Sicherheitskontakt
security@fördernavi.dePGP-Schlüssel auf Anfrage erhältlich. Erstantwort innerhalb von 24 Stunden.
Unser Engagement für Sicherheit
Die NextGen IT Solutions GmbH nimmt die Sicherheit ihrer Plattform und der Daten ihrer Nutzer sehr ernst. Wir arbeiten kontinuierlich daran, unsere Systeme sicher zu halten. Trotz aller Sorgfalt kann es vorkommen, dass Sicherheitslücken entdeckt werden.
Wenn Sie eine Sicherheitslücke in unserer Plattform entdeckt haben, bitten wir Sie, uns diese verantwortungsvoll zu melden (Responsible Disclosure), bevor Sie sie öffentlich bekannt machen. Wir werden Ihren Beitrag anerkennen und schnellstmöglich reagieren.
Geltungsbereich (Scope)
Unsere Responsible Disclosure Policy gilt für folgende Systeme und Dienste:
Im Scope
- app.foerdernavi.nextgenitsolutions.de (Hauptplattform)
- api.fördernavi.nextgenitsolutions.de (REST API)
- Alle Subdomains unter nextgenitsolutions.de
- Mobile-Responsivität der Webanwendung
- OAuth 2.0 / SAML SSO Implementierung
- API-Authentifizierung und -Autorisierung
Außerhalb des Scope
- Denial-of-Service (DoS/DDoS) Angriffe
- Social Engineering oder Phishing gegen unsere Mitarbeiter
- Physischer Zugriff auf unsere Infrastruktur
- Automatisiertes Scannen ohne vorherige Genehmigung
- Drittanbieter-Dienste (Stripe, Sentry, BetterStack)
- Berichte ohne reproduzierbare Schritte
Sicherheitslücke melden
Bitte senden Sie Ihren Bericht an security@fördernavi.de und fügen Sie folgende Informationen bei:
Reaktionszeiten und Zusagen
Wir verpflichten uns zu folgenden Reaktionszeiten:
Safe Harbour / Keine rechtlichen Schritte
Wenn Sie unsere Responsible Disclosure Policy befolgen, sichern wir Ihnen zu:
- Wir werden keine rechtlichen Schritte gegen Sie einleiten
- Wir werden Sie nicht bei Strafverfolgungsbehörden anzeigen
- Wir werden die Kommunikation mit Ihnen vertraulich behandeln
- Wir werden Ihren Beitrag in unserem Security Hall of Fame würdigen (sofern gewünscht)
Voraussetzung ist, dass Sie keine Daten unbefugt kopieren, verändern oder löschen, keine Systeme beschädigen und keine Schwachstelle vor der Behebung öffentlich bekannt machen.
Bug Bounty
Wir belohnen verantwortungsvolle Meldungen nach Schweregrad:
Auszahlungen erfolgen nach vollständiger Verifikation und Behebung der gemeldeten Schwachstelle. Duplicate-Meldungen werden nicht vergütet.
Unsere Sicherheitsmaßnahmen
FörderNavi implementiert folgende technische und organisatorische Sicherheitsmaßnahmen:
Compliance und Zertifizierungen
Privacy by Design, Auftragsverarbeitungsverträge mit allen Dienstleistern, Datenschutzbeauftragter bestellt.
Human-in-the-Loop für alle KI-generierten rechtlichen Aussagen, Erklärbarkeit der KI-Empfehlungen, Modell-Dokumentation.
ISMS im Aufbau. Angestrebte Zertifizierung durch akkreditierten Zertifizierer bis Q4 2026.
Alle UI-Komponenten werden mit axe-core in CI auf Barrierefreiheit geprüft.