Zum Hauptinhalt springen

Bedingungen zur Meldung von Schwachstellen

Letzte Aktualisierung: September 2025

Diese Bedingungen regeln das Tanium-CNA- und Bug-Bounty-Programm und ersetzen im Falle widersprüchlicher Aussagen die Richtlinien und Bedingungen von HackerOne. Das Bug-Bounty-Programm von Tanium unterliegt bestimmten ergänzenden Bedingungen und Anforderungen an den Umfang, die nachfolgend aufgeführt sind. Durch die Einreichung einer Schwachstelle im Rahmen eines der beiden Programme erkennen Sie die folgenden Bedingungen an und stimmen ihnen zu.

Melderichtlinien

  • Stellen Sie detaillierte Berichte mit reproduzierbaren Schritten bereit. Geben Sie unbedingt den Namen und die Versionsnummer des betroffenen Tanium-Produkts, die Art und die Auswirkungen des vermuteten Problems sowie alle zugehörigen Nachweise oder PoC (Proof of Concept) an, sofern erforderlich.
  • Social Engineering (z. B. Phishing, Vishing, Smishing) ist verboten.
  • Bemühen Sie sich nach besten Kräften, Datenschutzverletzungen, Datenverluste sowie Unterbrechungen oder Beeinträchtigungen unseres Dienstes zu vermeiden. Interagieren Sie nur mit Konten, die Ihnen gehören, oder mit ausdrücklicher Genehmigung des Kontoinhabers.
  • Vernichten Sie alle vertraulichen Informationen, die Sie möglicherweise erhalten haben, auf sichere Weise.
  • Sie räumen Tanium alle für die Berichte erforderlichen Rechte ein.
  • Sie haben die Tanium-Richtlinie zur Offenlegung von Sicherheitslücken gelesen und ihr zugestimmt, und Sie erkennen an, dass Tanium das volle Ermessen behält, die Bedingungen des Programms auszulegen und anzuwenden, einschließlich der Berechtigung einer Person zur Teilnahme oder der Änderung von Programmprämien.
  • Sie sind berechtigt, an diesem Programm teilzunehmen, haben von Ihrem Arbeitgeber alle erforderlichen Genehmigungen zum Erhalt der verliehenen Preise eingeholt und handeln dabei in Übereinstimmung mit allen geltenden Gesetzen, Vorschriften und den Richtlinien Ihres Arbeitgebers bezüglich der Annahme von Prämien.

Außerhalb des Geltungsbereichs

Bitte berücksichtigen Sie beim Melden von Sicherheitslücken das Angriffsszenario/die Ausnutzbarkeit sowie die Sicherheitsauswirkungen des Fehlers. Die folgenden Probleme gelten beispielsweise als außerhalb des Geltungsbereichs:

  • Clickjacking auf Seiten ohne sensible Aktionen.
  • Nicht authentifiziertes/Abmelde-/Anmelde-CSRF.
  • Fehlende bewährte Konfigurationspraktiken ohne funktionierenden Proof of Concept.
  • Denial-of-Service-Angriffe (DoS) auf unsere Web-Dienste.
  • Spam oder Social-Engineering-Techniken.
  • Tanium Labs-Inhalte.
  • Sicherheitslücken in Tanium-Integrationen von Drittanbietern, einschließlich Anwendungen, Diensten oder Sensoren.
  • Sicherheitslücken, die nur dann ausgenutzt werden können, wenn jemand unsere Produkte absichtlich falsch konfiguriert, unsicher konfiguriert oder unsicher einsetzt.
  • Schwachstellen in generischen Implementierungen von Technologien oder Bibliotheken, die wir einsetzen. In einigen Fällen nutzt Tanium Technologien von Drittanbietern in begrenztem Umfang, um unsere Lösungen zu implementieren. Schwachstellen in generischen Implementierungen von Drittanbietertechnologien sind ausgeschlossen, es sei denn, es wird festgestellt, dass eine Schwachstelle in der Implementierung von Tanium vorliegt.

Safe Harbor

Alle Aktivitäten, die in einer mit dieser Richtlinie übereinstimmenden Weise durchgeführt werden, gelten als von Tanium autorisiertes Verhalten. Sollte ein Dritter im Zusammenhang mit Aktivitäten, die im Rahmen dieser Richtlinie durchgeführt wurden, rechtliche Schritte gegen Sie einleiten, werden wir Maßnahmen ergreifen, um klarzustellen, dass Ihre Handlungen in Übereinstimmung mit dieser Richtlinie erfolgten.

Melderichtlinien für das Bug-Bounty-Programm

Schwachstellen, die über das Bug-Bounty-Programm von Tanium eingereicht werden, unterliegen ebenfalls diesen zusätzlichen Melderichtlinien:

  • Wenn der Bericht nicht detailliert genug ist, um das Problem zu reproduzieren, ist das Problem nicht für eine Prämie berechtigt.
  • Reichen Sie eine Schwachstelle pro Bericht ein, es sei denn, Sie müssen Schwachstellen verketten, um deren Auswirkungen darzustellen.
  • Bei Duplikaten wird nur der erste eingegangene Bericht berücksichtigt (sofern er vollständig reproduziert werden kann).
  • Mehrere Schwachstellen, die durch ein einziges zugrunde liegendes Problem verursacht werden, werden mit einer einzigen Prämie vergütet.
  • Die Teilnahme am Programm von Tanium begründet kein Arbeitsverhältnis.

Bug-Bounty-Umfang

Die folgenden Ressourcen fallen in den Geltungsbereich des Bug-Bounty-Programms:

  • Jede Schwachstelle, die im Tanium-CNA-Umfang enthalten ist
  • Kundenspezifische Domains, die mit der „bugbounty"-Kundeninstanz verbunden sind. Diese sind
    • bugbounty.cloud.tanium.com
    • bugbounty-api.cloud.tanium.com
    • portal.bugbounty.cloud.tanium.com
  • Jede öffentlich zugängliche Website auf der Domain tanium.com (z. B. tanium.com, developer.tanium.com, docs.tanium.com), die nicht explizit mit einem bestimmten Kunden in Verbindung steht.

Die folgenden Ressourcen sind nicht im Geltungsbereich für Bug-Bounty-Tests:

  • Von Tanium in der Cloud gehostete oder vor Ort betriebene Ressourcen, die einem bestimmten Tanium-Kunden gehören. Dies umfasst alle Domains, die den folgenden Mustern entsprechen:
    • *.cloud.tanium.com
    • *-api.cloud.tanium.com
    • portal.*.cloud.tanium.com

Bug-Bounty-Prämien

Unsere Prämien basieren auf einer Vielzahl von Faktoren, darunter der Schweregrad gemäß dem CVSSv3 (Common Vulnerability Scoring Standard) und dem betroffenen Asset. Bitte beachten Sie, dass es sich hierbei um allgemeine Richtlinien handelt und Entscheidungen über Prämien im Ermessen von Tanium liegen.

Die folgenden Personen sind möglicherweise nicht für bestimmte Prämien, einschließlich Geldprämien, qualifiziert:

  • Mitarbeiter und Auftragnehmer von Tanium sowie alle anderen Arbeitskräfte, die Dienstleistungen für Tanium erbringen.
  • Mitarbeiter und Auftragnehmer von Tanium-Kunden oder potenziellen Kunden sowie alle anderen Arbeitskräfte, die Dienstleistungen für einen Tanium-Kunden oder potenziellen Kunden erbringen und im Rahmen ihrer normalen beruflichen Aufgaben eine Sicherheitslücke identifizieren.
  • Einwohner von Ländern, die von der US-Regierung mit Embargos und Sanktionen belegt wurden, darunter derzeit Kuba, Iran, Nordkorea, Syrien, Russland, Belarus sowie bestimmte betroffene Regionen der Ukraine, und alle anderen besonders bezeichneten Staatsangehörigen gemäß der Identifizierung durch das US-amerikanische Office of Foreign Assets Control, wie von Zeit zu Zeit aktualisiert.
  • Die unmittelbaren Familienangehörigen oder im selben Haushalt lebenden Personen der oben beschriebenen Personen.

Vielen Dank, dass Sie dazu beitragen, Tanium und unsere Nutzer zu schützen!