Sicherheit

Stand: 12. Oktober 2026

Worum es geht

Diese Richtlinie beschreibt, wie du uns eine Schwachstelle in DuctTape.io meldest und wie wir damit umgehen. Betreiber ist Mario Fraiß-Kollmanitsch; die Anschrift steht im Impressum. Wir freuen uns über jede Meldung, die DuctTape.io sicherer macht.

Was du melden kannst

• die Web-App unter theducttape.io, samt öffentlicher Diagramm-Links und eingebetteter Diagramme
• den MCP-Endpunkt unter theducttape.io/api/mcp
• den Claude Skill, wie er auf github.com/DuctTape-io/ducttape-skill und unter /claude-skill angeboten wird

Schwachstellen in Diensten, die wir nutzen (etwa Anmeldung, Hosting oder E-Mail-Versand), meldest du bitte direkt beim jeweiligen Anbieter. Betrifft so etwas DuctTape.io, sag uns trotzdem Bescheid.

Wie du meldest

Schreib an security@theducttape.io, auf Deutsch oder Englisch. Hilfreich sind:

• was betroffen ist (Adresse, MCP-Werkzeug oder Datei im Skill)
• die Schritte, mit denen wir die Schwachstelle nachstellen können
• was ein Angreifer damit erreichen könnte
• wie wir dich erreichen und ob du als Dank genannt werden möchtest

Schick uns keine Daten anderer Personen mit. Hast du solche Daten versehentlich gesehen, beschreib nur, dass und wie es dazu kam.

Was du von uns erwarten kannst

• Eine erste Antwort innerhalb von 3 Werktagen.
• Eine Einschätzung, ob wir die Schwachstelle nachstellen können, und wie wir weiter vorgehen.
• Eine Nachricht, sobald sie behoben ist.

Bitte veröffentliche nichts, bevor die Schwachstelle behoben ist oder 90 Tage seit deiner Meldung vergangen sind. Brauchen wir länger, sprechen wir das mit dir ab. Gesetzliche Meldepflichten, etwa an Behörden, erfüllen wir unabhängig davon.

Gutgläubige Forschung

Wenn du dich an diese Richtlinie hältst, sehen wir deine Untersuchung als gutgläubig an und gehen deswegen rechtlich nicht gegen dich vor. Fragt jemand anderer nach, etwa ein Anbieter, dessen Dienst wir nutzen, oder eine Behörde, bestätigen wir auf deine Bitte, dass du im Rahmen dieser Richtlinie gehandelt hast. Für die Dienste anderer Anbieter können wir keine Erlaubnis geben.

Dafür gilt:

• Du testest nur mit deinen eigenen Konten und Diagrammen.
• Du greifst nicht auf Daten anderer Personen zu, änderst oder löschst sie nicht. Stößt du trotzdem darauf, hörst du an dieser Stelle auf und meldest es uns.
• Du beeinträchtigst den Betrieb nicht: keine Überlastung (DoS), keine massenhaften automatischen Anfragen.
• Kein Social Engineering, kein Phishing und keine physischen Angriffe, weder gegen uns noch gegen Nutzer von DuctTape.io.
• Du nutzt eine Schwachstelle nicht weiter aus, als es für den Nachweis nötig ist.

Prämien

Wir zahlen keine Prämien. Wenn du möchtest, nennen wir dich als Dank auf dieser Seite, sobald die Schwachstelle behoben ist.