Sicherheit
Ein Shopsystem und eine Warenwirtschaft stehen an der Stelle, an der ein Betrieb am meisten zu verlieren hat. Deshalb steht hier, was Sie von uns erwarten können — und was wir von Ihnen brauchen.
Etwas gefunden? Bitte melden.
Schreiben Sie an sicherheit@red-commerce.com. Beschreiben Sie, was Sie gefunden haben und wie es sich nachvollziehen lässt. Wir bestätigen den Eingang innerhalb von drei Werktagen und melden uns danach mit einer Einschätzung.
Wir gehen nicht gegen Sie vor, wenn Sie sich an die Regeln unten halten. So können Sie eine mögliche Schwachstelle melden, ohne rechtliche Schritte wegen Ihrer Prüfung befürchten zu müssen.
Bitte nicht
- Auf Systemen fremder Betriebe testen
- Daten verändern, löschen oder abziehen
- Verfügbarkeit angreifen
- Veröffentlichen, bevor eine Version bereitsteht
Maschinenlesbar unter /.well-known/security.txt nach RFC 9116.
Was wir zusagen
- Sicherheitsupdates bleiben verfügbar — immer
- Auch bei Zahlungsverzug können Sie Sicherheitsupdates beziehen. Diese Zusage steht in § 11 Abs. 3 der Nutzungsbedingungen.
- Die Liste der Versionen ist unterschrieben
- Jede Antwort unseres Update-Dienstes trägt eine Unterschrift über genau die Bytes, die ankommen (Ed25519). Wer die Verbindung umbiegen kann, kann trotzdem kein „Sicherheitsupdate verfügbar“ mit einer eigenen Adresse danebenstellen. Der öffentliche Schlüssel wird mit dem Produkt ausgeliefert und nie über die Verbindung bezogen, die er absichern soll.
- Updates bleiben unter Ihrer Kontrolle
- Die Prüfung meldet nur, dass eine neue Version verfügbar ist. Herunterladen und einspielen lassen Sie bewusst ausführen.
- Ein Unterstützungszeitraum je Hauptversion
- Wie lange eine Hauptversion Sicherheitsupdates bekommt, wird benannt und nicht offengelassen. Das ist zugleich eine Anforderung aus dem Cyber Resilience Act.
- Kein Fernzugriff ohne Anlass
- Auf Ihrem eigenen Server haben wir keinen Zugang zu Ihrer Installation. Brauchen wir für eine Unterstützung einen, fordern Sie ihn an — und es gilt ein eigener Vertrag zur Auftragsverarbeitung mit protokolliertem Zugriff.
- Auf einer Maschine bei uns
- Dort liegen Ihre Daten auf unseren Servern, und ein Zugriff wäre technisch möglich. Wir greifen nur zu, wenn eine vereinbarte Leistung oder Ihre Weisung es verlangt, halten jeden Zugriff fest und werten nichts aus — das steht im Vertrag zur Auftragsverarbeitung und ist einklagbar.
Was wir von Ihnen brauchen
Updates einspielen
Ein Sicherheitsupdate, das bereitsteht und nicht eingespielt wird, schützt niemanden. Der Vertrag verlangt es deshalb ausdrücklich — und beschränkt im Gegenzug unsere Haftung für Schäden, die dadurch entstanden wären.
Update-Prüfung festlegen
Sie entscheiden, ob Ihr System einmal täglich nach neuen Versionen sucht. Bleibt die Prüfung ausgeschaltet, informieren Sie sich selbst über Sicherheitsupdates.
Sichern
Vor jedem Update eine Sicherung von Datenbank und Dateien. Kein Hersteller kann wiederherstellen, was nur bei Ihnen lag.