Schwachstellen.Vulnerabilities.
Diese Seite ist die öffentliche Richtlinie zur koordinierten Offenlegung. Sie ist keine Rechtsberatung. Deutsch und Englisch sind willkommen. This is the public coordinated-disclosure policy. It is not legal advice. German and English are welcome.
01MeldenReport
Schreiben Sie an den überwachten Sicherheitskontakt. Nennen Sie die betroffene Fläche (diese Firmenwebsite, Capitality, ein Mandanten-Arbeitsbereich), eine Version oder ein Datum und einen Proof of Concept ohne Kundendaten. Write to the monitored security contact. Name the surface (this company site, Capitality, a tenant workspace), a version or date, and a proof of concept that does not include customer data.
02GeltungsbereichScope
Im Geltungsbereich. Die von der Capkrea GmbH betriebene Firmenwebsite, das Produkt Capitality (Web-Anwendung, Marketing- und Dokumentationsseiten, Anmeldung). In scope. The company website Capkrea GmbH operates, and the Capitality product (web app, marketing and documentation sites, sign-in).
Außerhalb. Systeme, die Sie selbst betreiben; unveränderte Drittanbieter-Software — bitte upstream melden und uns sagen, wenn eine ausgelieferte Fläche betroffen ist. Product-spezifische Capitality-Details stehen auch auf capitality.io/security. Out of scope. Systems you operate; unmodified third-party software — report those upstream, and tell us if they affect a shipped surface. Product-specific Capitality detail also lives at capitality.io/security.
03Bitte nichtPlease do not
Greifen Sie nicht auf Daten anderer Kunden zu, führen Sie keine volumetrischen Denial-of-Service-Angriffe durch und machen Sie eine Zahlung nicht zur Bedingung für die Offenlegung. Do not access other customers' data, run volumetric denial-of-service, or demand payment as a condition of disclosure.
04Was danach passiertWhat happens next
Wir bestätigen den Eingang, prüfen den Bericht und halten Sie auf dem Laufenden, bis der Fix steht. Dieselbe Adresse steht in security.txt. We acknowledge receipt, investigate, and keep you posted until a fix ships. The same address is advertised in security.txt.
Stand: August 2026