Skip to content

Work in progress: this website is still under construction. Content may be incomplete or change at any time.

Open Pioneer Trails

Sicherheitsrichtlinie

English version

Open Pioneer Trails ist ein Open-Source-Framework zur Entwicklung clientseitiger Web-GIS-Anwendungen. Diese Seite beschreibt, wie SicherheitslĂŒcken in Open Pioneer Trails gemeldet werden können und wie wir mit solchen Meldungen umgehen.

Definition einer Schwachstelle

Section titled “Definition einer Schwachstelle”

Als Sicherheitsschwachstelle verstehen wir einen Fehler oder eine SchwĂ€che in einem der Open-Pioneer-Trails-Pakete, in der zugehörigen Dokumentation/Webseite oder in der zur Bereitstellung dieser Angebote genutzten Infrastruktur (z. B. Repository-Hosting, Build- und Release-Pipeline), durch die die Schutzziele der Informationssicherheit gefĂ€hrdet werden können – also die Vertraulichkeit, IntegritĂ€t oder VerfĂŒgbarkeit von Systemen und Daten.

Gemeldet werden sollten nur Schwachstellen, die tatsĂ€chlich ausnutzbar sind und ein erkennbares Sicherheitsrisiko darstellen, etwa unautorisierter Zugriff, das AusfĂŒhren fremden Codes oder die Manipulation von Daten. Nicht als Schwachstelle im Sinne dieser Richtlinie gelten insbesondere: Social-Engineering-Versuche, Probleme, die ausschließlich auf veralteten oder nicht mehr unterstĂŒtzten Browsern beruhen, unverifizierte Ergebnisse automatisierter Scanner, Denial-of-Service-Angriffe sowie allgemeine Support-Anfragen.

Geltungsbereich

Section titled “Geltungsbereich”

Diese Richtlinie gilt fĂŒr:

Anwendungen, die auf Basis von Open Pioneer Trails von Dritten entwickelt und betrieben werden, fallen nicht in den Geltungsbereich dieser Richtlinie. Schwachstellen in solchen Anwendungen sollten direkt an deren jeweiligen Betreiber gemeldet werden.

Meldung einer Schwachstelle

Section titled “Meldung einer Schwachstelle”

Bitte melden Sie vermutete SicherheitslĂŒcken per E-Mail an security@open-pioneer.dev.

Alternativ können Schwachstellen ĂŒber GitHub mitgeteilt werden. Dies geschieht pro Repository im Abschnitt Security and quality -> Private vulnerability reporting. Die folgende Liste ist nicht vollstĂ€ndig:

Ihre Meldung sollte idealerweise enthalten:

  • eine Beschreibung der Schwachstelle und der möglichen Auswirkungen
  • das betroffene Paket, die betroffene Komponente oder die betroffene URL (inkl. Versionsangabe, sofern zutreffend)
  • eine nachvollziehbare Schritt-fĂŒr-Schritt-Anleitung zur Reproduktion (Proof of Concept)
  • relevante technische Details (z. B. Version, Zeitpunkt, verwendete Werkzeuge)
  • optional: Ihre Kontaktdaten fĂŒr RĂŒckfragen
  • optional: Ihre EinschĂ€tzung der KritikalitĂ€t

Vorgehensweise

Section titled “Vorgehensweise”

Nach Eingang Ihrer Meldung reagieren wir umgehend und arbeiten mit Ihnen zusammen, um die Schwachstelle zu verstehen und zu analysieren. Zur Bewertung des Schweregrads orientieren wir uns an etablierten Standards (z. B. CVSS). Die PrioritĂ€t fĂŒr die Behebung ergibt sich aus Auswirkung, Schweregrad und KomplexitĂ€t der Ausnutzbarkeit. Wir halten Sie ĂŒber den Fortschritt der Bearbeitung auf dem Laufenden.

Was Sie von uns erwarten können

Section titled “Was Sie von uns erwarten können”

Wir verpflichten uns dazu,

  • Ihre Meldung zeitnah zu beantworten und gemeinsam mit Ihnen die Schwachstelle zu verstehen und zu validieren,
  • Sie ĂŒber den Fortschritt bei der Bearbeitung auf dem Laufenden zu halten,
  • erkannte Schwachstellen im Rahmen der Möglichkeiten eines Open-Source-Projekts zeitnah zu beheben.

Open Pioneer Trails ist Open-Source-Software und als solche von zahlreichen Pflichten des Cyber Resilience Acts (CRA, Verordnung (EU) 2024/2847) befreit. Die Steward-Organisationen des Projekts (derzeit con terra GmbH und 52°North GmbH) stellen jedoch Entwicklungs-Ressourcen, Code-Reviews, Release-Management und die Bearbeitung von Schwachstellenmeldungen bereit und unterliegen dadurch ab dem 11. September 2026 den Melde- und Informationspflichten aus Art. 14 CRA. Aktiv ausgenutzte Schwachstellen werden entsprechend an die zustÀndige nationale CSIRT bzw. ENISA gemeldet; Nutzer, zu denen eine direkte Beziehung besteht, werden im gebotenen Rahmen informiert.

So unterstĂŒtzen Sie den Prozess

Section titled “So unterstĂŒtzen Sie den Prozess”

Wir bitten Sie,

  • gefundene Schwachstellen zeitnah zu melden,
  • die PrivatsphĂ€re anderer zu wahren und Systeme, Daten oder die Nutzererfahrung nicht zu beeintrĂ€chtigen,
  • ausschließlich den oben genannten offiziellen Meldeweg zu nutzen,
  • Informationen ĂŒber die Schwachstelle bis zur Behebung vertraulich zu behandeln,
  • Tests auf die im Geltungsbereich dieser Richtlinie genannten Systeme zu beschrĂ€nken,
  • nicht mehr Daten einzusehen oder zu verĂ€ndern, als zum Nachweis der Schwachstelle erforderlich ist,
  • von Denial-of-Service-Angriffen und Erpressungsversuchen abzusehen.

Offenlegung

Section titled “Offenlegung”

Mit dem Absenden einer Schwachstellenmeldung erklÀren Sie sich damit einverstanden,

  • Informationen ĂŒber die Schwachstelle nicht öffentlich zu machen und nicht an unbeteiligte Dritte weiterzugeben, bis die Schwachstelle geprĂŒft und angemessene Maßnahmen ergriffen wurden oder eine mit uns abgestimmte Offenlegungsfrist abgelaufen ist,
  • die Schwachstelle nicht ĂŒber das zur Feststellung und Meldung erforderliche Maß hinaus zu nutzen und insbesondere keine Daten oder DatensĂ€tze einzusehen, zu verĂ€ndern, herunterzuladen oder zu löschen,
  • die an Ihrem Standort geltenden Gesetze und Vorschriften einzuhalten,
  • die geltenden Datenschutzbestimmungen zu beachten und insbesondere personenbezogene Daten Dritter nicht ohne gĂŒltige Rechtsgrundlage offenzulegen,
  • nach bestem Wissen berechtigt zu sein, die ĂŒbermittelten Informationen und AnhĂ€nge zu ĂŒbermitteln.

Auf Wunsch nennen wir Sie im Rahmen einer koordinierten Offenlegung als Entdecker der Schwachstelle.