unopost

Richtlinie zur verantwortungsvollen Offenlegung

Zuletzt aktualisiert: 15. Oktober 2026

Dies ist eine Übersetzung des englischen Originals, die lediglich zu Ihrer Erleichterung bereitgestellt wird; bei Abweichungen ist die englische Fassung maßgeblich, die unter https://unopost.com.au/responsible-disclosure abrufbar ist.

1. Einleitung

Wir freuen uns über Meldungen von allen, die glauben, eine Sicherheitslücke bei Unopost gefunden zu haben. Diese Richtlinie zur verantwortungsvollen Offenlegung (Responsible Disclosure Policy) erläutert, wie Sie eine solche melden, welche Regeln Sie bei der Suche einhalten sollen und was wir im Gegenzug tun. Sie wird von AWS, CYY & Co. Pty Ltd (ACN 686 116 245) als Treuhänder (Trustee) für Mumu, Lulu & Co. (ABN 54 837 123 965) veröffentlicht, die Unopost betreibt.

Wir betreiben kein bezahltes Bug-Bounty-Programm und zahlen keine Belohnungen für Meldungen. Mit Ihrer Zustimmung danken wir Ihnen nach Behebung des Problems namentlich auf dieser Seite.

2. Geltungsbereich

Diese Richtlinie umfasst:

Sie umfasst keine von Dritten betriebenen Dienste, die wir nutzen, etwa Square, Australia Post oder Amazon Web Services. Melden Sie Probleme in diesen Diensten dem jeweiligen Anbieter.

3. So melden Sie eine Sicherheitslücke

Senden Sie eine E-Mail mit „Security“ in der Betreffzeile an support@unopost.com.au. Bitte geben Sie Folgendes an:

  • Eine Beschreibung des Problems und der Auswirkungen, die es Ihrer Ansicht nach hat
  • Die betroffene URL, den betroffenen Endpunkt oder die betroffene Funktion
  • Eine Schritt-für-Schritt-Anleitung zur Reproduktion, mit etwaigem Proof-of-Concept-Code, Screenshots oder Anfragen
  • Wie wir Sie erreichen können und ob Ihnen namentlich gedankt werden soll

Wenn Sie einen offengelegten Schlüssel, ein Passwort oder ein anderes Geheimnis gefunden haben, teilen Sie uns dies sofort mit und verwenden Sie es nicht. Bitte schreiben Sie nach Möglichkeit auf Englisch.

4. Worum wir Sie bitten

Bei der Suche nach einer Sicherheitslücke und ihrer Meldung müssen Sie:

  • nur mit Konten, Dokumenten und Briefen testen, die Ihnen gehören oder für deren Nutzung Sie die Erlaubnis des Inhabers haben
  • sofort aufhören, sobald Sie auf personenbezogene Daten, Dokumente oder sonstige Daten stoßen, die nicht Ihnen gehören, und uns mitteilen, worauf Sie zugegriffen haben. Kopieren, behalten, ändern oder löschen Sie diese nicht und geben Sie sie an niemanden weiter
  • den Dienst nicht beeinträchtigen oder unterbrechen, auch nicht durch Denial-of-Service-Angriffe, Lasttests oder automatisierte Scans in großem Umfang
  • keine Briefe ohne deren Einwilligung an andere Personen versenden und keine Nachrichten an unsere Kunden, deren Empfänger oder unsere Mitarbeiter senden
  • kein Social Engineering, kein Phishing und keine physischen Angriffe gegen unsere Mitarbeiter, Räumlichkeiten oder Dienstleister einsetzen
  • keine Zahlungskarte, kein Geschäftsguthaben und keine Zugangsdaten einer anderen Person verwenden
  • nur das tun, was nötig ist, um das Bestehen der Sicherheitslücke nachzuweisen
  • die Einzelheiten vertraulich behandeln, bis wir das Problem behoben haben oder bis 90 Tage nach Ihrer Meldung, je nachdem, was früher eintritt, sofern wir mit Ihnen nichts anderes vereinbaren
  • die Gesetze einhalten

5. Was wir tun

Wenn Sie eine Sicherheitslücke gemäß dieser Richtlinie melden, werden wir:

  • Ihre Meldung innerhalb von 2 Geschäftstagen bestätigen
  • Ihnen mitteilen, ob wir das Problem reproduzieren können, und Sie über unsere Fortschritte auf dem Laufenden halten
  • uns bemühen, eine bestätigte Sicherheitslücke innerhalb von 90 Tagen zu beheben, und früher, wenn sie personenbezogene Daten gefährdet
  • Ihnen mitteilen, wenn das Problem behoben ist, und Ihnen namentlich danken, wenn Sie dies wünschen

Betraf das Problem personenbezogene Daten, prüfen wir es und benachrichtigen die betroffenen Personen und das Office of the Australian Information Commissioner, wie in Abschnitt 11 unserer Datenschutzerklärung (https://unopost.com.au/privacy) beschrieben.

6. Rechtliche Absicherung (Safe Harbour)

Wenn Sie in gutem Glauben und gemäß dieser Richtlinie handeln, betrachten wir Ihre Untersuchung als autorisiert, ergreifen im Zusammenhang damit keine rechtlichen Schritte gegen Sie und zeigen Sie nicht bei den Strafverfolgungsbehörden an. Ergreift ein Dritter rechtliche Schritte gegen Sie wegen einer Untersuchung, die dieser Richtlinie entsprach, machen wir bekannt, dass Ihre Untersuchung von uns autorisiert war.

Dies gilt nicht, wenn Sie gegen diese Richtlinie verstoßen, auf mehr als nötig zugegriffen oder eine Zahlung dafür verlangt haben, ein Problem nicht offenzulegen. Wenn Sie unsicher sind, ob etwas, das Sie vorhaben, zulässig ist, fragen Sie uns vorher unter support@unopost.com.au.

7. Was wir nicht als Sicherheitslücke betrachten

Folgendes fällt in der Regel nicht unter diese Richtlinie, es sei denn, Sie können eine tatsächliche Auswirkung auf die Sicherheit des Dienstes oder unserer Nutzer nachweisen:

  • Meldungen automatisierter Scanner ohne funktionierenden Proof of Concept
  • Fehlende Sicherheits-Header, Cookie-Flags oder E-Mail-Authentifizierungseinträge (SPF, DKIM, DMARC) für sich genommen
  • Clickjacking auf Seiten ohne Aktion, die Schaden anrichten könnte
  • Self-XSS oder Probleme, die physischen Zugriff auf das entsperrte Gerät eines Nutzers erfordern
  • Die Offenlegung von Softwareversionen oder fehlende Ratenbegrenzungen bei Aktionen ohne Sicherheitsfolgen
  • Denial of Service sowie Sicherheitslücken in den in Abschnitt 2 genannten Diensten Dritter

8. Änderungen dieser Richtlinie

Wir können diese Richtlinie jederzeit ändern, indem wir eine neue Fassung auf dieser Seite veröffentlichen. Für eine Meldung gilt die Fassung, die zum Zeitpunkt der Meldung veröffentlicht ist.