Verantwortungsvolle Offenlegung

Zuletzt aktualisiert: 20. Oktober 2026

1. Einleitung

Menschen vertrauen uns ihre eigenen Daten, ihre Handschrift sowie die Namen und Adressen der Menschen an, denen sie schreiben. Wenn du glaubst, in Snailgram eine Sicherheitslücke gefunden zu haben, möchten wir davon erfahren. Diese Richtlinie erklärt, wie du eine Lücke meldest, welche Regeln wir dich bei der Suche zu beachten bitten und was wir im Gegenzug tun.

Sie wird herausgegeben von AWS, CYY & Co. Pty Ltd (ACN 686 116 245) als Treuhänderin (trustee) für Mumu, Lulu & Co. (ABN 54 837 123 965), die Snailgram betreibt.

Wir betreiben kein bezahltes Bug-Bounty-Programm und zahlen keine Belohnungen für Meldungen. Mit deiner Erlaubnis bedanken wir uns auf dieser Seite namentlich bei dir, sobald das Problem behoben ist.

2. Geltungsbereich

Diese Richtlinie gilt für:

• unsere Website unter snailgram.com.au, einschließlich des Kartenstudios und der Kasse,
• die dahinterliegenden Dienste, die Cover erstellen, Entwürfe und Handschriftproben speichern und Bestellungen entgegennehmen, und
• die E-Mails, die wir zu Bestellungen versenden.

Sie gilt nicht für Dienste anderer Anbieter, die wir nutzen, etwa Square, Australia Post, Amazon Web Services, Fastmail oder Google. Bitte melde Probleme bei diesen dem jeweiligen Anbieter.

3. So meldest du

Schreib eine E-Mail an support@snailgram.com.au mit „Security“ im Betreff. Bitte gib an:

• eine Beschreibung des Problems und der Auswirkungen, die du vermutest,
• die betroffene Seite, den betroffenen Endpunkt oder die betroffene Funktion,
• eine Schritt-für-Schritt-Anleitung zum Nachstellen, mit Proof-of-Concept-Code, Screenshots oder Anfragen, und
• wie wir dich erreichen können und ob wir dich namentlich nennen sollen.

Wenn du einen offengelegten Schlüssel, ein Passwort oder ein anderes Geheimnis findest, sag es uns sofort und verwende es nicht. Bitte schreib möglichst auf Englisch.

4. Worum wir dich bitten

Wenn du nach einer Sicherheitslücke suchst und sie meldest, musst du:

• nur mit Bestellungen, Entwürfen und Handschriftproben testen, die dir gehören oder deren Verwendung dir die Inhaberin oder der Inhaber erlaubt hat,
• aufhören, sobald du auf personenbezogene Daten, Nachrichten, Adressen oder Handschriften stößt, die nicht dir gehören, und uns mitteilen, worauf du zugegriffen hast. Kopiere, behalte, ändere oder lösche sie nicht und gib sie an niemanden weiter,
• die Website nicht beeinträchtigen oder unterbrechen, auch nicht durch Denial-of-Service-Angriffe, Lasttests oder automatisierte Scans mit hohem Volumen,
• keine Karten an jemanden ohne dessen Einwilligung bestellen und weder unsere Kundinnen und Kunden noch die Menschen, denen sie schreiben, noch unser Team kontaktieren,
• kein Social Engineering, kein Phishing und keine physischen Angriffe gegen unser Team, unsere Räumlichkeiten oder unsere Anbieter einsetzen,
• weder die Zahlungskarte noch die Zahlungsdaten einer anderen Person verwenden,
• nur tun, was nötig ist, um zu zeigen, dass die Lücke existiert,
• die Einzelheiten vertraulich behandeln, bis wir das Problem behoben haben oder bis 90 Tage nach deiner Meldung vergangen sind, je nachdem, was früher eintritt, es sei denn, wir vereinbaren mit dir etwas anderes, und
• das Gesetz einhalten.

5. Was wir tun

Wenn du nach dieser Richtlinie eine Sicherheitslücke meldest, werden wir:

• den Eingang deiner Meldung innerhalb von 2 Werktagen bestätigen,
• dir sagen, ob wir das Problem nachvollziehen können, und dich über den Fortschritt auf dem Laufenden halten,
• eine bestätigte Sicherheitslücke möglichst innerhalb von 90 Tagen beheben, und schneller, wenn sie personenbezogene Daten gefährdet, und
• dir mitteilen, wann das Problem behoben ist, und uns namentlich bei dir bedanken, wenn du darum gebeten hast.

Wenn das Problem personenbezogene Daten betraf, bewerten wir es und benachrichtigen die betroffenen Personen sowie das Office of the Australian Information Commissioner, wie in Abschnitt 11 unserer Datenschutzerklärung beschrieben.

6. Sicherer Hafen

Wenn du in gutem Glauben handelst und diese Richtlinie befolgst, behandeln wir deine Recherche als autorisiert, unternehmen deswegen keine rechtlichen Schritte gegen dich und zeigen dich nicht bei den Strafverfolgungsbehörden an. Wenn jemand anderes wegen einer Recherche, die dieser Richtlinie folgte, rechtlich gegen dich vorgeht, machen wir bekannt, dass wir sie autorisiert haben.

Das gilt nicht, wenn du gegen diese Richtlinie verstoßen, auf mehr zugegriffen hast als nötig oder eine Zahlung dafür verlangt hast, ein Problem nicht offenzulegen. Wenn du unsicher bist, ob etwas, das du vorhast, erlaubt ist, frag uns zuerst unter support@snailgram.com.au.

7. Was wir nicht als Sicherheitslücke behandeln

Das Folgende liegt in der Regel außerhalb dieser Richtlinie, es sei denn, du kannst eine echte Auswirkung auf die Sicherheit der Website oder der Menschen, die sie nutzen, nachweisen:

• Meldungen automatisierter Scanner ohne funktionierenden Proof of Concept,
• fehlende Sicherheits-Header, Cookie-Flags oder E-Mail-Authentifizierungseinträge (SPF, DKIM, DMARC) für sich allein,
• Clickjacking auf Seiten ohne Aktion, die Schaden anrichten könnte,
• Self-XSS oder Probleme, die physischen Zugriff auf das entsperrte Gerät einer Person erfordern,
• dass der Cover-Generator ein unerwartetes oder unpassendes Bild erzeugt, es sei denn, dies legt Daten anderer offen oder umgeht die Bezahlung,
• die Offenlegung von Softwareversionen oder fehlende Ratenbegrenzungen bei Aktionen ohne Sicherheitsfolgen, und
• Denial of Service sowie Sicherheitslücken in den in Abschnitt 2 genannten Diensten Dritter.

8. Änderungen dieser Richtlinie

Wir können diese Richtlinie ändern, indem wir eine neue Version auf dieser Seite veröffentlichen und das Datum oben aktualisieren. Für deine Meldung gilt die Version, die zum Zeitpunkt der Meldung veröffentlicht ist.