Sicherheit

Zuletzt aktualisiert am 01.10.2026 · So melden Sie eine Schwachstelle in Nexus Studio oder unseren Diensten

Wenn Sie ein Sicherheitsproblem in Nexus Studio, auf dieser Website oder im Kontoportal finden, teilen Sie uns dies bitte mit. Diese Seite beschreibt das Vorgehen, den Geltungsbereich und wozu wir uns im Gegenzug verpflichten. Dies betrifft ausschließlich unsere Software und unsere Systeme: Es berechtigt nicht zum Testen von Systemen Dritter. Wie das Produkt mit Ihren Daten umgeht, erfahren Sie unter Security and privacy. Um zu überprüfen, ob ein Installationsprogramm von uns veröffentlicht wurde, siehe Verify a download.

So melden Sie Schwachstellen

Senden Sie eine E-Mail an security@nexusstudioqa.com mit:

worum es sich bei dem Problem handelt und was ein Angreifer damit erreichen könnte;
der Version von Nexus Studio oder der Adresse, die davon betroffen ist;
den geringstmöglichen Schritten zur Reproduktion;
Ihr Name oder Handle, wenn Sie namentlich genannt werden möchten.

Wir haben noch keinen Verschlüsselungsschlüssel veröffentlicht. Wenn eine Meldung zu sensibel für eine unverschlüsselte E-Mail ist, schreiben Sie uns zuerst und wir vereinbaren einen Kanal. Unsere security.txt enthält dieselben Kontaktdaten.

Im Geltungsbereich

Nexus Studio: das Studio, dessen Engine, dessen Befehlszeilen-Tool und das Installationsprogramm in einer Version, die Sie rechtmäßig erworben haben.
Diese Website, das Kontoportal unter /app und der Lizenzdienst unter /v1 auf unserer eigenen Domain.

Außerhalb des Geltungsbereichs

Die Systeme und Installationen unserer Kunden. Melden Sie ein Problem dort bitte direkt dem jeweiligen Kunden. Wir haben keinen Zugriff auf deren Systeme und können nicht eingreifen.
Unsere Dienstleister, wie Cloudflare, Stripe, Resend, Google und GitHub. Melden Sie Vorfälle direkt an diese; informieren Sie auch uns, falls wir davon betroffen sind.
Denial-of-Service, Lasttests oder Spam gegen unsere Dienste sowie Social Engineering oder physischer Zugriff gegen uns.
Alles, was durch das Testen eines Systems erreicht wurde, zu dessen Test Sie nicht autorisiert waren.

Was wir von Ihnen erwarten

Geben Sie uns angemessene Zeit, das Problem zu beheben, bevor Sie es veröffentlichen. Wir bitten um 90 Tage und informieren Sie, falls wir mehr Zeit benötigen und warum.
Nutzen Sie nur den Zugriff, der erforderlich ist, um das Problem aufzuzeigen, und stoppen Sie dort. Verwenden Sie Konten, die Sie selbst erstellt haben; niemals das Konto, die Daten oder die Karte einer anderen Person.
Greifen Sie nicht auf Daten zu, die nicht Ihnen gehören, und ändern, löschen oder kopieren Sie diese nicht. Ein Screenshot eines Datensatzes, den Sie erreichen können, reicht als Nachweis; eine Kopie der Datenbank nicht.
Beeinträchtigen Sie unsere Dienste nicht für andere Personen.

Wozu wir uns verpflichten

Bestätigen den Eingang Ihres Berichts innerhalb von 5 Werktagen.
Prüfen ihn und teilen Ihnen innerhalb von 15 Werktagen mit, ob wir ihn als Sicherheitslücke einstufen und wie wir damit umzugehen planen.
Halten Sie auf dem Laufenden, während wir das Problem beheben, und benachrichtigen Sie, sobald der Fix veröffentlicht wird.
Erwähnen Sie namentlich in den Release Notes, sofern Sie dies wünschen und der Bericht valide war.

Derzeit gibt es keine bezahlte Bounty. Ein Bericht, der eine Zahlung fordert oder mit Veröffentlichung droht, um etwas zu erlangen, gilt nicht als Sicherheitsforschung, und die Good-Faith-Zusage findet darauf keine Anwendung.

Safe-Harbor-Erklärung

Wenn Sie sich nach bestem Wissen und Gewissen bemühen, diese Richtlinie einzuhalten, betrachten wir Ihre Sicherheitsforschung als autorisiert, und:

wir werden deswegen keine rechtlichen Schritte gegen Sie einleiten oder unterstützen, weder zivil- noch strafrechtlich, einschließlich nach dem Computer Fraud and Abuse Act, den Computerkriminalitätsgesetzen der Bundesstaaten, dem UK Computer Misuse Act oder ähnlichen Gesetzen weltweit;
wir verzichten auf jegliche Ansprüche gemäß Section 1201 des DMCA oder ähnlichen Umgehungsschutzgesetzen wegen der Umgehung der Lizenzprüfung oder anderer technischer Maßnahmen in Nexus Studio zur Erforschung des Programms, und wir verzichten auf die Beschränkungen in unseren AGB, unserer Acceptable Use Policy und der LICENSE-Datei, die diese Erforschung andernfalls untersagen würden, wie etwa Reverse Engineering oder das Umgehen der Lizenzprüfung. Beide Verzichtserklärungen gelten nur für eine rechtmäßig erlangte Kopie, nur für die Erforschung im Rahmen dieser Richtlinie und nur solange Sie kein Tool, keinen Patch, keinen Schlüssel und keine Methode veröffentlichen, teilen oder verkaufen, die die Lizenzprüfung außer Kraft setzen, und eine umgangene Kopie ausschließlich für diese Erforschung verwenden. Sie decken nicht den Handel mit Umgehungswerkzeugen ab;
falls ein Dritter Ansprüche gegen Sie wegen Erforschungen im Rahmen dieser Richtlinie geltend macht, werden wir öffentlich klarstellen, dass Sie im Einklang mit dieser Richtlinie gehandelt haben.

Diese Autorisierung gilt nur für unsere oben definierten Systeme. Wir können keine Tests von Systemen unserer Anbieter oder unserer Kunden autorisieren. Wenn Sie sich unsicher sind, ob etwas in den Geltungsbereich fällt, fragen Sie uns bitte vorher unter security@nexusstudioqa.com.

Wie Fixes die Installationen erreichen

Nexus Studio läuft auf den Rechnern unserer Kunden, sodass wir eine Installation nicht selbst patchen können. Wir veröffentlichen ein Release, und das Studio meldet dieses bei der nächsten Lizenzprüfung; die Installation erfolgt durch den Kunden. Wir können Ihnen mitteilen, wann ein Fix veröffentlicht wurde, aber niemals, dass jede Installation darüber verfügt. Korrekturen an der Website, dem Portal und dem Lizenzdienst greifen, sobald wir sie bereitstellen.

Sicherheitshinweise und Benachrichtigungen

Wenn wir feststellen, dass eine Schwachstelle in Nexus Studio aktiv ausgenutzt wird, oder von einem Vorfall erfahren, der die Sicherheit beeinträchtigt, melden wir dies den gesetzlich vorgeschriebenen Behörden, einschließlich über die zentrale EU-Meldeplattform im Rahmen des Cyber Resilience Act. Wir benachrichtigen jeden Kontoinhaber per E-Mail, dessen Installation betroffen ist, informieren über das Problem und notwendige Schritte, und veröffentlichen einen Sicherheitshinweis auf dieser Seite, sobald ein Fix oder eine Abhilfemaßnahme verfügbar ist.