Ein Sicherheitsproblem gefunden? Sag es uns. So geht es dann weiter.

Was diese Richtlinie abdeckt

Diese Richtlinie gilt für Software, die SecureEyes herstellt, und für Dienste, die SecureEyes betreibt. Sie gilt für die derzeit unterstützten Versionen: die aktuelle App-Store-Version der App, die Hub-Version im Update-Feed und die Dienste, wie sie heute laufen. Wenn du ein Problem in einer älteren Version gefunden hast, prüfe es zuerst mit der aktuellen; wenn es dort noch besteht, melde es.

• Die SecureEyes-App für iPhone, iPad und Mac, wie sie im App Store veröffentlicht ist.
• SecureEyes Hub: der Daemon sehub, sein Helfer mit erhöhten Rechten, seine Verwaltungsseite im Web und der Hub-Installer unter get.secureeyes.app.
• Das Relay unter relay.secureeyes.app und der Lizenzserver unter license.secureeyes.app.
• Diese Website, secureeyes.app, und der Update-Feed des Hubs unter updates.secureeyes.app.

So meldest du

E-Mail ist der einzige Kanal, und sie erreicht einen Menschen, keine Warteschlange. Melde eine Schwachstelle nicht über Bewertungen im App Store, soziale Medien oder ein öffentliches Ticket, wo ein Angreifer sie vor uns liest.

1. 01Schreib an security@secureeyes.app. Eine einfache E-Mail reicht. Wenn du lieber verschlüsselst, sag es in einer ersten Nachricht, und wir vereinbaren mit dir einen Schlüssel; einen PGP-Schlüssel veröffentlichen wir noch nicht, und Verschlüsselung ist nie Pflicht.
2. 02Nenne Produkt und Version: Version und Build der App (Einstellungen, Über), die Version des Hubs (seine Verwaltungsseite oder system/health) oder den Dienst und die Uhrzeit, zu der du das Problem gesehen hast.
3. 03Beschreib Schritt für Schritt, was du getan und was du gesehen hast, damit wir es reproduzieren können. Ein Proof of Concept, eine Anfrage mit Antwort oder ein Screenshot hilft. Schwärze vor dem Senden jedes Kamera-Passwort und jedes Videomaterial.
4. 04Sag, was ein Angreifer deiner Meinung nach damit tun könnte, und ob du Anzeichen hast, dass es schon ausgenutzt wird. Diese eine Zeile ändert, wie schnell wir handeln.
5. 05Sag uns, wie wir dich erreichen, und ob du namentlich genannt werden möchtest, wenn die Korrektur veröffentlicht wird.

Es gibt kein Bug-Bounty. Wir zahlen nicht für Meldungen, und wir sagen das lieber, als dich etwas anderes erwarten zu lassen. Wir beheben, was du findest, sagen dir, wenn es behoben ist, und nennen dich, wenn du das möchtest.

Was du von uns erwarten kannst

1. 01Eine Eingangsbestätigung innerhalb von 3 Arbeitstagen nach deiner E-Mail, von einem Menschen, mit einer Referenz, die du angeben kannst.
2. 02Eine erste Einschätzung innerhalb von 10 Arbeitstagen: ob wir es reproduzieren konnten, wie schwer wir es einstufen und was wir vorhaben.
3. 03Updates, während die Korrektur vorankommt, und eine Nachricht, wenn sie ausgeliefert ist. Wenn wir länger brauchen als geplant, sagen wir das, bevor der Termin verstreicht, nicht danach.
4. 04Eine mit dir abgestimmte Offenlegung. Das Standardfenster beträgt 90 Tage ab deiner Meldung. Wir veröffentlichen früher, wenn die Korrektur ausgeliefert ist und die Nutzer Zeit zum Aktualisieren hatten, und wir bitten eventuell um mehr Zeit, wenn eine Korrektur einen Release-Zyklus im App Store oder im Hub-Feed braucht; wir gehen nicht über 90 Tage hinaus, ohne dir zu sagen, warum.
5. 05Nennung, wenn du sie möchtest, in der veröffentlichten Notiz zur Korrektur. Wenn du lieber nicht genannt werden möchtest, nennen wir dich nicht.

Meldungen an diese Adresse werden von SecureEyes gelesen und bearbeitet. Wir können den technischen Inhalt einer Meldung mit einer Partei teilen, deren Code oder Dienst betroffen ist, zum Beispiel einem Kamerahersteller, damit es behoben wird; deine Identität geben wir nicht weiter, ohne dich zu fragen.

Safe Harbor für Forschung in gutem Glauben

Wir wollen von Leuten hören, die genau hinsehen. Wenn du SecureEyes in gutem Glauben untersuchst, die Regeln im nächsten Abschnitt befolgst und uns meldest, was du findest, gehen wir wegen dieser Forschung nicht rechtlich gegen dich vor, und wir melden sie nicht den Strafverfolgungsbehörden. Wenn ein Dritter, etwa ein Kamerahersteller oder ein Hosting-Anbieter, wegen Forschung, die diese Regeln befolgt hat, rechtlich gegen dich vorgeht, erklären wir öffentlich, dass deine Forschung nach dieser Richtlinie autorisiert war.

In gutem Glauben heißt: Du hast versucht, Schaden zu vermeiden, du hast nicht mehr genommen, als nötig war, um das Problem zu zeigen, du hast vertraulich behalten, was du gefunden hast, bis zur vereinbarten Offenlegung, und du hast es für nichts anderes genutzt. Diese Richtlinie ist kein Freibrief, gegen ein Gesetz zu verstoßen, und wir können keinen Zugriff auf Systeme erlauben, die nicht uns gehören.

Die Regeln

Forschung, die diese Regeln befolgt, fällt unter den Safe Harbor oben. Forschung, die das nicht tut, fällt nicht darunter.

• Teste nur mit Geräten, Kameras, Hubs und Konten, die dir gehören oder für die du eine ausdrückliche Erlaubnis hast, und mit der öffentlichen Website. Ein Test des Relays oder des Lizenzservers muss deinen eigenen Hub und deine eigene Lizenz verwenden.
• Greif nie auf Kamera, Videomaterial, Schnappschüsse, Ereignisse oder Anmeldedaten einer anderen Person zu, und sieh sie nicht an, nimm sie nicht auf und behalte sie nicht. Wenn eine Lücke dir das erlauben würde, hör auf, sobald du nachgewiesen hast, dass sie es würde, und melde sie. Führe es nicht an der Kamera eines anderen vor.
• Kein Denial of Service. Überflute nicht das Relay, den Lizenzserver, den Update-Feed oder die Website, und teste nicht, wie viel Last sie aushalten.
• Kein Social Engineering gegen SecureEyes, seine Hosting-Anbieter oder andere Nutzer. Kein Phishing, keine Anrufe unter Vorwand, keine Versuche, physischen Zugang zu bekommen.
• Sobald du auf personenbezogene Daten stößt, die nicht deine sind, auch Videomaterial, hör auf, behalte keine Kopie und melde es. Schreib in die Meldung, was du gesehen hast und dass du es gelöscht hast.
• Ändere, lösche oder platziere nichts auf einem System, das dir nicht gehört. Ein Proof of Concept liest; er schreibt nicht.
• Behalte, was du gefunden hast, für dich und uns, bis zum vereinbarten Offenlegungsdatum. Verkauf es nicht, veröffentliche es nicht früher, gib es nicht an Dritte weiter und nutze es nicht, um etwas zu fordern.

Außerhalb des Geltungsbereichs

Diese Dinge können wir nicht beheben, und eine Meldung dazu gehört an die Partei, die es kann. Wo wir wissen, wer das ist, sagen wir es dir.

• Kamera-Firmware sowie die eigenen Apps und Clouds der Kamerahersteller. SecureEyes spricht mit Kameras über ONVIF, RTSP und die HTTP-Schnittstellen der Hersteller; eine Lücke in der eigenen Software der Kamera muss der Hersteller beheben. Melde sie dort; viele haben eine eigene Sicherheitsseite.
• Der App Store, StoreKit, iCloud, der iCloud-Schlüsselbund und andere Apple-Systeme. Melde diese an Apple.
• Amazon Web Services und die anderen Hosting- und Netzwerkanbieter, auf denen unsere Server laufen. Melde diese an den jeweiligen Anbieter.
• Meldungen, die nur die Ausgabe eines Scanners zitieren, einen fehlenden Sicherheits-Header auf einer statischen Seite oder eine Softwareversionsnummer ohne einen Weg, sie auszunutzen.
• Eine Kamera oder ein Netzwerk, das sein Eigentümer falsch konfiguriert hat, etwa eine Kamera mit ihrem Standardpasswort, vor der SecureEyes warnen, die es aber nicht ändern kann.

Wenn du nicht sicher bist, ob etwas in den Geltungsbereich fällt, schick es trotzdem. Wir lesen lieber eine Meldung, die sich als die eines anderen herausstellt, als eine zu verpassen, die uns betrifft.

Der Cyber Resilience Act der EU

SecureEyes, also die App und der Hub, ist ein Produkt mit digitalen Elementen, das in der Europäischen Union verkauft wird, und der Cyber Resilience Act (Verordnung (EU) 2024/2847) gilt dafür. Dies ist eine Erklärung dazu, was wir nach dieser Verordnung tun, keine Rechtsberatung.

Wenn wir von einer Schwachstelle in SecureEyes erfahren, die aktiv ausgenutzt wird, oder von einem schwerwiegenden Sicherheitsvorfall, der die Sicherheit von SecureEyes beeinträchtigt, melden wir das über die einheitliche Meldeplattform der ENISA an die Behörden, die die Verordnung nennt, nach dem Zeitplan der Verordnung: eine Frühwarnung innerhalb von 24 Stunden, nachdem wir davon erfahren haben, eine Meldung innerhalb von 72 Stunden mit dem, was dann über die Schwachstelle und die ergriffenen Maßnahmen bekannt ist, und einen Abschlussbericht innerhalb von 14 Tagen, nachdem eine Korrektur oder Abhilfe verfügbar ist (bei einem schwerwiegenden Sicherheitsvorfall innerhalb eines Monats nach der Meldung).

Betroffene Nutzer informieren wir unverzüglich: auf dieser Website, in den Versionshinweisen der App im App Store und in den Versionshinweisen des Hubs auf der Download-Seite, mit dem, was das Problem war, welche Versionen betroffen sind und was zu tun ist. SecureEyes hat keine Benutzerkonten und keine E-Mail-Liste, deshalb gibt es keine Nachricht, die wir dir direkt schicken können; diese Seite und die Versionshinweise sind die Orte, an denen wir informieren.

Supportzeitraum

Sicherheitskorrekturen gibt es für die SecureEyes-App und den SecureEyes Hub fünf Jahre lang ab dem Datum jeder Veröffentlichung. Eine Korrektur kommt als neue Version: ein App-Update im App Store und ein Hub-Update im signierten Feed, das der Hub und die App anbieten, sobald es veröffentlicht ist. Innerhalb des Supportzeitraums bekommst du Sicherheitskorrekturen, indem du die App und den Hub aktuell hältst; eine Version, die älter ist als die aktuelle, wird nicht selbst gepatcht.

Das Relay, der Lizenzserver und diese Website sind Dienste und keine ausgelieferte Software, und sie werden so lange gepflegt, wie sie laufen.

Änderungen dieser Richtlinie

Diese Richtlinie hat den Stand vom 22. Oktober 2026. Eine Änderung an dem, was wir versprechen, an der Adresse oder am Geltungsbereich erscheint hier mit einem neuen Datum. Die maschinenlesbare Kontaktdatei unter secureeyes.app/.well-known/security.txt nennt diese Seite als ihre Richtlinie und hat ein eigenes Ablaufdatum, das wir jedes Jahr erneuern.

Kontakt

Sicherheitsmeldungen gehen an security@secureeyes.app. Alles andere zu SecureEyes geht an support@secureeyes.app.