Verantwortungsvolle Offenlegung

Fassung 2026-08-08 — veröffentlicht und zuletzt aktualisiert: 8. August 2026, 10:00 Uhr MESZ

Diese Richtlinie gilt für von Coflnet betriebene Dienste und Systeme. Plattformen und Daten Dritter liegen außerhalb ihres Umfangs, soweit Sie nicht deren gesonderte Erlaubnis haben. Für Safe Harbor und Teilnahmeberechtigung einer Meldung gilt die bei Eingang bei Coflnet angezeigte Fassung; eine spätere Änderung verengt weder rückwirkend eine regelkonforme Tätigkeit noch eine bereits bewilligte Prämie.

Bedingungen für gutgläubiges Handeln

Forschung ist nach unseren AGB nur erlaubt, wenn Sie:

• ausschließlich eigene Konten oder Systeme testen, für die Sie eine Erlaubnis haben;
• Tests minimieren und beim Auftreffen auf fremde oder personenbezogene Daten abbrechen;
• Daten nur soweit abrufen, kopieren oder behalten, wie dies zum Nachweis unbedingt erforderlich ist, und sie nicht offenlegen oder exfiltrieren;
• Dienste nicht stören, keine Denial-of-Service- oder Social-Engineering-Techniken verwenden, keine Persistenz einrichten und andere Nutzer nicht beeinträchtigen;
• eine Schwachstelle nicht ausnutzen, um Guthaben, Zugriff, Gegenstände oder andere Vorteile zu erhalten oder zu behalten; und
• vertraulich melden, uns angemessene Gelegenheit zur Untersuchung und Behebung geben und geltendes Recht einhalten.

Problem melden

Schreiben Sie an [email protected] oder nutzen Sie unser Kontaktformular. Nennen Sie den betroffenen Dienst, Reproduktionsschritte, Auswirkungen und maßgebliche Zeiten, aber senden Sie keine aktiven Geheimnisse oder unnötigen personenbezogenen Daten.

Sie können melden, ohne Ihre bürgerliche Identität offenzulegen, etwa über ein pseudonymes Konto oder eine pseudonyme Antwortadresse. Behalten Sie einen stabilen vertraulichen Kontakt oder eine Fallreferenz, wenn wir Rückfragen stellen oder eine spätere Prämie zuordnen können sollen. Eine anonyme Meldung wird nach ihrem Inhalt geprüft, kann aber nicht anonym ausgezahlt werden.

Bewilligen wir für eine anonyme Meldung eine Prämie, stellt der Meldeweg ein einmaliges vertrauliches Abruftoken bereit. Coflnet speichert nur dessen Einweg-Hash. Bewahren Sie das Token auf, bis Sie die Prämie mit Ihrem authentifizierten Coflnet-Konto verknüpft haben; Coflnet kann es nicht wiederherstellen. Seine Vorlage erfasst Konto und Abrufzeit. Das Token ist kein Zahlungsnachweis und eröffnet nur den Zugriff auf diese Prämie.

Wann eine Meldung erforderlich ist

Zeigt Ihre Nutzung einen unbefugten Zugriff auf das Konto oder die Daten einer anderen Person oder einen erheblichen Sicherheits-, Abrechnungs-, Zahlungs-, CoflCoin- oder Guthabenfehler, der Ihnen einen unbeabsichtigten Zugriff oder Vorteil verschafft oder verschaffen könnte, stellen Sie die betroffene Nutzung ein, behalten Sie Daten oder Vorteil nicht und melden Sie die wesentlichen Tatsachen unverzüglich vertraulich. Dasselbe gilt für einen Fehler, von dem Sie wissen, dass er eine unmittelbare erhebliche Gefahr für Sicherheit oder Integrität des Dienstes oder seiner Nutzer schafft. Sie müssen weder weiter testen noch Drittsysteme untersuchen oder unnötige Nachweise sammeln.

Meldungen gewöhnlicher Anzeigefehler, Unannehmlichkeiten, geringfügiger Mängel und Dienstbeeinträchtigungen sind erwünscht; die AGB begründen aber keine pauschale Pflicht, jedes solche Problem zu melden. Gesetzliche Kundenrechte auf Abhilfe bleiben unberührt.

Safe Harbor

Halten Sie diese Richtlinie ein, behandelt Coflnet die Forschung oder Meldung nicht als Missbrauch nach seinen AGB und macht keine allein auf diese regelkonforme Tätigkeit gestützten vertraglichen Ansprüche geltend. Diese Richtlinie kann kein Verhalten zulasten Dritter erlauben, Behörden binden oder zwingende Rechte ausschließen.

Meldeprämien

Wir können eine nützliche, verantwortungsvoll eingereichte Meldung zu Sicherheit, erheblicher Dienstbeeinträchtigung oder einem Abrechnungs- oder Guthabenfehler nach menschlicher Prüfung anerkennen. Einreichung, erste Entdeckung und Erfüllung einer Meldepflicht garantieren für sich genommen keine Prämie. Eine reine Doppelmeldung ohne wesentliche neue Information, eine nicht prüfbare Meldung oder unbefugt beschaffte oder erfundene Nachweise sind regelmäßig nicht teilnahmeberechtigt. Die Entscheidung über eine freiwillige Prämie beschränkt keine gesetzlichen Mängel-, Schadensersatz- oder Erstattungsrechte.

Bewilligen wir eine Prämie, bezeichnen wir Meldung, Vergütungsbetrag in EUR vor Steuerabzug und ohne Umsatzsteuer sowie die anwendbare Auszahlungsschwelle. Der bewilligte Betrag wird sofort in einem gesonderten EUR-Prämienkonto und für die Buchführung erfasst, auch unterhalb der Schwelle. Er ist weder CoflCoins noch Dienstguthaben, kann nicht für einen Dienst ausgegeben und nicht an einen anderen Nutzer übertragen werden. Bewilligte Prämien sammeln sich an; das Erreichen der Schwelle ermöglicht eine manuelle Auszahlungsanforderung und löst keine automatische Zahlung aus.

Eine Auszahlung setzt ein vertrauliches Zahlungsempfänger-Onboarding mit rechtlicher Identität, Anschrift, Land und Steueransässigkeit, privater oder unternehmerischer Eigenschaft und Umsatzsteuerstatus sowie den gesetzlich erforderlichen Rechnungs-, Gutschrift- und Auszahlungsangaben voraus. Umsatzsteuer, die der Empfänger gesetzlich berechnen muss, wird gesondert hinzugefügt; Steuer, die Coflnet gesetzlich einbehalten muss, wird abgezogen. Wir können nur auszahlen, wenn ein rechtmäßiges Auszahlungs-, Steuer- und Buchungsverfahren verfügbar ist.

Sind Sie unter 18 Jahre alt, zahlen wir nicht allein auf Ihre Erklärung hin aus. Sie wählen, ob Ihr gesetzlicher Vertreter Auszahlung und Zahlungsempfänger-Onboarding in dokumentierter Form genehmigt oder ob die bewilligte Prämie im Prämienkonto verbleibt, bis Sie das 18. Lebensjahr vollendet und das Onboarding abgeschlossen haben. In beiden Fällen behält die Prämie Bewilligungsdatum und Betrag, verfällt während der Wartezeit nicht und geht nicht deshalb verloren, weil Sie bei der Bewilligung minderjährig waren. Einzelheiten stehen in COMMERCE-5 der Handels- und Programmbedingungen, der Kernregel zur Sicherheitsmeldung und Abschnitt 5 der Datenschutzerklärung.