Produkte gilt diese Richtlinie?
- Aloaha ZUGFeRD SDK (
Aloaha_ZUGFeRD.dll, auch als NuGet-Paket) und das Kommandozeilenwerkzeug zugcmd - Aloaha ZUGFeRD GUI und Convert2PDFA
- Aloaha ZUGFeRD PDF Viewer (PDF Editor)
- die Installationsprogramme und Downloads dieser Produkte
- die Website www.zugferdpro.com
Für andere Produkte von Aloaha Limited und CodeB nehmen wir Meldungen unter derselben Adresse entgegen.
So melden Sie eine Sicherheitslücke
Schreiben Sie an info@aloaha.com, gern auf Deutsch oder Englisch. Hilfreich sind:
- betroffenes Produkt und Version (z. B. aus den Dateieigenschaften der DLL)
- eine Beschreibung der Lücke und ihrer möglichen Auswirkung
- die Schritte zum Nachvollziehen, gern mit einer Beispieldatei (Rechnung, PDF, XML)
- ob Ihnen bekannt ist, dass die Lücke bereits ausgenutzt wird
- wie wir Sie erreichen und ob Sie namentlich genannt werden möchten
Bitte senden Sie keine echten Rechnungs- oder Kundendaten. Anonymisierte Beispieldateien genügen.
Was nach Ihrer Meldung passiert
| Schritt | Frist |
|---|---|
| Eingangsbestätigung | innerhalb von 2 Werktagen |
| Erste Bewertung (Schweregrad, betroffene Versionen) | innerhalb von 5 Werktagen |
| Korrektur bei kritischen Lücken | Ziel: innerhalb von 7 Tagen |
| Korrektur bei hohem Schweregrad | Ziel: innerhalb von 30 Tagen |
| Korrektur bei mittlerem oder niedrigem Schweregrad | mit einem der nächsten Updates, spätestens nach 90 Tagen |
Den Schweregrad bewerten wir nach dem Common Vulnerability Scoring System (CVSS). Wir halten Sie über den Stand auf dem Laufenden und sagen Ihnen, wenn wir eine Frist nicht halten können.
Meldung an Behörden (Cyber Resilience Act)
Erfahren wir, dass eine Schwachstelle in einem unserer Produkte aktiv ausgenutzt wird, oder tritt ein schwerwiegender Sicherheitsvorfall auf, melden wir das über die Meldeplattform der ENISA an das zuständige CSIRT:
- Frühwarnung innerhalb von 24 Stunden
- Meldung innerhalb von 72 Stunden
- Abschlussbericht spätestens 14 Tage, nachdem eine Korrektur verfügbar ist (bei schwerwiegenden Vorfällen innerhalb eines Monats)
Betroffene Kunden informieren wir über die Lücke und die Korrektur.
Sicherheitsupdates
Sicherheitskorrekturen erscheinen für die aktuelle Hauptversion 11 und werden in der Versionsgeschichte auf der Download-Seite aufgeführt. Mit gültigem Wartungsvertrag ist das Update kostenlos.
Koordinierte Offenlegung
Bitte veröffentlichen Sie Details zu einer Lücke erst, wenn eine Korrektur verfügbar ist, oder nach Absprache mit uns, spätestens jedoch 90 Tage nach Ihrer Meldung. Wir nennen Sie auf Wunsch in der Versionsgeschichte. Ein bezahltes Bug-Bounty-Programm bieten wir nicht an.
Regeln für Sicherheitsforschung
Wer in gutem Glauben nach Lücken sucht und sich an diese Regeln hält, muss von uns keine rechtlichen Schritte befürchten:
- Testen Sie mit eigenen Installationen und eigenen Testdaten, nicht mit fremden Systemen oder Daten.
- Keine Angriffe auf die Verfügbarkeit (Denial of Service), kein Social Engineering, kein Spam.
- Greifen Sie nur auf so viele Daten zu, wie für den Nachweis nötig ist, und löschen Sie sie danach.
- Geben Sie uns Zeit zur Korrektur, bevor Sie Details veröffentlichen.
Häufige Fragen
Wie melde ich eine Sicherheitslücke im Aloaha ZUGFeRD SDK?
Per E-Mail an info@aloaha.com mit dem Betreff „Sicherheit“: betroffene Version, Beschreibung, Schritte zum Nachvollziehen und, wenn möglich, eine anonymisierte Beispieldatei. Wir bestätigen den Eingang innerhalb von zwei Werktagen.
Gibt es eine security.txt?
Ja, unter https://www.zugferdpro.com/.well-known/security.txt nach RFC 9116. Sie nennt die Kontaktadresse und verweist auf diese Richtlinie.
Wie schnell werden Sicherheitslücken behoben?
Kritische Lücken mit dem Ziel innerhalb von 7 Tagen, Lücken mit hohem Schweregrad innerhalb von 30 Tagen, alle übrigen spätestens nach 90 Tagen. Den Schweregrad bewerten wir nach CVSS.
Werden Schwachstellen an Behörden gemeldet?
Ja. Aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden wir nach dem Cyber Resilience Act über die ENISA-Meldeplattform: Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden, danach ein Abschlussbericht.
Gibt es ein Bug-Bounty-Programm?
Nein. Wir nennen Meldende auf Wunsch in der Versionsgeschichte.