Die Sicherheit unserer IT-Systeme hat für die Stadt Jena einen hohen Stellenwert. Trotz sorgfältiger Planung, Entwicklung und Wartung können Schwachstellen nicht vollständig ausgeschlossen werden. Wenn Sie eine Schwachstelle in IT-Produkten, IT-Systemen oder IT-Dienstleistungen der Stadt Jena entdecken oder vermuten, freuen wir uns über Ihre Hinweise. Durch Ihre Unterstützung helfen Sie uns, die Sicherheit unserer Systeme auch künftig zu verbessern.

Wenn Schwachstellen Produkte oder Dienste betreffen, die von externen Herstellern bereitgestellt und von der Stadt Jena genutzt werden, bitten wir Sie, sich zunächst an den jeweiligen Hersteller oder Produktverantwortlichen zu wenden. Sollte dort keine Rückmeldung erfolgen oder weiterer Abstimmungsbedarf bestehen, können Sie sich jederzeit an das IT-Sicherheitsteam der Stadt Jena wenden:

Damit wir gemeldete Schwachstellen schnell und verantwortungsvoll prüfen und beheben können, bitten wir darum, die nachfolgenden Grundsätze einzuhalten. Ein finanzielles Vergütungs-, Bug-Bounty-Programm oder eine Belohnung bieten wir derzeit nicht an.

Unser Umgang mit Ihrer Meldung

Wir sichern Ihnen zu, dass wir:

• jeden Schwachstellenbericht innerhalb des gesetzlichen Rahmens vertraulich zu behandeln,
• jede eingehende Schwachstellenmeldung sorgfältig prüfen und den weiteren Umgang transparent gestalten,
• personenbezogene Daten nicht ohne Ihre ausdrückliche Zustimmung an Dritte weiterzugeben. (Siehe Datenschutz, Absatz "Kontaktmöglichkeit")
• eine Rückmeldung zu jeder getätigten gültigen Schwachstellenmeldung zu geben und uns bei Rückfragen oder zur Abstimmung mit Ihnen in Verbindung zu setzen,
• keine rechtlichen Schritte gegen Sie einleiten, sofern Sie sich an diese Richtlinie sowie an geltendes Recht gehalten haben und keine missbräuchliche Nutzung erfolgt ist. Dies gilt nicht, wenn erkennbare kriminelle Absichten verfolgt wurden oder werden.
• während des gesamten CVD-Prozesses als Ansprechpartner für einen vertrauensvollen Austausch zur Verfügung stehen.

Was wir von Ihnen erwarten

Wir bitten Sie, bei der Suche nach und Meldung von Schwachstellen verantwortungsvoll vorzugehen und insbesondere darauf zu achten, dass:

• gefundene Schwachstellen nicht missbräuchlich ausgenutzt werden, weder vor, während noch nach der Meldung,
• keine Beeinträchtigungen von Systemen, Diensten oder Daten verursacht werden, die über das notwendige Maß zur Überprüfung hinausgehen,
• keine Angriffe wie z. B. Social-Engineering-, Spam-, DoS-, DDoS- oder Brute-Force-Angriffe durchgeführt werden,
• keine Daten manipuliert, kompromittiert, gelöscht, veröffentlicht oder an Dritte weitergegeben werden,
• keine Werkzeuge, Exploits oder Anleitungen zur Ausnutzung der bestehenden Schwachstelle verbreitet oder veröffentlicht werden,
• Meldungen nachvollziehbar beschrieben werden und nicht ausschließlich aus automatisierten Scan-Ergebnissen ohne Erläuterung bestehen,
• eine gültige Kontaktmöglichkeit angegeben wird, damit wir bei Rückfragen mit Ihnen in Austausch treten können.

Weitere Hinweise

Gerade bei komplexen Schwachstellen kann es vorkommen, dass wir weitere Erklärungen und Dokumentationen benötigen. Da uns eine gute Kommunikation wichtig ist, werden Schwachstellenmeldungen ohne Kommunikationsmöglichkeiten (z. B. gültige Kontaktdaten) gar nicht oder nur eingeschränkt bearbeitet.

Schwachstellenmeldungen, die Ergebnisse aus automatisierten Tools oder Scans ohne erklärende Dokumentation enthalten, stellen aus unserer Sicht keine gültigen Meldungen dar. Auf ungültige Schwachstellenmeldungen können wir keine Rückmeldung geben.

The security of our IT systems is a top priority for the City of Jena. Despite careful planning, development, and maintenance, vulnerabilities cannot be completely ruled out. If you discover or suspect a vulnerability in the City of Jena’s IT products, IT systems, or IT services, we welcome your reports. Your support helps us continue to improve the security of our systems.

If vulnerabilities affect products or services provided by external vendors and used by the City of Jena, we ask that you first contact the respective vendor or product manager. If you do not receive a response or if further coordination is needed, you can contact the City of Jena’s IT security team:

To enable us to review and address reported vulnerabilities quickly and responsibly, we ask that you adhere to the following guidelines. We do not currently offer a financial compensation program, bug bounty program, or reward.

How We Handle Your Report

We assure you that we:

• will treat every vulnerability report confidentially within the legal framework,
• will carefully review every incoming vulnerability report and handle it transparently,
• will not disclose personal data to third parties without your express consent (see Privacy Policy, section “Contact Information”),
• provide feedback on every valid vulnerability report submitted and contact you if we have any questions or need to coordinate with you,
• not take any legal action against you, provided that you have complied with this policy and applicable law and no misuse has occurred. This does not apply if recognizable criminal intentions were or are being pursued,
• to be available as a point of contact for a trusting exchange throughout the entire CVD process.

What we expect from you

We ask that you act responsibly when searching for and reporting vulnerabilities and, in particular, ensure that:

• discovered vulnerabilities are not exploited, neither before, during, nor after the report,
• no disruption to systems, services, or data is caused that exceeds what is necessary for verification,
• no attacks such as social engineering, spam, DoS, DDoS, or brute-force attacks are carried out,
• no data is manipulated, compromised, deleted, published, or disclosed to third parties,
• no tools, exploits, or instructions for exploiting the existing vulnerability are distributed or published,
• reports are described in a comprehensible manner and do not consist solely of automated scan results without explanation,
• a valid contact method is provided so that we can communicate with you in case of follow-up questions.

Additional Notes

Especially in the case of complex vulnerabilities, we may require further explanations and documentation. Since good communication is important to us, vulnerability reports without means of communication (e.g., valid contact information) will not be processed at all or only to a limited extent.

Vulnerability reports that contain results from automated tools or scans without explanatory documentation do not constitute valid reports in our view. We cannot provide feedback on invalid vulnerability reports.