1. Unser Anspruch

Die Sicherheit von nextxch und der Mailsysteme unserer Kunden hat höchste Priorität. Wir begrüßen Meldungen von Sicherheitsforschenden und behandeln sie vertraulich, schnell und transparent. Auf diese Richtlinie verweist auch unsere security.txt (RFC 9116).

2. Geltungsbereich

Im Geltungsbereich:

Die Software nextxch in allen unterstützten Versionen (Server, SMTP/IMAP/JMAP/DAV/WBXML-Protokolle, Admin-Cockpit, Webmail, Encrypted File Share, Installer und Update-Mechanismus).
Die Website nextxch.com einschließlich Checkout-, Lizenz- und Download-Endpunkten.
Das öffentliche Demo- und Produktionsmailsystem mail.nextxch.com (nur nicht-destruktive Tests).

3. Nicht im Geltungsbereich

Denial-of-Service- und volumetrische Angriffe, Last- oder Spamtests.
Social Engineering, Phishing oder physische Angriffe auf Mitarbeitende oder Räume der iqmeta.
Meldungen automatisierter Scanner ohne nachgewiesene Auswirkung, fehlende Best-Practice-Header ohne Ausnutzbarkeit, Clickjacking auf Seiten ohne sensible Aktionen.
Schwachstellen in Diensten Dritter (z. B. Stripe) oder in nicht mehr unterstützten Versionen.
Von Dritten betriebene Kundeninstallationen: bitte an uns melden, aber nicht ohne Erlaubnis des Betreibers testen.

4. So melden Sie

Senden Sie Ihre Meldung an security@nextxch.com (Deutsch oder Englisch). Bitte angeben: betroffene Komponente und Version, Beschreibung der Schwachstelle und ihrer Auswirkung, Schritt-für-Schritt-Reproduktion (Proof of Concept) und Ihre Kontaktdaten für Rückfragen. Wenn Sie verschlüsselt kommunizieren möchten, fordern Sie in Ihrer ersten Nachricht unseren aktuellen OpenPGP-Schlüssel an; wir stellen ihn umgehend bereit.

5. Reaktionszusagen

Schritt	Ziel
Eingangsbestätigung	innerhalb von 3 Werktagen (meist innerhalb von 24 Stunden)
Triage und Schweregradbewertung (CVSS)	innerhalb von 10 Werktagen
Behebung kritischer Schwachstellen	Hotfix schnellstmöglich, Ziel 7 Tage
Behebung sonstiger Schwachstellen	innerhalb von 90 Tagen
Statusupdates	mindestens alle 14 Tage bis zur Lösung

6. Koordinierte Veröffentlichung

Bitte geben Sie uns vor einer Veröffentlichung angemessen Zeit zur Behebung, in der Regel 90 Tage ab Meldung oder bis zur Veröffentlichung eines Fixes, je nachdem, was früher eintritt. Wir stimmen den Veröffentlichungstermin mit Ihnen ab, veröffentlichen ein Security Advisory in unserer Release-Historie, beantragen bei Bedarf eine CVE und nennen Sie, sofern Sie nicht anonym bleiben möchten.

7. Safe Harbour

Handeln Sie in gutem Glauben und im Einklang mit dieser Richtlinie, betrachten wir Ihre Forschung als autorisiert, leiten keine rechtlichen Schritte gegen Sie ein (auch nicht nach §§ 202a ff. StGB oder urheberrechtlich wegen Reverse Engineering zu Sicherheitszwecken) und stellen keine Strafanzeige. Guter Glaube bedeutet insbesondere: Sie greifen nur in dem Umfang auf Daten zu, der zum Nachweis nötig ist, verändern oder löschen keine Daten, beeinträchtigen keine Dienste, brechen bei Kontakt mit personenbezogenen Daten sofort ab und melden dies, und behandeln Details bis zur koordinierten Veröffentlichung vertraulich. Dieser Safe Harbour kann Dritte nicht binden.

8. Anerkennung & Hall of Fame

Ein bezahltes Bug-Bounty-Programm betreiben wir derzeit nicht. Gültige Meldungen würdigen wir im Security Advisory und auf unserer Trust-Seite; bedeutende Funde belohnen wir nach unserem Ermessen mit nextxch-Merchandise oder einer kostenlosen Lizenz.