Autorisierung, Daten und unsere eigene Sicherheit

Autorisierung und Rechtsgrundlage

In Deutschland ist es strafbar, auf ein Computersystem zuzugreifen, für das man keine Berechtigung hat. Paragraf 202a des Strafgesetzbuchs (StGB) regelt das Ausspähen von Daten, die Paragrafen 202b, 202c und 303a ff. das Abfangen, die Vorbereitung und die Datenveränderung. Ein Penetrationstest ist nur legal, wenn die Person, die über das System verfügen darf, ihn vorher erlaubt hat.

Deshalb kommt die Unterschrift vor dem ersten Paket. Jeder Auftrag läuft unter einer schriftlichen Testvereinbarung des Eigentümers der Systeme. Sie nennt die genauen Ziele und Ausnahmen, unsere festen Source-IPs, die Testfenster und einen Emergency-Stop-Kontakt auf beiden Seiten. Verlangt Ihr Hoster oder Cloud-Anbieter eine Zustimmung für Tests in seiner Infrastruktur, holen wir sie gemeinsam mit Ihnen ein, bevor der Test beginnt. Wir prüfen, dass die Ziele der Partei gehören, die den Test autorisiert.

Wie wir mit Ihren Daten umgehen

Was wir haben, und wie lange

Während eines Auftrags haben wir das Attack-Surface-Inventar, die Scan-Ausgaben, die Belege für Findings und alle Testkonten, die Sie uns geben. Diese Arbeitsdaten löschen wir 90 Tage nach dem Abschlussgespräch, oder nach dem Retest, wenn Sie einen beauftragen, und auf Wunsch früher. Der endgültige Report und die unterschriebene Testvereinbarung werden drei Jahre aufbewahrt und dann gelöscht, damit wir Fragen zur Arbeit innerhalb der regelmäßigen Verjährungsfrist beantworten können. Buchhaltungsunterlagen bewahren wir für die gesetzlichen Fristen nach deutschem Steuer- und Handelsrecht auf.

Wie der Report zu Ihnen kommt

Reports liefern wir als verschlüsseltes Archiv. Das Passwort geht über einen getrennten Weg, den wir beim Scoping vereinbaren, standardmäßig per Telefon. PGP-verschlüsselte E-Mail ist auf Anfrage möglich. Einen Report oder ein Passwort schicken wir nie in einer einzigen unverschlüsselten Nachricht.

KI-gestützte Analyse

Tyvar ist KI-gestützt. Die KI-gestützte Analyse läuft bei einem Drittanbieter mit vertraglichen Datenschutzregeln. Alle Subprozessoren stehen im Auftragsverarbeitungsvertrag, den Sie auf Anfrage bekommen. Wir behaupten nicht, dass Ihre Daten Deutschland oder die EU nie verlassen. Das hängt von der jeweiligen Verarbeitung ab, und wir versprechen nichts, was wir für Ihren Auftrag nicht schriftlich geprüft haben.

Verträge

Eine gegenseitige Geheimhaltungsvereinbarung können wir unterschreiben, bevor Details zum Scope ausgetauscht werden. Ein Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO gehört zum Vertragswerk, sobald personenbezogene Daten verarbeitet werden können. Das ist bei authentifizierten Tests und bei den meisten Webanwendungen der Fall.

Unsere eigene Sicherheit

Der Auftrag für diese Website war, ein Beispiel für die Arbeit zu sein, die sie verkauft. Diese Website ist vollständig statisch, lädt nichts von Dritten, setzt eine strikte Content Security Policy ohne Inline-Skripte, spricht nur TLS 1.2 und 1.3 und sendet die HTTP-Sicherheitsheader, die Sie im Netzwerk-Tab Ihres Browsers selbst prüfen können. Das Kontaktformular verarbeitet ein kleiner Dienst, der nichts speichert, nur Statuscodes protokolliert und Mails über eine authentifizierte API verschickt, nie über SMTP. Unsere Domains verschicken überhaupt keine Mails und sagen das in ihrem DNS: ein Null-MX-Eintrag, ein restriktiver SPF-Eintrag und eine DMARC-Policy reject.

Responsible Disclosure

Wenn Sie glauben, eine Sicherheitslücke in den Systemen von Tyvar gefunden zu haben, sagen Sie es uns, bevor Sie es jemand anderem sagen, und wir arbeiten mit Ihnen zusammen. Schreiben Sie an [email protected], auf Deutsch oder Englisch. Beschreiben Sie das Problem und wie es sich reproduzieren lässt, und geben Sie uns angemessen Zeit für die Behebung, bevor Sie es veröffentlichen. Wir haben kein bezahltes Bug-Bounty-Programm, und wir gehen nicht rechtlich gegen Forschung in gutem Glauben vor, die sich an diese Regeln hält und nur unsere eigenen Systeme betrifft. Unsere maschinenlesbare Richtlinie steht unter /.well-known/security.txt.