Startseite/SOKEN Contract Review/Verantwortungsvolle Offenlegung

Richtlinie zur verantwortungsvollen Offenlegung

Letzte Aktualisierung: 24. Oktober 2026

Wir nehmen die Sicherheit des SOKEN Contract Review (des "Dienstes") und seiner Infrastruktur ernst. Diese Richtlinie beschreibt, wie Sicherheitslücken an uns gemeldet werden können und was Sie im Gegenzug erwarten können.

1. Geltungsbereich

Die folgenden Systeme und Ressourcen sind für Sicherheitsberichte in den Geltungsbereich eingeschlossen:

  • Der MCP-Server unter mcp.soken.dev
  • Die gehosteten Berichtsseiten unter soken.dev/r/*
  • Der Upload-Endpunkt unter soken.dev/u/*
  • Die Verifizierungs- und Verwaltungsseiten auf soken.dev
  • Die dem Dienst zugehörigen öffentlichen Quell-Repositories

2. Außerhalb des Geltungsbereichs

Folgendes liegt außerhalb des Geltungsbereichs und sollte uns nicht gemeldet werden:

  • Schwachstellen in Smart Contracts von Drittanbietern. Der Dienst prüft Smart-Contract-Code. Schwachstellen, die in den Verträgen selbst gefunden werden, sollten dem Vertragseigentümer oder -betreiber gemeldet werden, nicht SOKEN LTD.
  • Ungenauigkeiten in Berichtsbefunden. Berichte sind die automatisierte Ausgabe der eigenen KI-Client-Sitzung des Antragstellers, keine Aussagen von SOKEN LTD. Wenn ein Bericht wesentlich unzutreffende Befunde enthält, beachten Sie unsere Richtlinie zur Berichtsentfernung.
  • Dienste und Infrastruktur Dritter, die nicht von SOKEN LTD betrieben werden.
  • Social-Engineering-Angriffe auf Mitarbeiter von SOKEN LTD.
  • Denial-of-Service-Angriffe (das Testen oder Demonstrieren solcher Angriffe ist untersagt).

3. Verhaltensregeln

Bei der Durchführung von Sicherheitsforschung an Systemen im Geltungsbereich müssen Sie:

  1. in gutem Glauben und in Übereinstimmung mit geltendem Recht handeln;
  2. nicht auf Daten anderer Nutzer des Dienstes zugreifen, diese ändern, löschen oder exfiltrieren;
  3. die Verfügbarkeit oder Leistung des Dienstes für andere Nutzer nicht beeinträchtigen;
  4. den Test unverzüglich beenden und das Problem umgehend melden, wenn Sie auf personenbezogene Daten oder vertrauliche Informationen anderer Personen stoßen;
  5. die Schwachstelle nicht öffentlich bekannt machen, bevor wir eine angemessene Gelegenheit hatten, sie zu bewerten und zu beheben;
  6. die Schwachstelle für keinen anderen Zweck als deren Demonstration in Ihrem Bericht verwenden; und
  7. das Problem an uns melden, bevor Sie es mit einer anderen Partei teilen.

4. Meldung einer Schwachstelle

Bitte senden Sie Ihren Bericht per E-Mail an hello@soken.dev.

Ihr Bericht sollte, soweit möglich, enthalten:

  • eine klare Beschreibung der Schwachstelle und ihrer potenziellen Auswirkungen;
  • die betroffene Komponente (z.B.: der MCP-Server, gehostete Seiten, Upload-Endpunkt oder ein bestimmtes Repository);
  • detaillierte Schritte zur Reproduktion der Schwachstelle oder einen Proof of Concept;
  • alle bei Ihrem Test verwendeten Tools, Skripte oder Konfigurationen; und
  • Ihre Kontaktdaten, damit wir Rückfragen stellen können.

Unsere Kontaktdaten für Sicherheitsberichte werden auch in maschinenlesbarer Form unter mcp.soken.dev/.well-known/security.txt veröffentlicht.

5. Unsere Zusagen

Wenn Sie eine Schwachstelle in Übereinstimmung mit dieser Richtlinie melden, werden wir:

  1. den Eingang Ihres Berichts innerhalb von 3 Werktagen bestätigen;
  2. innerhalb von 7 Werktagen eine erste Triage-Bewertung vorlegen;
  3. Sie über unsere Fortschritte bei der Bewertung und Behebung der Schwachstelle informiert halten;
  4. Sie als Melder anerkennen (wenn Sie dies wünschen), wenn wir die Behebung bekannt geben, sofern Sie keine Anonymität wünschen; und
  5. keine rechtlichen Schritte gegen Sie für Forschung einleiten, die in Übereinstimmung mit dieser Richtlinie durchgeführt wurde (siehe Abschnitt 6).

Die oben genannten Fristen sind Zielwerte, keine Garantien. Komplexe Probleme können zusätzliche Zeit erfordern. Wir werden Sie informieren, wenn wir mehr Zeit benötigen, und Ihnen Updates geben, während unsere Untersuchung fortschreitet.

6. Safe Harbour

Wenn Sie in gutem Glauben versuchen, eine Sicherheitslücke in den in Abschnitt 1 aufgeführten Systemen zu entdecken und zu melden, und Sie die in Abschnitt 3 festgelegten Verhaltensregeln einhalten, betrachten wir Ihre Forschung als:

  • genehmigt im Hinblick auf alle anwendbaren Anti-Hacking-Gesetze, und wir werden keine rechtlichen Schritte gegen Sie für Ihre Forschung einleiten oder unterstützen;
  • genehmigt im Hinblick auf alle anwendbaren Anti-Umgehungsgesetze, und wir werden keinen Anspruch gegen Sie wegen Umgehung technischer Schutzmaßnahmen geltend machen; und
  • von Beschränkungen in unseren Nutzungsbedingungen ausgenommen, die die Sicherheitstestaktivität anderweitig untersagen würden, sofern sie ausschließlich zum Zweck der verantwortungsvollen Offenlegung durchgeführt wird.

Dieser Safe Harbour erstreckt sich nicht auf Handlungen, die Nutzern schaden, die Verfügbarkeit des Dienstes beeinträchtigen oder den Zugriff auf Daten anderer Nutzer beinhalten.

7. Prämien-Programm

SOKEN LTD betreibt derzeit kein bezahltes Bug-Bounty-Programm. Wir können nach unserem Ermessen für besonders bedeutsame oder gut dokumentierte Berichte eine Prämie anbieten, es sollte jedoch keine Prämie erwartet werden. Wenn in Zukunft ein Prämien-Programm eingerichtet wird, wird es auf dieser Seite bekannt gegeben.

8. Kontakt

Sicherheitsberichte: hello@soken.dev

Chat