VIARIS

Verantwortungsvolle Offenlegung

Sicherheitslücke an Viaris / RAENBI GROUP BV melden: Kanal, PGP-Fingerabdruck, Geltungsbereich, koordinierter Zeitplan und belgischer CVD-Rahmen.

Zuletzt geprüft
11. Oktober 2026

Kurz gefasst

  • Melden Sie eine Schwachstelle in einer strukturierten E-Mail an security@autovig.eu mit „security report“ im Betreff; im Geltungsbereich liegen viaris.eu, die Build-Ausgabe und der Cookie-Einwilligungsablauf.
  • Nutzen Sie den veröffentlichten PGP-Fingerabdruck und öffentlichen Schlüssel; Autovig und Viaris teilen einen CVD-Kanal desselben Verantwortlichen.
  • Gutgläubige Forschung im Geltungsbereich ist vom Verantwortlichen autorisiert; die gesetzliche Ausnahme nach Artikel 23 des belgischen NIS2-Gesetzes verlangt zusätzlich Meldungen an das CCB (CERT.be) binnen 24 und 72 Stunden.

Die RAENBI GROUP BV (Marken Viaris und Autovig) begrüßt Sicherheitsforschung in gutem Glauben an ihren öffentlichen Angeboten. Diese Richtlinie ist die Richtlinie des Verantwortlichen zur koordinierten Offenlegung von Schwachstellen (CVD). Sie gilt für viaris.eu und ist auf den Autovig-CVD-Kanal desselben Verantwortlichen abgestimmt.

1. Meldekanal

Erreichen Sie uns nicht oder erhalten Sie innerhalb der unten genannten Frist keine Bestätigung, können Sie die Meldung weiterleiten an:

Meldungen sind auf Englisch, Französisch, Deutsch, Niederländisch, Rumänisch oder Polnisch willkommen.

2. Geltungsbereich

Im Geltungsbereich:

  • viaris.eu und jede Subdomain mit Produktionsinhalten;
  • die Ausgabe des statischen Builds: HTML, CSS, JS-Bundles und strukturierte Daten, die wir ausliefern;
  • der Cookie-Einwilligungsablauf und die Speicherung der Einwilligung auf dem Gerät.

Außerhalb des Geltungsbereichs:

  • Websites externer Betreiber — melden Sie diese direkt dort;
  • Probleme, die einen kompromittierten Browser, eine bösartige Erweiterung oder physischen Gerätezugang voraussetzen;
  • Ergebnisse automatischer Scanner ohne klare, nachweisbare Sicherheitsauswirkung;
  • Hinweise auf fehlende Best Practices ohne nachgewiesenes ausnutzbares Risiko.

3. Inhalt der Meldung

Eine hilfreiche Meldung enthält eine klare Beschreibung, die betroffenen URLs, Schritte zur Reproduktion, eine Einschätzung der Auswirkungen und gegebenenfalls einen Proof of Concept, der sich auf das zum Nachweis Nötige beschränkt.

4. Unsere Zusagen

  • Bestätigung innerhalb von 5 Werktagen.
  • Einstufung des Schweregrads innerhalb von 10 Werktagen.
  • Ziel: Behebung oder Abmilderung innerhalb von 90 Tagen im Rahmen koordinierter Offenlegung, sofern die Komplexität keine längere Frist erfordert, die wir Ihnen mitteilen.
  • Es gibt kein bezahltes Bug-Bounty-Programm; auf Wunsch nennen wir Sie öffentlich.

5. Safe Harbour und belgischer Rechtsrahmen

Gutgläubige Forschung, die im Geltungsbereich dieser Richtlinie bleibt und Eingriffe in die Privatsphäre, Dienststörungen und Datenabflüsse über das zum Nachweis Nötige hinaus vermeidet, gilt als von uns, dem Verantwortlichen der betreffenden Assets, autorisiert. Diese Autorisierung bindet weder Behörden noch Dritte.

Unabhängig davon befreit Artikel 23 des belgischen Gesetzes vom 26. April 2024 (des belgischen NIS2-Gesetzes) Personen, die eine potenzielle Schwachstelle im Verfahren nach dessen Artikel 22 melden, von bestimmten Straftatbeständen — darunter der unbefugte Zugang zu einem Informatiksystem —, wenn sie alle Bedingungen erfüllen, unter anderem eine vereinfachte Meldung an uns und an das CCB binnen 24 Stunden nach der Entdeckung, eine vollständige Meldung binnen 72 Stunden, ausschließlich verhältnismäßiges Vorgehen und keine öffentliche Offenlegung ohne Zustimmung des CCB. Maßgeblich ist die CVD-Seite des CCB: https://ccb.belgium.be/de/regulation/cvdp.

6. Datenschutz bei Meldungen

Meldedaten werden nach Art. 6 Abs. 1 lit. f DSGVO für die koordinierte Offenlegung verarbeitet. Einzelheiten in der Datenschutzerklärung. Abgeschlossene Meldungen werden bis zu 5 Jahre aufbewahrt.

Quellen

Verwandte Rechtsseiten