Richtlinie zur zulässigen Nutzung

Zuletzt aktualisiert am 01.10.2026 · Bestandteil der Nutzungsbedingungen und jedes Rahmenlizenzvertrags

Nexus Studio kann echten Datenverkehr an die Systeme senden, auf die es gerichtet ist. Gegen ein System gerichtet, das Ihnen gehört, ist das Testen. Gegen ein System gerichtet, das Ihnen nicht gehört, kann derselbe Datenverkehr in den meisten Ländern eine Straftat darstellen, unter anderem nach dem Computer Fraud and Abuse Act (Vereinigte Staaten), dem Computer Misuse Act (Vereinigtes Königreich) und Ley 1273 de 2009 (Kolumbien). Die Software kann den Unterschied nicht erkennen. Sie können es. Diese Richtlinie erklärt, was das bedeutet.

Sie ist für jeden verbindlich, der Nexus Studio installiert, ausführt oder betreibt – im Rahmen einer Testversion oder eines kostenpflichtigen Abonnements, interaktiv, in CI oder nach Zeitplan.

1. Testen Sie nur das, wozu Sie autorisiert sind

Sie dürfen Nexus Studio nur dann auf ein System richten, wenn zu Beginn des Durchlaufs mindestens eine der folgenden Bedingungen zutrifft:

das System gehört Ihnen;
Ihre Organisation ist Eigentümerin des Systems und Sie handeln im Rahmen Ihrer Rolle; oder
Sie verfügen über eine ausdrückliche, schriftliche und aktuelle Genehmigung des Eigentümers für die Art von Tests, die Sie durchführen möchten: eine unterzeichnete Auftragsvereinbarung, eine im Umfang definierte Penetrationstest-Autorisierung, ein interner Änderungsantrag (Change Request) oder der schriftliche Geltungsbereich eines Bug-Bounty-Programms.

Öffentliche Erreichbarkeit stellt keine Erlaubnis dar. Eine Anmeldeseite im offenen Internet steht Ihnen für Tests genauso wenig frei wie eine hinter einem VPN.

2. Aktives Testen erfordert eine eigene Autorisierung

Einige Funktionen wirken auf das Ziel ein, anstatt es nur zu beobachten:

Sicherheits-Scans (der Smart Monkey) crawlen das Ziel, übermitteln Formulare und senden Angriffs-Payloads: SQL-Injection, Cross-Site-Scripting, Befehlsinjektion, serverseitige Template-Injektion, XML External Entities, serverseitige Request-Forgery, Path-Traversal, unsichere Deserialisierung und Tests auf sensible Dateien. Um Blind-Befunde zu bestätigen, öffnet das Studio einen Callback-Listener auf Ihrem eigenen Rechner und fordert das Ziel auf, diesen zu kontaktieren.
Lasttests senden viele gleichzeitige Anfragen: ein kontrollierter, begrenzter Denial-of-Service.
Chaos-Tests speisen Netzwerkfehler ein und pausieren, stoppen, beenden oder starten die von Ihnen benannten Dienste neu.
Der Stealth-Modus variiert nach dem Aktivieren das Timing und den User-Agent des Browsers, sodass automatisierte Durchläufe weniger wie ein Bot wirken.

Die Erlaubnis für das eine ist keine Erlaubnis für das andere. Die Erlaubnis für Funktionstests ist keine Erlaubnis für einen Sicherheitsscan, ein Scan ist kein Lasttest, Staging ist nicht Produktion und das letzte Quartal ist nicht heute. Wenn Sie sich nicht sicher sind, ob Ihre Autorisierung einen Durchlauf abdeckt, deckt sie ihn nicht ab.

Bevor eine dieser Funktionen Datenverkehr an einen echten Host sendet, verlangt Nexus Studio eine erfasste Grundlage (einen Nachweis, dass Sie den Host kontrollieren, oder einen Verweis auf Ihre schriftliche Genehmigung) sowie Ihre ausdrückliche Bestätigung und versiegelt einen Datensatz über Bediener, Ziel, Parameter und Zeit in Ihrem eigenen Nachweisordner. Dieser Datensatz verbleibt auf Ihrem Rechner und es wird niemals eine Kopie an uns gesendet. Er hilft Ihnen nachzuweisen, was Sie getan haben, autorisiert einen Durchlauf jedoch nicht: Dies kann nur der Eigentümer des Systems tun.

3. Was Sie nicht tun dürfen

Ein System testen, scannen, fuzzen, belasten oder stören, für dessen Test Sie nicht autorisiert sind.
Den Autorisierungsschritt, die Ratenbegrenzungen oder den versiegelten Datensatz umgehen, deaktivieren oder herauspatchen, einschließlich durch Bestätigung im Namen einer anderen Person oder durch Setzen der CI-Autorisierungsvariablen ohne vorliegende schriftliche Genehmigung.
Einen autorisierten Umfang überschreiten: länger, intensiver oder gegen mehr Hosts als vereinbart.
Verwenden Sie den Stealth-Modus, User-Agent-Rotation oder andere Funktionen, um Bot-Abwehrmechanismen, Ratenbegrenzungen, CAPTCHAs, Web Application Firewalls oder Zugriffskontrollen eines Systems zu umgehen, zu dessen Prüfung Sie nicht autorisiert sind, oder um Inhalte von einer Website entgegen den Bedingungen des Eigentümers zu erfassen.
Senden Sie Payloads oder Callbacks an oder über eine Infrastruktur, die weder Sie noch der Eigentümer, der den Test autorisiert hat, kontrollieren.
Nexus Studio verwenden, um einen Dienst lahmzulegen, wenn die Unterbrechung das Ziel und nicht ein gemessener Effekt autorisierter Tests ist.
Daten anderer Personen, die bei einem Test zutage treten, wie z. B. Anmeldedaten, Token oder personenbezogene Daten in Screenshots und Protokollen, behalten, veröffentlichen oder missbrauchen.
Es für Personen verwenden oder diesen zur Verfügung stellen, die Sanktionen oder Exportbeschränkungen unterliegen.
Die Lizenzprüfung umgehen, Ihren Lizenzschlüssel teilen oder Nexus Studio als Dienstleistung weiterverkaufen oder hosten, es sei denn, eine unterzeichnete Vereinbarung mit uns erlaubt dies.

4. Beweismittel enthalten Daten anderer Personen

Screenshots, Videos, Seiteninhalte und Protokolle einer echten Anwendung enthalten personenbezogene Daten und Geheimnisse. Diese Beweismittel verbleiben auf Ihren Rechnern, und Sie sind dafür verantwortlich, wer darauf zugreifen kann, wie lange Sie sie aufbewahren und welches Datenschutzrecht darauf Anwendung findet. Wir haben keinen Zugriff darauf.

5. Durchsetzung

Wenn Sie gegen diese Richtlinie verstoßen, können wir Ihre Lizenz aussetzen oder beenden, bis hin zum Widerruf. Eine widerrufene Lizenz verlängert sich ab sofort nicht mehr, und jeder darauf betriebene Rechner wird schreibgeschützt, sobald seine aktuelle Bestätigung abläuft, spätestens innerhalb von 11 Tagen. Wir entscheiden auf Grundlage dessen, was wir auf unserer Seite sehen können, sowie anhand von Meldungen, die wir erhalten – niemals anhand Ihrer lokalen Datensätze, die wir niemals erhalten. Ein Widerruf schränkt weder sonstige Rechtsbehelfe noch Ihre Verantwortung gegenüber Personen ein, die Sie ohne Autorisierung getestet haben.