Sicherheitslücke melden
Sie haben etwas gefunden? Danke. Hier steht, wohin damit und was Sie von uns erwarten können.
Schreiben Sie an info@pepelabs.de
Wir antworten binnen 48 Stunden und sagen Ihnen, was wir tun und bis wann. Auf Wunsch nennen wir Sie als Finder, wenn die Lücke geschlossen ist — oder lassen Sie ungenannt, ganz wie Sie wollen.
Was in die Mail gehört
So viel, wie Sie haben. Nichts davon ist Pflicht, aber jede Angabe spart eine Rückfrage:
- Welches Produkt oder welche Adresse betroffen ist
- Was passiert — und wie wir es nachstellen können
- Was ein Angreifer damit erreichen könnte
- Ob Sie die Lücke schon jemand anderem gemeldet haben
- Ob und wann Sie veröffentlichen möchten
Wenn Sie verschlüsselt schreiben möchten, sagen Sie kurz Bescheid — wir schicken Ihnen einen Schlüssel.
Wofür das gilt
| apexly.de | die Website, das Dashboard, der Partnerbereich und die Schnittstelle |
|---|---|
| Apexly DSGVO-Check | unser WordPress-Plugin im offiziellen Verzeichnis — wordpress.org/plugins/apexly-dsgvo-check |
| Apexly Connector | das WordPress-Plugin für Partner-Agenturen — apexly.de/wordpress |
Unsere Zusage an Sie
Wenn Sie gutgläubig suchen und sich an die Regeln unten halten, gilt:
- Wir gehen nicht rechtlich gegen Sie vor und stellen keine Strafanzeige.
- Wir sperren Sie nicht und melden Sie nirgends.
- Wir halten Sie auf dem Laufenden, bis die Sache erledigt ist.
- Wir nennen Sie auf Wunsch, wenn die Lücke geschlossen ist.
Wir zahlen kein Kopfgeld. Apexly ist ein Einzelunternehmen, und ein Programm, das wir nicht durchhalten könnten, wäre unehrlich.
Worum wir Sie bitten
- Bleiben Sie bei Ihren eigenen Daten. Fremde Konten, fremde Websites und fremde Kundendaten sind tabu — auch wenn Sie drankämen.
- Verändern und löschen Sie nichts.
- Keine Lastangriffe, kein Spam, kein Ausprobieren von Passwortlisten.
- Geben Sie uns Zeit, bevor Sie veröffentlichen. 90 Tage sind üblich; wenn Sie es eiliger haben, sprechen wir darüber.
Wenn eine Lücke wirklich ausgenutzt wird
Ab dem 11. September 2026 gilt Artikel 14 der Verordnung (EU) 2024/2847 — dem Cyber Resilience Act. Für unsere beiden WordPress-Plugins heißt das dann:
Erfahren wir, dass jemand eine Schwachstelle aktiv ausnutzt, melden wir das innerhalb von 24 Stunden an das zuständige nationale Computer-Notfallteam und informieren gleichzeitig unsere Nutzer — mit dem, was sie selbst tun können, solange es noch keine neue Version gibt. Nach 72 Stunden folgt eine ausführlichere Meldung, und wenn die Lücke geschlossen ist, ein Abschlussbericht.
Das gilt auch dann, wenn wir es von Ihnen erfahren. Ihre Meldung bleibt dabei vertraulich: An die Behörde geht, was passiert ist — nicht, wer es uns gesagt hat, es sei denn, Sie wollen genannt werden.
Ein Verdacht genügt nicht. Ein Fehlerbericht, ein Machbarkeitsnachweis oder Ihre Forschung sind keine „aktive Ausnutzung" — dafür braucht es Anzeichen, dass jemand die Lücke tatsächlich gegen ein fremdes System einsetzt. Ihre Meldung löst also keine Behördenmeldung aus, solange nichts darauf hindeutet.
Wer wir sind
Hersteller beider Plugins ist pepelabs, Patrick Neumann, Deutschland. Die vollständigen Angaben stehen im Impressum. Maschinenlesbar finden Sie dieselben Angaben in unserer security.txt.
Stand: 22. August 2026