Novabit Informationssysteme GmbH nimmt Meldungen zu Sicherheitslücken in Nuclos ernst. Bitte informieren Sie uns zuerst vertraulich. Veröffentlichen Sie den Fund erst, wenn wir ihn gemeinsam abgestimmt haben.
Geltungsbereich
Bitte melden Sie Lücken in:
- dem Nuclos-Quellcode unter bitbucket.org/nuclos/nuclos, einschließlich Server, Webclient, Installer, Nuclosian und Nuclos MCP, soweit diese Bestandteile des Produkts sind
- Diensten, die Novabit betreibt: nuclos.de, wiki.nuclos.de, support.nuclos.de, maven.nuclos.de und api.nuclos.de
- der Novabit Cloud, wenn Novabit die Instanz betreibt
Nicht in diesem Weg:
- Systeme, die Kund*innen selbst betreiben. Die Meldung geht an den Betreiber. Betrifft die Lücke den Nuclos-Kern, informieren Sie zusätzlich uns.
- Social Engineering, Phishing gegen Mitarbeiter*innen oder physischer Zugang.
- Lasttests und Verfügbarkeitsangriffe gegen produktive Systeme.
- Fehlkonfigurationen, die nur eine einzelne Instanz betreffen und nicht aus dem Produkt stammen.
So melden Sie
Schreiben Sie an info@nuclos.de. Betreff: Sicherheitsmeldung Nuclos.
Bitte kein öffentliches Ticket unter support.nuclos.de, kein Wiki-Eintrag und kein öffentliches Issue im Repository.
Hilfreich sind:
- Beschreibung und Auswirkung
- betroffene Version oder Commit
- Schritte, mit denen wir den Fund nachvollziehen können
- ein möglichst kleiner Nachweis, falls vorhanden
- wie wir Sie erreichen
Ablauf
- Wir bestätigen den Eingang innerhalb von drei Werktagen.
- Wir behandeln die Meldung vertraulich, bis ein Fix verfügbar ist.
- Wir bitten Sie, 90 Tage mit einer Veröffentlichung zu warten, oder bis wir gemeinsam einen früheren Termin festlegen.
- Auf Wunsch nennen wir Sie, nachdem der Fix veröffentlicht ist.
- Ein Bug-Bounty-Programm gibt es derzeit nicht.
Sicherer Umgang
Wenn Sie den Fund zuerst vertraulich melden, nur so weit zugreifen, wie es zum Nachweis nötig ist, keine Daten von Kund*innen kopieren, verändern oder löschen, keine produktiven Kundensysteme stören und vor der Abstimmung nicht veröffentlichen, leiten wir keine rechtlichen Schritte gegen Sie ein.
Missbrauch melden
Dieser Weg gilt für Nuclosian, nicht für Sicherheitslücken in Nuclos. Lücken melden Sie wie oben beschrieben.
Bitte melden Sie unverzüglich:
- Verstöße gegen die Nutzungsregeln Nuclosian
- missbrauchte oder abgeflossene Zugangsdaten
- rechtswidrige Inhalte, die über Nuclosian erzeugt oder verbreitet werden
Schreiben Sie an betrieb-nuclosian@nuclos.de. Betreff: Missbrauch Nuclosian.
Hilfreich sind:
- Zeitpunkt
- betroffene Instanz oder Adresse
- was beobachtet wurde
- ein Kontakt für Rückfragen
Wir behandeln die Meldung vertraulich. Novabit prüft sie und kann den Zugang sperren. Soweit gesetzlich vorgeschrieben, geben wir die Meldung an Behörden weiter.
Versionen
Wir pflegen die aktuelle Nuclos-Release-Linie. Schwerwiegende Lücken beheben wir auch in älteren Linien, die noch im Einsatz sind, soweit das technisch möglich ist. Bitte aktualisieren Sie auf die Version, in der der Fix enthalten ist.
Kontakt
Novabit Informationssysteme GmbH, Mühlweg 2, 82054 Sauerlach
info@nuclos.de · +49 (0) 8104 6473-0
Maschinenlesbar: /.well-known/security.txt
Stand: 23. Oktober 2026