Richtlinie zur koordinierten Offenlegung von Schwachstellen (CVD-Policy)

Geltungsbereich

Diese Richtlinie regelt, wie Sie Schwachstellen in CANITY an die Sprintwerk GmbH melden und wie wir damit umgehen. Sie gilt für:

die CANITY Web-App unter canity.de
die CANITY-API unter api.canity.de
die CANITY-Apps für iOS und Android

Hersteller im Sinne des Cyber Resilience Act (Verordnung (EU) 2024/2847) ist die Sprintwerk GmbH.

Schwachstelle melden

Senden Sie Ihre Meldung per E-Mail an security@sprintwerk.de, auf Deutsch oder Englisch. Bitte melden Sie nicht über den Kundensupport, soziale Medien oder öffentliche Issue-Tracker.

Eine gute Meldung enthält:

betroffenes System, App-Version oder API-Endpunkt
Beschreibung der Schwachstelle und ihrer Auswirkung
Schritte zur Reproduktion
wie wir Sie erreichen

Schicken Sie keine erlangten personenbezogenen Daten oder Zugangsdaten mit. Beschreiben Sie stattdessen, welche Daten zugänglich waren.

Regeln für Meldende

Bitte halten Sie beim Testen diese Regeln ein:

Nutzen Sie nur eigene Test-Accounts und greifen Sie nicht auf Daten anderer zu.
Beeinträchtigen Sie den Betrieb nicht, etwa durch Denial of Service oder Lasttests.
Veröffentlichen Sie keine Details, bevor die Schwachstelle behoben ist.

Systeme unserer Dienstleister, etwa Hosting- oder Zahlungsanbieter, sind ausgenommen.

Unser Umgang mit Ihrer Meldung

Wir bestätigen den Eingang Ihrer Meldung innerhalb von 3 Werktagen. Anschließend prüfen wir die Meldung, bewerten den Schweregrad und beheben bestätigte Schwachstellen priorisiert nach Risiko. Über den Fortschritt halten wir Sie auf dem Laufenden.

Koordinierte Veröffentlichung

Den Zeitpunkt der Veröffentlichung stimmen wir nach der Behebung mit Ihnen ab.

Nach der Behebung veröffentlichen wir einen Sicherheitshinweis auf canity.de/security. Er beschreibt die Schwachstelle, die betroffenen Produkte und Versionen, die Auswirkung, den Schweregrad und die nötigen Maßnahmen für Nutzerinnen und Nutzer. Auf Wunsch nennen wir Sie dort als Meldende oder Meldenden.

Weitere Hinweise

Wir bieten kein Bug-Bounty-Programm und zahlen keine Prämien für Meldungen.

Wir können diese Richtlinie jederzeit anpassen. Maßgeblich ist die zum Zeitpunkt Ihrer Meldung veröffentlichte Fassung.

Stand: November 2026, Version 1.0

English version

This policy describes how to report vulnerabilities in CANITY to Sprintwerk GmbH and how we handle them. It applies to:

the CANITY web app at canity.de
the CANITY API at api.canity.de
the CANITY apps for iOS and Android

The manufacturer within the meaning of the Cyber Resilience Act (Regulation (EU) 2024/2847) is Sprintwerk GmbH.

Reporting a vulnerability

Send your report by email to security@sprintwerk.de, in German or English. Please do not report via customer support, social media or public issue trackers.

A good report includes:

affected system, app version or API endpoint
description of the vulnerability and its impact
steps to reproduce
how we can reach you

Do not include any personal data or credentials you obtained. Describe which data was accessible instead.

Rules for reporters

Please follow these rules when testing:

Use only your own test accounts and do not access other users' data.
Do not disrupt our services, for example through denial of service or load testing.
Do not publish any details before the vulnerability has been fixed.

Systems of our service providers, such as hosting or payment providers, are out of scope.

How we handle your report

We acknowledge receipt of your report within 3 business days. We then review the report, assess its severity and fix confirmed vulnerabilities, prioritised by risk. We keep you informed about our progress.

Coordinated disclosure

We agree on the timing of publication with you after the fix.

After the fix, we publish a security advisory at canity.de/security. It describes the vulnerability, the affected products and versions, the impact, the severity and any actions users need to take. On request, we credit you as the reporter.

Further information

We do not run a bug bounty programme and do not pay rewards for reports.

We may update this policy at any time. The version published at the time of your report applies.

Version 1.0, November 2026

Sicherheitshinweise / Security advisories

Derzeit liegen keine veröffentlichten Sicherheitshinweise vor.

There are currently no published security advisories.