Sicherheitslücken melden

Stand: 22. Oktober 2026 · Version 1.0

Wenn Sie eine Schwachstelle in Pfotenwetter gefunden haben, freuen wir uns über Ihre Meldung und arbeiten gern mit Ihnen an einer koordinierten Lösung.

Hersteller: MDDX Digital Solutions UG (haftungsbeschränkt), Eichholzstraße 20a, 45475 Mülheim an der Ruhr, Deutschland

So erreichen Sie uns

• E-Mail: [email protected], bei Bedarf verschlüsselt mit unserem OpenPGP-Schlüssel (Fingerabdruck 5726 97CB 1DC4 1F5E 1D53 7E85 2A4A A2DE 7DD6 0FDA)
• Telefon: +49 208 7578003, werktags 9–17 Uhr, bitte Rückrufnummer nennen
• Post: an die oben genannte Anschrift, Stichwort „Sicherheit“

Wir antworten auf Deutsch oder Englisch. Bitte nennen Sie nach Möglichkeit das betroffene Produkt und die Version, eine Beschreibung mit möglichen Auswirkungen, Schritte zur Reproduktion ohne echte Nutzerdaten und ob Sie namentlich genannt werden möchten.

Geltungsbereich

• Pfotenwetter-App für iOS und Android
• diese Webseite und die Schnittstellen unter pfotenwetter.app

Nicht im Geltungsbereich sind Dienste von Drittanbietern (etwa App Stores oder Wetterdienste), Denial-of-Service-Tests, Social Engineering, physische Angriffe und Ergebnisse automatisierter Scanner ohne Nachweis der Ausnutzbarkeit.

Was Sie von uns erwarten können

• Eingangsbestätigung innerhalb von 3 Werktagen
• erste Einschätzung innerhalb von 10 Werktagen
• Statusupdates mindestens alle 14 Tage
• Behebung (Ziel): kritisch 7 Tage, hoch 30 Tage, mittel 90 Tage, niedrig im nächsten regulären Update
• Veröffentlichung koordiniert mit Ihnen, in der Regel nach Verfügbarkeit des Updates, spätestens 90 Tage nach Ihrer Meldung

Sicherheitsupdates sind kostenlos. Aktiv ausgenutzte Schwachstellen melden wir gemäß Cyber Resilience Act (Verordnung (EU) 2024/2847) an das BSI (CERT-Bund) und die ENISA.

Unsere Bitte und unsere Zusage

Greifen Sie nur auf so viele Daten zu, wie für den Nachweis nötig ist, verändern oder löschen Sie nichts und beeinträchtigen Sie den Betrieb nicht. Geben Sie Details erst weiter, wenn die Lücke behoben ist oder wir die Veröffentlichung gemeinsam vereinbart haben.

Wenn Sie in gutem Glauben und im Rahmen dieser Richtlinie handeln, leiten wir keine zivilrechtlichen Schritte ein und stellen keine Strafanzeige. Diese Zusage bindet nur uns. Ein Bug-Bounty-Programm gibt es nicht. Auf Wunsch danken wir Ihnen namentlich.

Ihre Kontaktdaten und Meldungsinhalte verarbeiten wir nur zur Bearbeitung der Meldung (Art. 6 Abs. 1 lit. c und f DSGVO), siehe Datenschutzerklärung.