Sicherheit

Schwachstelle melden

Sie haben eine Sicherheitslücke in AnnexCREATE gefunden? Bitte melden Sie sie uns, bevor Sie sie öffentlich machen. Wir nehmen jede Meldung ernst und antworten von einem Menschen.

So melden Sie

• Per E-Mail an mail@annexcreate.com, Betreff „Schwachstelle". Deutsch oder Englisch.
• Maschinenlesbar steht derselbe Kontakt in unserer security.txt (RFC 9116).
• Eine verschlüsselte Meldung bieten wir derzeit nicht an; wir veröffentlichen keinen PGP-Schlüssel. Schicken Sie deshalb keine Zugangsdaten und keine Daten Dritter mit.

Was in die Meldung gehört

• Betroffene App und Version (AnnexHub, AnnexDesign, …) sowie macOS-Version, oder betroffene Adresse der Website.
• Was Sie beobachtet haben und welche Auswirkung Sie vermuten.
• Die Schritte zum Nachstellen, wenn möglich mit einer kleinen Beispieldatei.
• Ob Ihnen bekannt ist, dass die Lücke bereits ausgenutzt wird.
• Wie wir Sie nennen sollen — oder dass Sie ungenannt bleiben möchten.

Was Sie bitte unterlassen

• Keine Tests gegen Konten, Lizenzen oder Daten anderer Kundinnen und Kunden. Prüfen Sie nur Ihre eigene Installation und Ihre eigenen Dateien.
• Keine Last-, Überlastungs- oder Denial-of-Service-Tests gegen annexcreate.com und unsere Schnittstellen.
• Kein Social Engineering gegen uns oder Dritte und kein Zugriff auf Daten, die über den Nachweis der Lücke hinausgehen.
• Bitte veröffentlichen Sie die Einzelheiten erst nach Abstimmung mit uns.

Unsere Reaktionszeiten

Wir sind ein kleines Team. Diese Zeiten sagen wir zu und halten sie ein:

• Eingangsbestätigung: binnen drei Werktagen, mit einer Vorgangsnummer.
• Erste Bewertung: binnen fünf Werktagen, ob es sich um eine Schwachstelle in AnnexCREATE handelt und wie schwer sie wiegt (Schweregrad nach CVSS). Besteht der Verdacht, dass die Lücke bereits ausgenutzt wird, bewerten wir binnen 24 Stunden.
• Behebung: kritische und hohe Schwachstellen unverzüglich, als Richtwert binnen 14 Tagen nach Bewertung; mittlere mit der nächsten Version; niedrige nach Plan. Ist mehr Zeit nötig, sagen wir Ihnen, warum.
• Rückmeldung: Sie erfahren das Ergebnis und den Termin der Veröffentlichung.

Aktiv ausgenutzte Schwachstellen melden wir außerdem selbst, wie es die Verordnung (EU) 2024/2847 (Cyber Resilience Act) verlangt, an die zuständigen Stellen.

Koordinierte Offenlegung

Wir bitten um Vertraulichkeit, bis ein Update verfügbar ist, in der Regel höchstens 90 Tage ab Eingang der Meldung. Aktiv ausgenutzte Lücken beheben und melden wir schneller. Nach der Behebung veröffentlichen wir Beschreibung, betroffene Versionen, Schweregrad, die behebende Version und einen Handlungshinweis, in den Versionshinweisen und auf dieser Website. Auf Wunsch nennen wir Sie als Melderin oder Melder. Liegt die Ursache in einer fremden Bibliothek, geben wir Ihre Meldung an deren Betreuer weiter.

Safe Harbor

Wer sich an diese Richtlinie hält — also gutgläubig, nur an der eigenen Installation, ohne Daten Dritter abzugreifen und ohne uns zu behindern —, gegen den gehen wir nicht rechtlich vor und zeigen ihn nicht an. Das gilt für unsere Ansprüche; was Dritte tun, können wir nicht zusagen. Ein Bug-Bounty-Programm gibt es derzeit nicht.

Sicherheitsupdates mindestens fünf Jahre

Für jede Lizenz stellen wir mindestens fünf Jahre ab dem Kaufdatum kostenlos Sicherheitsupdates bereit, auch wenn in dieser Zeit eine neue Hauptversion erscheint (AGB, Abschnitt B4). Updates verteilen wir signiert über den Update-Feed der Apps und die Downloadseite.

Stand: September 2026. Kontaktdaten maschinenlesbar: /.well-known/security.txt.