Datenschutz & Sicherheit bei Vodafone

• Alle eingereichten Meldungen behandeln wir ernst und vertraulich
• Die persönlichen Daten der Meldenden werden nicht ohne Zustimmung an Dritte weitergegeben. Es sei denn, dies ist zur Erfüllung rechtlicher Verpflichtungen erforderlich. Es ist auch möglich, anonyme Meldungen zu machen
• Alle eingereichten Meldungen werden so schnell, wie es uns möglich ist, bearbeitet
• Vodafone betreibt kein Bug Bounty-Programm

• Sei vorsichtig und zurückhaltend im Umgang mit persönlichen Daten. Und beteilige Dich nicht absichtlich an Angriffen gegen Dritte, Social Engineering, Denial-of-Service-Angriffen, physischen Angriffen auf Vodafone-Eigentum, Spamming oder anderen Belästigungen von Nutzer:innen
• Stell ein Proof-of-Concept oder ausreichende Infos zur Verfügung, damit wir die Schwachstelle reproduzieren können. Und sie überprüfen und mögliche Abhilfemaßnahmen ermitteln können. Im Allgemeinen reichen uns: die Identifizierung des verwundbaren Ziels, eine Beschreibung der Schwachstelle und die zur Ausnutzung der Schwachstelle durchgeführten Operationen. Bei komplexen Schwachstellen können weitere Details und Infos nötig sein
• Missbrauche die Schwachstelle nicht, indem Du durch Deine Handlungen Störungen verursachst
• Gib die Infos über die Sicherheitslücken erstmal nicht an andere weiter. Sondern erst, wenn die Schwachstelle gemäß der Vodafone-Richtlinie zur verantwortungsvollen Offenlegung von Informationen behoben worden ist
• Melde nur eine Schwachstelle pro Bericht. Es sei denn, Du musst die Schwachstellen aneinanderreihen, um die Auswirkungen darzustellen
• Respektiere die Privatsphäre. Spähe keine Daten Dritter aus, manipuliere diese nicht und gib diese nicht weiter. Nutze gefundene Exploits nicht aus
• Vermeide Störungen. Deine Untersuchungen dürfen die Verfügbarkeit unserer Services nicht beeinträchtigen
• Sei geduldig. Informiere bitte keine Dritten. Willst Du die Schwachstelle veröffentlichen? Lass uns zusammen einen Zeitpunkt dafür abstimmen. Bis dahin werden wir die Schwachstelle prüfen und beheben, aber das braucht Zeit
• Respektiere unsere Regeln

Wenn Du Schwachstellen meldest, berücksichtige bitte 1. das Angriffsszenario bzw. die Ausnutzbarkeit und 2. die Sicherheitsauswirkungen des Fehlers.

Die folgenden Probleme sehen wir als nicht relevant an:
 

• Clickjacking auf Seiten ohne sensible Aktionen
• Cross-Site Request Forgery (CSRF) auf unauthentifizierten Formularen oder Formularen ohne sensible Aktionen
• Angriffe, die MITM oder physischen Zugriff auf das Gerät eines Benutzers erfordern
• Zuvor bekannte anfällige Bibliotheken ohne funktionierenden Proof of Concept
• Einspeisung von durch Kommata getrennten Werten (CSV) ohne Nachweis einer Schwachstelle
• Fehlende bewährte Verfahren bei der SSL/TLS-Konfiguration
• Jegliche Aktivität, die zu einer Unterbrechung unseres Dienstes führen könnte (DoS)
• Content-Spoofing und Text-Injection-Probleme ohne Nachweis eines Angriffsvektors bzw. ohne die Möglichkeit, HTML/CSS zu verändern
• Ratenbegrenzungs- oder Bruteforce-Probleme an nicht authentifizierten Endpunkten
• Fehlende Best Practices in der Content Security Policy
• Fehlende HttpOnly- oder Secure-Flags bei Cookies
• Fehlende bewährte E-Mail-Verfahren – ungültige, unvollständige oder fehlende SPF/DKIM/DMARC-Einträge usw.
• Schwachstellen, die nur Benutzer veralteter oder nicht gepatchter Browser betreffen
• weniger als 2 stabile Versionen hinter der letzten veröffentlichten stabilen Version
• Offenlegung von Softwareversionen, Probleme bei der Identifizierung von Bannern, beschreibende Fehlermeldungen oder Header – z. B. Stack Traces, Anwendungs- oder Serverfehler
• Tabnabbing
• Offener Redirect – es sei denn, es kann eine zusätzliche Sicherheitsauswirkung nachgewiesen werden
• Statische Ressourcen bzw. öffentliche Informationen, die in Speicherbereichen offengelegt werden
• Physische Angriffe auf ein Vodafone-Eigentum