Sicherheit bei Tapbell

1. So meldest du eine Schwachstelle

Schreib eine E-Mail an security@tapbell-page.com mit dem Betreff „Sicherheit“. Hilfreich sind:

• was betroffen ist: Adresse der Seite, App mit Versionsnummer oder das Tapbell-Gerät,
• die Schritte, mit denen sich die Lücke nachvollziehen lässt,
• was ein Angreifer damit erreichen könnte,
• wie wir dich für Rückfragen erreichen.

Schick uns bitte keine Passwörter, Zugangsschlüssel oder Daten anderer Personen. Bist du beim Testen auf solche Daten gestoßen, beschreib nur, welche Art von Daten es war.

Wird eine Lücke gerade aktiv ausgenutzt, ruf uns zusätzlich an: +49 178 6534372. Ein verschlüsselter Meldeweg (etwa per PGP) steht derzeit nicht bereit.

2. Was wir dir zusagen

• Eingangsbestätigung innerhalb von drei Werktagen.
• Erste Einschätzung innerhalb von sieben Tagen: ob wir die Lücke nachvollziehen können und wie schwer sie wiegt.
• Behebung so schnell wie möglich. Kritische und schwere Lücken haben Vorrang; unser Ziel sind höchstens 30 Tage, für alle übrigen höchstens 90 Tage. Bis dahin hörst du regelmäßig von uns.
• Veröffentlichung stimmen wir mit dir ab. Ohne andere Absprache gilt: frühestens nach der Behebung, spätestens 90 Tage nach deiner Meldung.
• Nennung: Auf Wunsch nennen wir dich nach der Behebung als Finder. Ein Prämienprogramm (Bug Bounty) gibt es nicht.

3. Was dazugehört

• die Website tapbell-page.com mit allen Unterseiten, dem Dashboard und der Gästeseite,
• die Tapbell-Apps für iOS und Android,
• das Tapbell-Gerät auf dem Tisch und das Tapbell-Relais, sobald sie verkauft werden,
• die Server-Teile, die Gerät und Apps brauchen: Ruf, Gerätekonfiguration, Einrichtung, Updates und Push.

Lücken in Diensten anderer Anbieter, die wir nutzen (zum Beispiel Zahlung, Hosting, E-Mail), meldest du bitte direkt dem jeweiligen Anbieter. Wenn du unsicher bist, schreib uns trotzdem; wir leiten weiter.

4. Spielregeln beim Testen

• Teste nur mit deinem eigenen Konto oder einem Testkonto.
• Ruf keine Daten anderer ab, ändere oder lösche sie nicht. Hör auf, sobald du die Lücke belegen kannst.
• Keine Last- oder Überlastungstests, kein Spam, keine Täuschung von Mitarbeitern oder Gästen, keine Eingriffe in den Betrieb eines Restaurants.
• Behalte die Lücke für dich, bis sie behoben ist oder die Frist aus Abschnitt 2 abgelaufen ist.

Wer sich an diese Regeln hält und in gutem Glauben handelt, gegen den stellen wir keine Strafanzeige und machen keine Ansprüche geltend.

5. Wenn doch etwas passiert

Kommt es zu einem Sicherheitsvorfall, informieren wir die betroffenen Restaurants unverzüglich. Verletzungen des Schutzes personenbezogener Daten melden wir fristgerecht der zuständigen Datenschutzaufsicht, dem Unabhängigen Landeszentrum für Datenschutz Schleswig-Holstein. Aktiv ausgenutzte Schwachstellen in unseren Apps und Geräten melden wir nach dem Cyber Resilience Act über die Meldeplattform der EU-Agentur für Cybersicherheit (ENISA).

Sicherheitsupdates für die Website und die Apps spielen wir laufend und ohne Aufpreis ein. Tapbell-Gerät und Relais bekommen mindestens fünf Jahre ab Kauf kostenlose Sicherheitsupdates, signiert und automatisch über das Netz.

Maschinenlesbar stehen diese Angaben auch unter /.well-known/security.txt. Wie wir Daten schützen, steht unter Datensicherheit und in der Datenschutzerklärung.