Sicherheitsrichtlinie

Zuletzt aktualisiert am 17 October 2026

Wir nehmen die Sicherheit von YourImageShare und der Menschen, die den Dienst nutzen, ernst. Wenn du eine Sicherheitslücke gefunden hast, danke, dass du uns Bescheid gibst. Auf dieser Seite erfährst du, wie du sie meldest, was du von uns erwarten kannst und welche Regeln für sicheres Testen gelten.

1. So meldest du eine Sicherheitslücke

Schreib eine E-Mail an [email protected] oder nutze das Kontaktformular und beginne den Betreff mit "Security". Bitte melde Sicherheitslücken nicht an öffentlichen Orten (GitHub-Issues, Kommentare, soziale Medien), bevor sie behoben sind.

Bitte gib Folgendes an:

  • eine Beschreibung des Problems und was ein Angreifer damit tun könnte;
  • die genauen Schritte, URLs und Anfragen, die nötig sind, um es nachzuvollziehen (ein Proof of Concept ist willkommen);
  • den betroffenen Teil: Seite der Website, API-Endpunkt, Browser-Erweiterung, WordPress-Plugin, SDK, Bot;
  • ob und wie wir dich namentlich nennen sollen.

Unsere maschinenlesbaren Kontaktdaten findest du unter /.well-known/security.txt.

2. Was du von uns erwarten kannst

  • Eingangsbestätigung innerhalb von 5 Werktagen.
  • Erste Einschätzung (ob wir das Problem nachvollziehen können und wie schwerwiegend es ist) innerhalb von 10 Werktagen.
  • Eine Behebung oder ein Statusupdate innerhalb von 90 Tagen. Schwerwiegende Probleme beheben wir so schnell wie möglich, in der Regel deutlich früher.
  • Koordinierte Offenlegung. Bitte warte mit der Veröffentlichung von Details, bis das Problem behoben ist oder 90 Tage vergangen sind. Gern vereinbaren wir mit dir einen Termin.

Wir sind ein kleines Team. Wir halten dich auf dem Laufenden und ignorieren keine berechtigte Meldung.

3. Safe Harbour

Wenn du dich in gutem Glauben bemühst, diese Richtlinie einzuhalten, betrachten wir deine Recherche als autorisiert. Wir leiten deswegen keine rechtlichen Schritte gegen dich ein, zeigen dich nicht bei Strafverfolgungsbehörden an und sperren deswegen nicht dein Konto. Sollte ein Dritter rechtlich gegen dich vorgehen wegen einer Recherche, die dieser Richtlinie entsprach, machen wir bekannt, dass deine Arbeit autorisiert war.

In gutem Glauben bedeutet, dass du:

  • nur mit deinen eigenen Konten und deinen eigenen Uploads testest oder mit Konten, die du nutzen darfst;
  • sofort aufhörst, sobald du auf Daten anderer Personen zugreifst (Uploads, Kontodaten, Nachrichten), diese weder behältst noch weitergibst und uns mitteilst, worauf du zugegriffen hast;
  • den Dienst für andere nicht beeinträchtigst (keine Denial-of-Service-Angriffe, kein automatisiertes Scannen in hohem Umfang, kein Spam);
  • kein Social Engineering, kein Phishing und keine physischen Angriffe gegen unsere Mitarbeitenden, Nutzer oder Dienstleister einsetzt;
  • uns angemessen Zeit gibst, das Problem zu beheben, bevor du es offenlegst;
  • aus keinem Grund illegale Inhalte hochlädst, einschließlich Darstellungen von sexuellem Kindesmissbrauch.

Wenn du dir unsicher bist, ob etwas erlaubt ist, frag uns vorher unter [email protected].

4. Im Geltungsbereich

  • yourimageshare.com und die Subdomains (zum Beispiel i.yourimageshare.com und status.yourimageshare.com);
  • die öffentliche Upload-API, ihre Dokumentation sowie unsere offiziellen SDKs und der MCP-Server;
  • unsere Browser-Erweiterungen, das WordPress-Plugin und der Telegram-Bot.

Beispiele für Meldungen, die wir gern erhalten: Kontoübernahme, Umgehung von Authentifizierung oder Autorisierung, Zugriff auf private oder passwortgeschützte Uploads anderer Personen, Cross-Site-Scripting, das andere Nutzer betrifft, Cross-Site-Request-Forgery bei Aktionen, die Daten verändern, Server-Side-Request-Forgery, Injection, Remote Code Execution und Probleme bei der Verarbeitung hochgeladener Dateien.

5. Nicht im Geltungsbereich

Diese Punkte gelten nicht als Sicherheitslücken, außer du kannst eine echte Auswirkung auf Nutzer zeigen:

  • fehlende oder "Best-Practice"-HTTP-Header, Cookie-Flags oder TLS-Einstellungen ohne funktionierenden Angriff;
  • Berichte zur Konfiguration von SPF, DKIM oder DMARC;
  • Clickjacking auf Seiten ohne sensible Aktionen;
  • Self-XSS oder Angriffe, die vollen Zugriff auf das Gerät oder den Browser des Opfers erfordern;
  • Rate Limits auf öffentlichen Seiten sowie das Ermitteln von Benutzernamen oder E-Mail-Adressen über öffentliche Profile;
  • Berichte automatischer Scanner ohne bestätigtes, reproduzierbares Problem;
  • Denial-of-Service-Angriffe.

6. Illegale oder missbräuchliche Inhalte sind keine Sicherheitsmeldung

Um einen Upload zu melden, der illegal oder missbräuchlich ist oder gegen unsere Nutzungsbedingungen verstößt, nutze den Melden-Button beim jeweiligen Inhalt oder unser Meldeformular. Diese Meldungen bearbeitet unser Moderationsteam, nicht die Sicherheitsadresse.

7. Belohnung und Nennung

Wir betreiben kein bezahltes Bug-Bounty-Programm. Mit deiner Erlaubnis danken wir dir namentlich (oder mit deinem Pseudonym) in den Danksagungen unten und in den Release Notes zur Behebung.

8. Danksagungen

Wir danken den folgenden Personen für das verantwortungsvolle Melden von Sicherheitsproblemen:

  • Noch keine Meldungen aufgeführt.