1. Überblick
Diese Seite beschreibt den Sicherheitsansatz von MarkenGroup sowie den Prozess zur verantwortungsvollen Meldung von Sicherheitslücken. Sie richtet sich an B2B-Kunden und Security-Researcher, die in gutem Glauben handeln.
Sicherheit ist ein fortlaufender Prozess. Wir setzen angemessene technische und organisatorische Maßnahmen ein, ohne absolute Sicherheit zu versprechen.
2. Geltungsbereich (In-Scope und Out-of-Scope)
2.1 In Scope
- marken-group.com (inkl. studio.marken-group.com)
- markengroup.eu
- markengroup.co
- markengroup.us
- markengroup.cloud
- MarkenGroup Cloud Service TrackMailer (trackmailer.io)
- MarkenGroup Cloud Service TrackAnyClick (trackany.click)
- MarkenGroup AI Studio (studio.marken-group.com)
2.2 Out of Scope
- Drittanbieter-Plattformen und deren Services (z. B. Google, Meta, LinkedIn, Cloudflare, Firebase/Google Cloud, AWS) außerhalb unserer direkten Konfiguration.
- Social-Media-Accounts und Inhalte (Facebook, X/Twitter, Instagram, LinkedIn).
- Social Engineering, physische Angriffe, Zugriff auf Geräte von Mitarbeitenden/Contractors oder Tests in der Infrastruktur des Kunden.
- Absichtliche Service-Unterbrechungen (DDoS) oder Tests, die Verfügbarkeit beeinträchtigen.
Derzeit bieten wir keine öffentlichen APIs an. Der Geltungsbereich beschränkt sich auf unsere Websites, Anwendungen und Konfigurationen unter Kontrolle von MarkenGroup.
3. Sicherheitsmaßnahmen (technisch und organisatorisch)
3.1 Transport- und Web-Sicherheit
- HTTPS/TLS für Websites und relevanten Datenverkehr.
- Einsatz von Security Headers, soweit angemessen.
3.2 Perimeter- und Infrastruktur-Schutz (Cloudflare)
- DDoS-Schutz.
- Rate Limiting und Bot-Kontrollen.
- Firewall-Regeln und Geo-Regeln (GEO Rules) je nach Risiko.
3.3 Zugriffskontrolle
- Verpflichtende MFA für relevante interne/Admin-Zugriffe.
- Role-Based Access Control (RBAC) und Rollen-/Aufgabentrennung.
- Logging von Admin-Zugriffen, sofern anwendbar.
3.4 Daten, Isolation und Backups
- Verschlüsselung in Transit (TLS).
- Verschlüsselung at-rest durch Cloud-Provider, soweit anwendbar.
- Tenant Isolation für SaaS-Lösungen.
- Backups ungefähr alle 12 Stunden.
Aktuell führen wir keine regelmäßigen, geplanten Restore-Tests durch.
3.5 Secure Development & Betrieb
- Code Reviews als Teil des Release-/Delivery-Prozesses.
- Dependency-Update-/Patching-Prozess nach Priorität.
- Secrets Management zur Reduktion von Credential-Risiken.
- Monitoring und Alerting je nach Kritikalität.
- Incident-Response-Prozess für Sicherheitsereignisse.
Formale interne Postmortems werden nicht systematisch durchgeführt; bei relevanten Vorfällen dokumentieren wir Learnings und Verbesserungsmaßnahmen.
4. Responsible Disclosure – Sicherheitslücken melden
Wenn du eine Sicherheitslücke findest, melde sie bitte an: [email protected]. Wir schätzen klare, nachvollziehbare Reports.
4.1 Was dein Report enthalten sollte
- Betroffene URL/System (Domain/Subdomain).
- Beschreibung der Schwachstelle und möglicher Impact.
- Reproduktionsschritte (Repro Steps) und – wenn möglich – ein sicherer PoC.
- Belege (Screenshots, nicht-sensitive Logs) inkl. Zeitpunkt.
- Kontaktmöglichkeit für Rückfragen.
4.2 Reaktionszeiten (Ziele)
- Eingangsbestätigung: innerhalb von 24 Werktagsstunden.
- Erste Einschätzung/Triage: innerhalb von 3 Werktagen.
- Mitigation/Fix: nach Priorität, typischerweise 3–14 Tage.
4.3 Safe Harbor (Good Faith) und Einschränkungen
Wir werden keine rechtlichen Schritte gegen Researcher einleiten, die in gutem Glauben handeln, den Impact minimieren und verantwortungsvoll melden.
- Unzulässig: Erpressung, Drohungen oder Forderungen nach Zahlung/Belohnung.
- Unzulässig: Massendaten-Exfiltration, unnötiger Zugriff auf Daten oder Persistenz im System.
- Unzulässig: DDoS oder Tests, die die Verfügbarkeit beeinträchtigen.
- Unzulässig: Social Engineering oder Angriffe auf Mitarbeitende/Contractors.
5. Empfehlungen und Pflichten des Kunden (Shared Responsibility)
Sicherheit ist geteilt. Zur Risikoreduktion empfehlen wir Kunden:
- Starke Passwörter und MFA nutzen, sofern verfügbar.
- Zugriffe auf berechtigte Personen begrenzen und Rechte regelmäßig prüfen.
- Credentials/API Keys schützen und bei Verdacht sofort rotieren (falls anwendbar).
- Einen technischen Ansprechpartner für Incident-Koordination benennen.
6. Anwendbares Recht und Gerichtsstand
Diese Seite unterliegt dem Recht der Republik Kolumbien. Ausschließlicher Gerichtsstand für Streitigkeiten ist Medellín, Antioquia, sofern nicht ausdrücklich etwas anderes vereinbart wurde.
7. Änderungen dieser Seite
Wir können diese Inhalte bei technologischen, operativen oder rechtlichen Änderungen aktualisieren. Die aktuelle Version ist im Kopfbereich angegeben.