Sicherheitslücke melden

Stand: Oktober 2026

Wir möchten von Sicherheitslücken in Waffenschrank erfahren, bevor jemand sie ausnutzt – in der App für iPhone, iPad und Android, in der Web-App, auf dieser Website und in den Servern dahinter. Wer eine Schwachstelle findet und sie uns zuerst meldet, schützt alle, die der App ihren Bestand anvertrauen.

So meldest du eine Lücke

Schreib an kontakt@waffenschrank.app, gern mit dem Betreff „Sicherheit“, auf Deutsch oder Englisch. Hilfreich sind:

welcher Teil betroffen ist (App mit Version und Gerät, Web-App, Website, Adresse)
die Schritte, mit denen sich die Lücke nachvollziehen lässt
was ein Angreifer damit erreichen könnte
ob du Hinweise hast, dass sie schon ausgenutzt wird
wie wir dich für Rückfragen erreichen

Dieselben Angaben in maschinenlesbarer Form stehen unter /.well-known/security.txt.

Was wir zusagen

Wir bestätigen den Eingang innerhalb von drei Werktagen.
Eine erste Einschätzung bekommst du innerhalb von zehn Werktagen.
Wir halten dich auf dem Laufenden, bis die Lücke geschlossen ist.
Wann Einzelheiten veröffentlicht werden, stimmen wir mit dir ab. Richtwert sind 90 Tage nach deiner Meldung oder die Behebung, je nachdem, was früher kommt.
Auf Wunsch nennen wir dich nach der Behebung als Finder.
Wird eine Lücke aktiv ausgenutzt, melden wir das, wie es der Cyber Resilience Act der EU verlangt, und informieren die betroffenen Nutzer.

Regeln für deine Tests

Teste nur mit deinem eigenen Konto und deinen eigenen Daten.
Ruf keine Daten anderer Personen ab und verändere oder lösche sie nicht. Stößt du versehentlich darauf, hör sofort auf, behalte nichts und sag es uns.
Keine Last- oder Überlastungstests, kein Spam, keine automatisierten Massenabfragen.
Keine Täuschung von Menschen (Social Engineering) und keine Angriffe auf Personen oder Räume.
Behalte Einzelheiten für dich, bis die Lücke geschlossen ist.

Wenn du dich daran hältst

Wer in gutem Glauben nach diesen Regeln forscht und uns die Lücke zuerst meldet, gegen den unternehmen wir wegen dieser Forschung keine rechtlichen Schritte und erstatten keine Strafanzeige.

Diese Zusage gilt nur für uns. Sie bindet keine Behörde und keine anderen Unternehmen, deren Dienste wir nutzen – etwa Apple, Google, Cloudflare oder Supabase; für deren Systeme gelten deren eigene Regeln.

Was nicht hierher gehört

Wir zahlen keine Prämien; ein Bug-Bounty-Programm gibt es nicht.
Fragen zur Bedienung und Fehler ohne Sicherheitsbezug: Support.
Rechtswidrige Inhalte in einer Vitrine oder auf einer Vereinsseite meldest du nach den Nutzungsbedingungen für Vitrinen.

Sicherheitshinweise

Hinweise zu geschlossenen Lücken, die Nutzer betreffen, veröffentlichen wir auf dieser Seite. Stand Oktober 2026: keine.

Kontakt

tap & type UG (haftungsbeschränkt), kontakt@waffenschrank.app; die Anschrift steht im Impressum.