Sicherheit ist für uns kein Marketing-Begriff, sondern Tagesgeschäft. Wir betreiben Infrastruktur für Kundinnen und Kunden, die uns ihre Webpräsenz, E-Mails und Daten anvertrauen. Wenn Sie als Sicherheitsforscher oder aufmerksamer Nutzer eine Schwachstelle in unseren Systemen entdecken, freuen wir uns über eine sachliche Meldung.

Diese Seite beschreibt, wie Sie uns erreichen, welche Findings für uns relevant sind, und was Sie von uns erwarten dürfen.

Bitte senden Sie Ihre Meldung an:

security@netclusive.com

Hilfreich für eine schnelle Bearbeitung sind:

• betroffene URL, Endpoint oder System
• Schritt-für-Schritt-Reproduktion (Request, Payload, Response)
• Auswirkung – was lässt sich konkret tun, wer ist betroffen
• Screenshots oder Proof-of-Concept-Code, wenn sinnvoll
• Ihr bevorzugter Name für eine spätere Erwähnung (oder anonym)

Eine englische Meldung ist genauso willkommen wie eine deutsche.

Schwachstellen, die Vertraulichkeit, Integrität oder Verfügbarkeit unserer eigenen Dienste gefährden, insbesondere auf folgenden Domains:

• netclusive.de und *.netclusive.de
• netclusive.com und *.netclusive.com
• Kundenbereich, Bestellprozess, Login-Flows, API-Endpunkte

Folgende Befunde nehmen wir zur Kenntnis, behandeln sie aber nicht als gültigen Vulnerability-Report:

• Fehlende oder „schwache“ HTTP-Security-Header ohne nachgewiesene Auswirkung
• SPF/DKIM/DMARC-Konfigurationshinweise ohne konkreten Spoofing-Beleg
• TLS-/Cipher-Konfigurations-Hinweise auf Best-Practice-Niveau
• Generischer Scanner-Output ohne Reproduktionspfad und ohne demonstrierten Impact
• Denial-of-Service-Angriffe, Lasttests, Brute-Force-Versuche
• Self-XSS, Logout-CSRF, Clickjacking ohne sicherheitsrelevante Aktion
• Schwachstellen in Drittsystemen, die wir lediglich einbinden
• Inhalte und Konfigurationen auf Kundenwebseiten (diese verantworten unsere Kundinnen und Kunden selbst)
• Hinweise auf fehlende Rate-Limits, sofern wirksame Limits bereits existieren

Unsolicited „Beg Bounty“-Anfragen, bei denen vor einer technischen Schilderung Geld eingefordert wird, behalten wir uns vor, nicht zu beantworten.

• Vertrauliche Bearbeitung Ihrer Meldung
• Anerkennung in unserer Hall of Fame auf Wunsch

• Test in gutem Glauben, ohne Schaden für unsere Systeme oder Kundendaten anzurichten
• Kein Zugriff auf Kunden- oder Drittpersonendaten über das für den Nachweis Notwendige hinaus
• Keine öffentliche Veröffentlichung vor Behebung der Schwachstelle
• Keine Erpressungs- oder Drohgesten gegen netclusive oder Kunden
• Einhaltung des anwendbaren Rechts

Sicherheitsforschung in gutem Glauben begrüßen wir. Sofern Sie die nachstehenden Bedingungen einhalten, ist es nicht unsere Absicht,

• gegen Sie einen Strafantrag zu stellen, soweit gesetzlich zulässig,
• gegen Sie zivilrechtliche Ansprüche geltend zu machen,
• Aufsichtsbehörden oder Dritte zu Schritten gegen Sie anzuregen, die über gesetzliche Meldepflichten (z. B. Art. 33 DSGVO) hinausgehen.

Bedingungen:

• Sie halten diese Policy ein.
• Sie melden uns die Schwachstelle vor einer Veröffentlichung und geben uns angemessene Zeit zur Behebung (in der Regel 90 Tage, bei kritischen Schwachstellen entsprechend kürzer im Einzelfall).
• Sie greifen nicht auf Kunden- oder Drittpersonendaten zu und laden, verändern, löschen oder geben diese nicht weiter, soweit das nicht für einen minimalen Proof-of-Concept erforderlich ist.

Diese Erklärung ist eine Absichtsbekundung und begründet keinen einklagbaren Anspruch. Sie ersetzt keine rechtliche Beratung im Einzelfall. Gesetzliche Verfolgungs- und Meldepflichten Dritter (Staatsanwaltschaft, Aufsichtsbehörden) bleiben unberührt. Soweit rechtlich zulässig, geben wir Ihre Identität nicht ohne sachlichen Anlass an Dritte weiter.

Wir betreiben derzeit kein bezahltes Bug-Bounty-Programm. Auf Wunsch nennen wir Sie in unserer Hall of Fame. Sollte sich daran etwas ändern, kündigen wir das hier an.

Vielen Dank an die folgenden Sicherheitsforscher für ihre verantwortungsvollen Meldungen. Einträge erfolgen mit Einverständnis der Genannten und können jederzeit auf Anfrage entfernt werden.

• crandler
• fl1BBi
• awacker

Diese Policy ist verlinkt aus unserer security.txt nach RFC 9116.

E-Mail: security@netclusive.com

Hinweise zur Verarbeitung Ihrer personenbezogenen Daten finden Sie in unserer Datenschutzerklärung.

Bei Abweichungen zwischen den Sprachfassungen ist die deutsche Fassung maßgeblich.

Zuletzt aktualisiert am 17.05.2026

Security is not a marketing label for us, it is daily business. We operate infrastructure for customers who entrust us with their web presence, email, and data. If you are a security researcher or an attentive user and you discover a vulnerability in our systems, we welcome a factual report.

This page describes how to reach us, which findings are relevant to us, and what you can expect in return.

Please send your report to:

security@netclusive.com

Helpful for fast triage:

• affected URL, endpoint, or system
• step-by-step reproduction (request, payload, response)
• impact – what can be done, who is affected
• screenshots or proof-of-concept code where useful
• the name you would like credited (or anonymous)

Reports in English and German are equally welcome.

Vulnerabilities that affect the confidentiality, integrity, or availability of our own services, in particular on:

• netclusive.de and *.netclusive.de
• netclusive.com and *.netclusive.com
• customer portal, order flow, login flows, API endpoints

The following findings are noted but not treated as valid vulnerability reports:

• missing or “weak” HTTP security headers without demonstrated impact
• SPF/DKIM/DMARC configuration hints without a concrete spoofing proof-of-concept
• TLS / cipher configuration findings at best-practice level
• generic scanner output without a reproduction path and without demonstrated impact
• denial-of-service attacks, load testing, brute-force attempts
• self-XSS, logout CSRF, clickjacking without a security-relevant action
• vulnerabilities in third-party services we merely embed
• content and configuration on customer websites (our customers are responsible for these)
• reports of missing rate limiting where effective limits already exist

We reserve the right not to reply to unsolicited “beg bounty” outreach that demands payment before any technical description is shared.

• confidential handling of your report
• public credit in our Hall of Fame on request

• testing in good faith, without causing harm to our systems or customer data
• no access to customer or third-party personal data beyond what is necessary to demonstrate the issue
• no public disclosure before the vulnerability is fixed
• no extortion or threatening behaviour towards netclusive or its customers
• compliance with applicable law

We welcome security research carried out in good faith. Provided you meet the conditions below, we do not intend to:

• file a criminal complaint against you, to the extent permitted by law,
• pursue civil claims against you,
• encourage supervisory authorities or other third parties to take action against you beyond statutory notification duties (e.g. Art. 33 GDPR).

Conditions:

• You comply with this policy.
• You report the vulnerability to us before any public disclosure and allow us reasonable time to remediate (typically 90 days, shorter for critical issues on a case-by-case basis).
• You do not access, download, modify, delete, or share customer or third-party personal data beyond the minimum required for a proof-of-concept.

This statement is a declaration of intent and does not create an enforceable claim. It does not replace individual legal advice. Statutory duties of third parties to investigate or report (public prosecutors, supervisory authorities) remain unaffected. To the extent legally permissible, we will not disclose your identity to third parties without an objective reason.

We currently do not operate a paid bug bounty program. On request we credit you in our Hall of Fame. If this changes, we will announce it on this page.

Many thanks to the following security researchers for their responsible reports. Entries are published with the consent of the named individuals and can be removed at any time on request.

• crandler
• fl1BBi
• awacker

This policy is linked from our security.txt per RFC 9116.

Email: security@netclusive.com

Information on the processing of your personal data is set out in our privacy notice.

In case of discrepancies between language versions, the German version prevails.

Last updated 2026-05-17