Sicherheitslücke melden

Stand: 20.10.2026

Du hast in Zquady eine Schwachstelle gefunden? Danke, dass du sie uns meldest. Hier steht, was dazugehört, wie du uns erreichst und was nach deiner Meldung passiert. Herausgeber von Zquady ist Zquady e.U. aus Ottensheim, Österreich.

1. Was dazugehört

  • die App Zquady für iOS und Android,
  • die Website zquady.com mit allen Unterseiten, auch den Teilen-Seiten unter /z/ und /u/,
  • unsere Schnittstellen unter auth.zquady.com, über die die App Anmeldung, Daten und Funktionen abruft,
  • die Mail-Einrichtung der Domain zquady.com, etwa SPF, DKIM, DMARC und MTA-STS.

Nicht dazu gehören die Dienste anderer Anbieter, die wir nutzen, etwa Apple, Google, Supabase, Cloudflare oder Microsoft. Eine Lücke dort meldest du bitte direkt beim jeweiligen Anbieter. Auch Hinweise ohne erkennbare Auswirkung, Spam und Fragen zu deinem Konto gehören nicht hierher: Bei Fragen zum Konto hilft dir support@zquady.com, rechtswidrige Inhalte meldest du am schnellsten direkt in der App.

2. So meldest du eine Lücke

Schreib an security@zquady.com. Sollte dort etwas nicht ankommen, erreichst du uns auch unter support@zquady.com. Deutsch oder Englisch, beides ist recht. Hilfreich sind:

  • wo die Lücke steckt: App und Version, Plattform, Adresse oder Funktion,
  • was du beobachtet hast und wie wir es Schritt für Schritt nachvollziehen können,
  • was jemand damit anrichten könnte,
  • Screenshots oder ein kurzer Nachweis (Proof of Concept), wenn du einen hast,
  • wie wir dich für Rückfragen erreichen.

Wird eine Lücke gerade ausgenutzt oder sind Daten offen zugänglich, setz bitte „DRINGEND – “ an den Anfang des Betreffs. Solche Meldungen bearbeiten wir vorrangig.

Einen PGP-Schlüssel für verschlüsselte E-Mails bieten wir derzeit nicht an. Schick uns deshalb keine Passwörter, Zugangsschlüssel oder Daten anderer Personen mit, eine Beschreibung reicht.

3. Bitte beachte beim Prüfen

  • Prüf nur so weit, wie es nötig ist, um die Lücke zu zeigen.
  • Nutze nur eigene Konten. Ruf keine Daten anderer Personen ab, ändere oder lösche keine. Stößt du trotzdem auf solche Daten, hör an dieser Stelle auf, lösch, was du davon gespeichert hast, und sag es uns.
  • Stör den Betrieb nicht: keine Lasttests oder Überlastungsangriffe (Denial of Service), keine Massen-Scans, kein Spam.
  • Täusche weder Nutzerinnen und Nutzer noch uns (Social Engineering, Phishing), und verschaff dir keinen Zutritt zu Räumen oder Geräten.
  • Spiel keinen Schadcode ein und lass keine Hintertüren zurück.
  • Gib die Lücke nicht an andere weiter und veröffentliche sie nicht, bevor sie behoben ist oder wir uns auf einen Zeitpunkt geeinigt haben.

4. Was nach deiner Meldung passiert

  1. Eingang: Wir bestätigen dir den Eingang deiner Meldung binnen 72 Stunden.
  2. Prüfung: Wir sehen uns die Lücke an, schätzen ein, wie schwer sie wiegt, und sagen dir, wie es weitergeht und bis wann wir sie voraussichtlich beheben.
  3. Behebung: Wir beheben die Lücke so schnell wie möglich und halten dich auf dem Laufenden. Betrifft sie die App, kommt die Lösung mit einem Update.
  4. Offenlegung: Möchtest du über die Lücke berichten, stimm den Zeitpunkt bitte mit uns ab. Üblich ist das, sobald die Lücke behoben ist, meist rund 90 Tage nach deiner Meldung.

Betrifft eine Lücke personenbezogene Daten, prüfen wir zusätzlich unsere Pflichten nach der Datenschutz-Grundverordnung und informieren, wo nötig, die Datenschutzbehörde und die betroffenen Personen.

5. Keine Prämie

Ein Prämienprogramm (Bug Bounty) haben wir nicht, für Meldungen zahlen wir nichts. Wir freuen uns aber über jeden Hinweis, der Zquady sicherer macht.

6. Kontakt

Zquady e.U.
Linzer Straße 17, 4100 Ottensheim, Österreich
Sicherheitslücken: security@zquady.com
Behörden: legal@zquady.com

Was du uns schickst, nutzen wir nur, um deine Meldung zu bearbeiten. Mehr dazu steht in der Datenschutzerklärung. Die Meldestelle steht auch maschinenlesbar in der Datei security.txt (RFC 9116), die vollständigen Anbieterangaben im Impressum.