Folgende Systeme gehören zum Bug Bounty Programm der Deutschen Telekom (T Mobile US betreibt ein separates Bug Bounty Programm auf Bugcrowd)
Für die Meldung sind insbesondere die folgenden Informationen aus Ihrer Analyse für uns wichtig:
Jede gemeldete Schwachstelle wird von uns individuell evaluiert. Soweit wir weitere Informationen aus Ihrer Analyse benötigen, melden wir uns. Nach Abschluss der Evaluierung wird bestimmt, welche Prämie wir für Ihre Leistung auszahlen. Insoweit gelten folgende Grundsätze:
Den angegebenen Prämien wurde ein konkretes Risiko zugrunde gelegt. Bei jeder gemeldeten Schwachstelle wird das Risiko von uns individuell evaluiert und bestimmt damit wie viel Belohnung wir auszahlen.
Um die Kritikalität einer Schwachstelle abschätzen zu können, nutzen wir die Bugcrowd’s Vulnerability Rating Taxonomy oder alternativ das Common Vulnerability Scoring System (CVSS) in der Version 4.0.
Wie Sie sehen können, haben wir verschiedene Kategorien definiert. Jede Kategorie unterscheidet sich in Bezug auf die Kritikalität der Schwachstellen und auf die Auswahl an Zielen. Die Höhe der Prämie für die jeweilige Kategorie wird maßgeblich über die Kritikalität bestimmt. Hierbei wurde ein konkretes Risiko zugrunde gelegt. Dieses setzt sich zusammen aus der Eintrittswahrscheinlichkeit und dem Schadensausmaß. Bei jeder gemeldeten Schwachstelle wird das Risiko von uns individuell evaluiert. Gibt es dabei größere Abweichungen, kann die individuelle Prämie gemindert oder erhöht werden. Betrifft eine gemeldete Schwachstelle mehrere Systeme, wird die Prämie lediglich einfach ausgezahlt.
Für Schwachstellen in Kundensystemen, Drittanbietersoftware und Services wird keine Prämie ausgeschüttet.
Responsible Disclosure setzen wir verpflichtend voraus. Wenn Sie eine Schwachstelle entdecken, melden Sie diese bitte umgehend an uns. Wir werden die Schwachstelle untersuchen und geben unser Bestes, diese schnellstmöglich zu beheben. Wenn Sie Details zu Ihrem Fund veröffentlichen möchten, kontaktieren Sie uns bitte vorher und warten Sie auf die entsprechende Freigabe.
Während Ihrer Untersuchungen gehen Sie sorgfältig mit dem geprüften Dienst um und schränken dessen Verfügbarkeit nicht ein. Sie spähen keine Daten aus, verändern sie nicht, laden sie nicht herunter, löschen sie nicht und geben keine Daten weiter. Sollten Sie gegen diese Regeln verstoßen, sind wir gesetzlich dazu verpflichtet, dies den Behörden zu melden. Das möchten sicherlich weder Sie noch wir. Sollten Sie unsicher sein, kontaktieren Sie bitte unser Bug-Bounty-Team.
Das Bug‑Bounty‑Programm der Deutschen Telekom ist ein offenes Programm.
Teilnahmeberechtigt sind alle, außer aktuelle und ehemalige Mitarbeiterinnen und Mitarbeiter der Deutschen Telekom AG und mit ihr verbundene Unternehmen sowie deren Angehörige oder gesetzlichen Vertreter. Minderjährige benötigen eine schriftliche Einverständniserklärung eines Erziehungsberechtigten.
| RoE Do’s | RoE Dont’s |
|---|---|
|
|
|
|
|
|
|
|
|
|
| |
|
Kommunikation und Zusammenarbeit sind entscheidend für den Erfolg des Bug-Bounty-Programms. Halten Sie uns regelmäßig über den Fortschritt Ihrer Untersuchungen auf dem Laufenden und teilen Sie alle relevanten Informationen zeitnah mit uns. Wir schätzen eine offene und transparente Kommunikation und bemühen uns ebenfalls darum.
