Richtlinie zur Offenlegung von Schwachstellen

Zuletzt aktualisiert: 25. Oktober 2026 (Version 1.1).

1. Zweck

GlobeID Limited („GlobeID") betreibt die Plattform PassportScan, die Identitätsdaten von Hotelgästen im Auftrag von Beherbergungsbetrieben verarbeitet. Wir schätzen die Arbeit von Sicherheitsforschern und möchten über jede Schwachstelle informiert werden, die diese Daten, unsere Kunden oder unsere Nutzer gefährden könnte.

Diese Richtlinie erläutert, wie Sie uns eine Sicherheitsschwachstelle melden können, was Sie von uns erwarten können und welche Regeln beim Testen gelten. Sie unterstützt das Informationssicherheits-Managementsystem von GlobeID (ISO/IEC 27001:2022, Maßnahmen A.5.7 Threat intelligence und A.8.8 Management of technical vulnerabilities).

2. Geltungsbereich

Im Geltungsbereich

• Die PassportScan-Cloud-Webanwendungen und APIs, die unter app.passportscan.net, api.passportscan.net, workspace.passportscan.net, distributor.passportscan.net und selfcheckin.passportscan.net veröffentlicht sind
• Die von GlobeID im Apple App Store und bei Google Play veröffentlichten PassportScan-Mobil-Apps
• Der von Gästen genutzte PassportScan-Self-Check-in-Webablauf
• Die öffentliche Website https://www.passportscan.net

Außerhalb des Geltungsbereichs

• Von Dritten betriebene Systeme (Konsolen von Cloud-Anbietern, Zahlungsdienstleister, Identitätsanbieter, von Kunden angebundene Property-Management-Systeme)
• VPN-Infrastruktur (einschließlich vpn.passportscan.net) sowie alle ausschließlich internen Hostnamen unter passportscan.net, die nicht als im Geltungsbereich liegend aufgeführt sind
• Kundeneigene Geräte, Netzwerke und On-Premise-Installationen
• Social Engineering, Phishing oder physische Angriffe gegen Mitarbeiter, Auftragnehmer oder Kunden von GlobeID
• Denial-of-Service- oder Ressourcenerschöpfungstests jeglicher Art
• Automatisierte Scans, die ein hohes Verkehrsaufkommen erzeugen (unsere Edge-Infrastruktur begrenzt die Anfragerate und blockiert missbräuchliche Quellen)
• Befunde, die nur veraltete Browser betreffen oder ein kompromittiertes Gerät voraussetzen
• Meldungen über fehlende Best-Practice-Header, SPF-/DMARC-Konfiguration oder die Offenlegung von Versionsinformationen ohne nachgewiesene Auswirkung

3. Meldeverfahren

Senden Sie Ihre Meldung an security@passportscan.net. Bitte geben Sie Folgendes an:

• eine Beschreibung der Schwachstelle und der betroffenen Komponente (URL, App-Version, Endpunkt)
• eine Schritt-für-Schritt-Anleitung zur Reproduktion, gegebenenfalls mit Requests/Responses oder Screenshots
• Ihre Einschätzung der Auswirkungen
• wie wir Sie für Rückfragen erreichen können (anonyme Meldungen werden akzeptiert)

Falls die Meldung personenbezogene Daten von Gästen oder Kunden enthält, übermitteln Sie nur das zum Nachweis des Problems erforderliche Minimum und löschen Sie jegliche Kopie, sobald wir den Empfang bestätigt haben.

Ein maschinenlesbarer Verweis auf diese Richtlinie ist unter https://www.passportscan.net/.well-known/security.txt (RFC 9116) veröffentlicht.

4. Was Sie von uns erwarten können

Führt eine Schwachstelle zu einer Verletzung des Schutzes personenbezogener Daten oder ist eine solche wahrscheinlich, befolgt GlobeID sein Verfahren für Incident Response & Datenschutzverletzungen, einschließlich der unverzüglichen Benachrichtigung der betroffenen Kunden (Verantwortlichen) sowie der Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden, soweit nach Art. 33 DSGVO erforderlich.

5. Verhaltensregeln (Safe Harbour)

Wir werden keine rechtlichen Schritte einleiten und Sie nicht bei den Strafverfolgungsbehörden anzeigen, wenn Ihre Sicherheitsforschung im Einklang mit dieser Richtlinie steht. Im Gegenzug bitten wir Sie:

• in gutem Glauben zu handeln und Verletzungen der Privatsphäre, Datenzerstörung und Dienstunterbrechungen zu vermeiden
• die Tests sofort einzustellen und umgehend Meldung zu erstatten, sobald Sie auf personenbezogene Daten stoßen (Identitätsdokumente, Gästedaten) — laden Sie diese nicht herunter, speichern und teilen Sie sie nicht
• nur Konten zu verwenden, die Ihnen gehören oder zu deren Nutzung Sie ausdrücklich berechtigt sind; versuchen Sie nicht, auf Daten anderer Kunden zuzugreifen
• eine Schwachstelle nicht über das zum Nachweis erforderliche Maß hinaus auszunutzen (kein Pivoting, keine Persistenz, keine laterale Bewegung)
• keine Denial-of-Service-, Brute-Force- oder Spam-Tests durchzuführen
• die Einzelheiten der Schwachstelle vertraulich zu behandeln, bis wir sie behoben und eine Offenlegung vereinbart haben

Die Produktionsumgebung von GlobeID wird überwacht (Web Application Firewall, Request-Protokollierung und Alarmierung). Tests, die gegen diese Regeln verstoßen, können automatisch blockiert und als Angriff behandelt werden.

6. Koordinierte Offenlegung

Wir bitten um eine Frist von 90 Tagen ab der Eingangsbestätigung vor jeder öffentlichen Offenlegung; diese kann im gegenseitigen Einvernehmen verlängert werden, wenn eine Behebung die Koordination mit einem Dritten erfordert (zum Beispiel eine Veröffentlichung in einem App-Store oder eine Kundenintegration). Auf Wunsch nennen wir Sicherheitsforscher gerne namentlich in unseren Release Notes.

7. Anerkennung

GlobeID betreibt derzeit kein vergütetes Bug-Bounty-Programm. Wir würdigen gültige Meldungen öffentlich (mit Ihrer Zustimmung) und können nach eigenem Ermessen für Erkenntnisse mit hoher Tragweite ein Zeichen der Anerkennung anbieten.

8. Unser eigenes Schwachstellenmanagement

Unabhängig von externen Meldungen führt GlobeID folgende Maßnahmen durch:

• Prüfung jedes Container-Images auf bekannte Schwachstellen beim Hochladen in die Image-Registry sowie Überprüfung von Drittanbieter-Abhängigkeiten im Rahmen des Release-Prozesses
• Anwendung einer risikobasierten Patching-Richtlinie mit den in Abschnitt 4 genannten Behebungszielen
• Beauftragung regelmäßiger unabhängiger Penetrationstests der Plattform
• Erfassung aller Erkenntnisse im Schwachstellenregister, das vom Informationssicherheitsbeauftragten überprüft wird

9. Kontakt

Sicherheitsmeldungen: security@passportscan.net Datenschutzangelegenheiten: privacy@passportscan.net Juristische Person: GlobeID Limited, The Black Church, St. Mary's Place, Dublin 7, D07 P4AX, Irland (CRO 559612)