Richtlinie zur Meldung von Sicherheitslücken

Stand: 16. Oktober 2026

Die National Company for Industrial Equipment Marketing NCIEM UG (haftungsbeschränkt) begrüßt Hinweise auf Sicherheitslücken in nciem.de. Wenn Sie glauben, eine gefunden zu haben, schreiben Sie uns bitte an [email protected] mit dem Betreff „Sicherheitslücke“. Wir arbeiten gemeinsam mit Ihnen daran, sie zu bestätigen und zu beheben.

1. Unser Ansatz

Gute Sicherheit beruht auf gegenseitigem Vertrauen zwischen uns und den Menschen, die uns Probleme melden. Ihre Hinweise helfen uns, die Konten, Bestellungen und Zahlungsdaten unserer Kunden zu schützen. Wir nehmen Meldungen von allen entgegen: unabhängigen Sicherheitsforschern, Kunden, Lieferanten, Partnern und Beratern.

Eine Sicherheitslücke ist eine unbeabsichtigte Schwachstelle, die genutzt werden könnte, um die Vertraulichkeit, Integrität oder Verfügbarkeit unserer Website, Systeme oder Daten zu beeinträchtigen.

2. Geltungsbereich

Im Geltungsbereich:

• https://nciem.de mit allen Seiten, einschließlich des deutschen und englischen Shops, der Kundenkonten, des Warenkorbs, des Bestellabschlusses und des Formulars „Vertrag widerrufen“;
• weitere Systeme, die die NCIEM UG für nciem.de betreibt.

Nicht im Geltungsbereich:

• Websites anderer NCIEM-Gesellschaften (nciem.us, nciem.com), die eigene Ansprechpartner haben;
• Dienste Dritter, die wir nutzen, etwa PayPal, Stripe, LiveChat, Google Maps, Cloudflare, GoDaddy, Microsoft 365 und Mailgun. Bitte melden Sie Probleme in diesen Diensten direkt dem jeweiligen Anbieter;
• Befunde ohne realistische Sicherheitsauswirkung, zum Beispiel fehlende Security-Header ohne funktionierenden Exploit, Self-XSS, Clickjacking auf Seiten ohne sicherheitsrelevante Aktionen oder angezeigte Software-Versionen;
• Ergebnisse automatisierter Scanner, die Sie nicht selbst verifiziert haben.

3. So melden Sie eine Sicherheitslücke

Senden Sie Ihre Meldung auf Deutsch oder Englisch an [email protected] mit dem Betreff „Sicherheitslücke“, damit sie sofort an die richtige Person weitergeleitet wird. Bitte geben Sie an:

• die betroffene URL oder Komponente;
• eine Beschreibung der Sicherheitslücke und ihrer möglichen Auswirkungen;
• die Schritte zur Reproduktion, nach Möglichkeit mit Screenshots oder einem Proof of Concept;
• Ihre Kontaktdaten, wenn Sie eine Antwort oder eine Nennung wünschen.

Bitte melden Sie Sicherheitslücken nicht über den Live-Chat, soziale Medien oder öffentliche Bewertungsfunktionen.

4. Unsere Zusagen an Sie

• Vertrauen: Wir behandeln Ihre Meldung und Ihre Identität vertraulich und geben sie ohne Ihre Zustimmung nicht weiter, soweit das Gesetz nichts anderes verlangt.
• Respekt: Wir begegnen allen, die in gutem Glauben melden, mit Respekt und nennen Sie mit Ihrem Einverständnis als Dank auf dieser Seite.
• Transparenz: Wir bestätigen den Eingang innerhalb von 3 Werktagen, geben Ihnen innerhalb von 10 Werktagen eine erste Einschätzung und halten Sie bis zur Behebung auf dem Laufenden.
• Gemeinwohl: Wir beheben bestätigte Sicherheitslücken so schnell, wie es ihre Schwere erfordert – der Schutz betroffener Kunden steht an erster Stelle.

Belohnungen (Bug Bounties) zahlen wir derzeit nicht.

5. Was wir von Ihnen erwarten

• Vertrauen: Geben Sie uns angemessene Zeit, das Problem zu beheben, bevor Sie es anderen mitteilen. Wir schlagen 90 Tage ab Ihrer Meldung vor – oder nach Absprache früher, sobald eine Korrektur live ist.
• Respekt: Vermeiden Sie Verletzungen der Privatsphäre, Störungen des Shops und die Zerstörung von Daten. Führen Sie keine Denial-of-Service-, Spam- oder Social-Engineering-Tests durch und greifen Sie weder unsere Mitarbeiter noch Lieferanten oder Räumlichkeiten an.
• Datenschutz: Greifen Sie nur auf so viele Daten zu, wie zum Nachweis der Sicherheitslücke nötig ist. Verwenden Sie eigene Testkonten. Stoßen Sie auf personenbezogene Daten anderer Personen, halten Sie an, speichern oder teilen Sie diese nicht und informieren Sie uns.
• Transparenz: Geben Sie uns ausreichend technische Details, um das Problem zu verstehen und zu reproduzieren.
• Gemeinwohl: Veröffentlichen oder nutzen Sie eine unbestätigte Sicherheitslücke nicht aus und gehen Sie nicht über das hinaus, was für Ihre Meldung erforderlich ist.

6. Rechtssicherheit (Safe Harbour)

Wenn Sie in gutem Glauben handeln und diese Richtlinie einhalten, betrachten wir Ihre Untersuchung als autorisiert. Wir werden deswegen keine rechtlichen Schritte gegen Sie einleiten und Sie nicht bei den Strafverfolgungsbehörden anzeigen. Geht ein Dritter wegen einer Untersuchung, die dieser Richtlinie entsprach, rechtlich gegen Sie vor, stellen wir klar, dass Ihr Handeln autorisiert war. Diese Richtlinie kann keine Tests von Systemen Dritter autorisieren.

Stand: 16. Oktober 2026 · National Company for Industrial Equipment Marketing NCIEM UG (haftungsbeschränkt) · Lohmühlenstraße 65 · 12435 Berlin · Deutschland · [email protected]