[Wichtiger Sicherheit Hinweis] Gefälschte Qfinder Pro Websites entdeckt. Mehr erfahren >
Search

Programm für Sicherheitsprämien

QNAP engagiert sich für Cybersicherheit und arbeitet gemeinsam mit Partnern und der Sicherheits-Community daran, die Sicherheit der QNAP Produkte zu gewährleisten, um den Nutzern mehr Sicherheit zu bieten und die Systeme sowie Daten der Produkte zu schützen. Um Forschende zu würdigen, die potenzielle Sicherheitsprobleme entdecken und zur Verbesserung der Kundensicherheit beitragen, bietet QNAP im Rahmen seines Security Bounty Programms Belohnungen an.

Danksagungen

Umfang des Programms

Das Bounty-Programm akzeptiert ausschließlich Meldungen zu Sicherheitslücken, die QNAP Produkte und Online-Dienste betreffen. Jegliche Sicherheitsmeldungen außerhalb des Geltungsbereichs dieses Programms werden nicht akzeptiert und sind nicht belohnungsberechtigt. Dieses Programm akzeptiert oder belohnt keine Sicherheitslücken, die in Software von Drittanbietern (z. B. Drittanbieter-QPKGs) gefunden werden. Wenn Sie eine Sicherheitslücke in solcher Software entdecken, wenden Sie sich bitte direkt an den entsprechenden Anbieter oder Entwickler. Für andere Sicherheitsprobleme, die außerhalb des Belohnungsumfangs dieses Programms liegen, aber QNAP Produkte oder Dienste betreffen, lesen Sie bitte Richtlinie zur koordinierten Offenlegung von Schwachstellen, um zu erfahren, wie Sie diese melden können.

  • Betriebssysteme

    Belohnung bis zu 20.000 US$

    Von QNAP entwickelte Betriebssysteme – QTS, QuTS hero und QuTScloud – sind alle durch dieses Programm abgedeckt.

  • Anwendungen

    Belohnung bis zu 10.000 US$

    Von QNAP offiziell entwickelte Anwendungen.

  • Cloud-Dienste

    Belohnung bis zu 5.000 US$

    Von QNAP offiziell bereitgestellte Cloud-Dienste.

Wie melden Sie Sicherheitsprobleme und Schwachstellen?

Bitte verschlüsseln Sie Ihre E-Mail mit dem untenstehenden PGP öffentlicher Schlüssel und senden Sie sie an security@qnap.com. QNAP PSIRT wird den Forscher proaktiv kontaktieren, um die Einreichung zu bestätigen.

Empfohlenes Format für Schwachstellenberichte

  • Betriebssysteme

  • Anwendungen

  • Cloud-Dienste

PGP Verschlüsselungs­schlüssel

Schwachstellen melden

Teilnahme­voraussetzungen

  • Sie müssen der erste Forscher sein, der die Sicherheitslücke meldet.

  • Sie haben die Sicherheitslücke nicht öffentlich bekannt gemacht.

  • Die von Ihnen gemeldete Schwachstelle wird von QNAP Mitarbeitern als überprüfbar, reproduzierbar und prämienberechtigt bestätigt.

  • Sie stimmen den Regeln des Bounty-Programms vollständig zu und halten sich daran.

  • Falls Sie während Ihrer Recherche auf nicht öffentliche Daten von QNAP oder dessen Nutzern zugegriffen haben, haben Sie diese Daten gemäß den Verhaltensregeln für Tests und Umgang mit Daten gelöscht und innerhalb des vorgeschriebenen Zeitraums eine schriftliche Löschungsbestätigung vorgelegt.

Die Prämienbeträge können angepasst werden abhängig von den folgenden Faktoren:

Bonusfaktoren

  • Befolgen Sie das empfohlene Format für Schwachstellenberichte: Bitte geben Sie notwendige und ausreichende Informationen zur Schwachstelle an. Empfohlene Formate: Betriebssystem-Formatbeispiel, Anwendungs-Formatbeispiel, Cloud-Service-Formatbeispiel.

  • Reproduktionsschritte: Klare und detaillierte Schritte zur Reproduktion.

  • Problembeschreibung: Ein gut strukturierter Schwachstellenbericht mit klar gegliederten Absätzen.

  • Zusätzliche Informationen: Elemente, die in den Formatbeispielen für Schwachstellenberichte empfohlen werden, oder andere nützliche Informationen wie Testcode, Skripte oder weitere detaillierte Erklärungen.

  • Stellen Sie den vollständigen Exploit Payload im Textformat bereit: Wird der Payload nur als Bild bereitgestellt, kann das QNAP PSIRT Team keine korrekte Reproduktion garantieren. Wenn ein gültiger Angriff nicht reproduziert werden kann, kann die Schwachstellen­bewertung ungültig werden.

Anpassungsfaktoren

  • Schweregrad und Prüfungsreihenfolge von Schwachstellen: QNAP PSIRT priorisiert die Überprüfung und Behebung basierend auf dem Schweregrad der Schwachstelle und gibt dabei solchen Problemen Vorrang, die erhebliche Auswirkungen auf Benutzerdaten und Systeme haben. Der Schweregrad wird vom Bounty-Komitee unter Bezugnahme auf den CVSS v3.1-Score sowie unter Berücksichtigung der tatsächlichen Ausnutzbarkeit und des Auswirkungsbereichs festgelegt. Schwachstellen mit niedrigem Schweregrad werden nach solchen mit hohem Schweregrad überprüft. Alle bestätigten Schwachstellen, die Produkte betreffen, die sich noch im Supportzeitraum befinden, werden unabhängig vom Schweregrad in den Behebungsplan von QNAP aufgenommen.

  • Belohnungshöhe nach Schweregrad: Die Belohnungen werden entsprechend der dem Problem zugewiesenen Schweregradstufe vergeben. Für Schwachstellen mit niedrigem Schweregrad werden die Belohnungen entsprechend angepasst und liegen unter denen für Schwachstellen mit hohem Schweregrad im gleichen Bereich. Der für jeden Bereich veröffentlichte Betrag stellt das Maximum für diesen Bereich dar und ist kein garantiertes Entgelt für jeden einzelnen Fall.

  • Wenn eine Schwachstelle als geringfügig eingestuft wird und lediglich eine Sicherheitsempfehlung ohne tatsächlichen Schaden darstellt (z. B. Konfigurations­empfehlungen, Offenlegung von Versions- oder Pfadinformationen, Hinweise auf bewährte Verfahren), und die Überprüfung nicht nachweisen kann, dass sie tatsächlich ausgenutzt werden kann, um Schaden zu verursachen, wird keine Prämie vergeben. Sie gilt jedoch weiterhin als gültige Schwachstelle, und wir nehmen Sie weiterhin in unsere öffentliche Anerkennung auf. Dies unterscheidet sich von „nicht prämienberechtigt“ (nicht akzeptiert und nicht anerkannt); der Hauptunterschied zwischen beiden ist, ob überprüfbare tatsächliche Ausführungsergebnisse vorliegen. Für spezifische Fälle, die nicht prämienberechtigt sind, siehe die „Hinweise“ zu jedem Bereich.

  • Doppelte und gleichartige Schwachstellen: Wenn mehrere Meldungen auf dieselbe Ursache oder denselben Codepfad zurückzuführen sind oder durch denselben Fix behoben werden können, kann QNAP PSIRT diese als einen einzigen Fall bewerten. Die Belohnung für einen zusammengefassten Fall ist auf einen einzelnen Betrag für die jeweilige Stufe begrenzt und wird nicht nach der Anzahl der Meldungen kumuliert; die Belohnung geht an den frühesten vollständig eingegangenen Bericht.

  • Nachfolgende Meldungen desselben Schwachstellentyps: Nachfolgende Meldungen eines Schwachstellentyps, den QNAP bereits akzeptiert oder behoben hat (einschließlich Schwachstellen desselben Typs in unterschiedlichen Schnittstellen, Parametern oder Modulen), können als Varianten des bestehenden Falls behandelt werden. Solche Meldungen werden weiterhin einzeln als gültige Schwachstellen anerkannt und erhalten jeweils eine eigene CVE-ID, während die Belohnung für die gesamte Schwachstellenklasse vergeben wird: Die 1. bis 10. Meldung derselben Schwachstellenklasse erhält den vollen Betrag für ihre Stufe; ab der 11. Meldung werden 10 % des Stufenbetrags vergeben. Die Zählung erfolgt kumulativ über alle Melder hinweg, ohne separaten Zählzeitraum. Die „gleiche Schwachstellenklasse“ wird durch dieselbe CWE-Klassifizierung zusammen mit derselben Funktionseinheit oder demselben Code-Muster bestimmt. QNAP PSIRT informiert Sie in der Bestätigungs-E-Mail zur Schwachstelle über die Varianteneinstufung und die aktuelle kumulative Reihenfolgenummer für diese Schwachstellenklasse. Wenn Sie damit nicht einverstanden sind, können Sie uns innerhalb von 14 Kalendertagen nach Erhalt der E-Mail schreiben.

  • Vollständigkeit und Reproduzierbarkeit des Berichts: Bei Berichten, in denen der Melder das Problem nicht unabhängig erneut überprüft hat oder nur Rohdaten von Tools ohne Erklärung des tatsächlichen Einflusses und der Reproduzierbarkeit bereitgestellt wurden, kann QNAP PSIRT den Melder auffordern, zusätzliche Informationen zu liefern. Bis diese Informationen vorliegen, wird der Fall nach Fällen mit vollständigen Angaben bearbeitet.

  • Tatsächliche Sicherheitsauswirkung: Die Belohnungen werden entsprechend angepasst, wenn es sich um rein theoretische Probleme handelt, außergewöhnliche Voraussetzungen erforderlich sind oder kein wesentlicher Einfluss auf Nutzerdaten und Systeme nachgewiesen werden kann.

Danksagungen

Vielen Dank an alle Forschenden für Ihre Expertise und Ihr Engagement.

FAQ

Der Prämienmechanismus und die Höhe der Prämie werden vom Bounty Review Team, bestehend aus Mitgliedern des QNAP PSIRT, unter Berücksichtigung folgender Faktoren festgelegt: der Komplexität der erfolgreichen Ausnutzung der Schwachstelle sowie der durch die Schwachstelle verursachten Bedrohung, einschließlich des Prozentsatzes der betroffenen Benutzer und Systeme.

Ja. Wenn ein Video das Verständnis der Ausnutzung der Schwachstelle erleichtert, kann das Bounty Committee die Prämie entsprechend erhöhen. Bitte beachten Sie, dass eine schriftliche Dokumentation erforderlich ist (z. B. ein PoC-Dokument und eine vollständige Erklärung), da dies den Prozess der Offenlegung der Schwachstelle unterstützt.

Ein Schwachstellenbericht muss mindestens Folgendes enthalten: den Namen des betroffenen Produkts sowie dessen Version und Build-Nummer oder die URL des Cloud-Dienstes; eine Zusammenfassung der potenziellen Bedrohung durch die Schwachstelle; und detaillierte, klare Schritte zur Reproduktion, optional ergänzt durch ein Video zur Reproduktion der Schwachstelle.

Bitte verschlüsseln Sie Ihren Bericht mit dem von QNAP bereitgestellten öffentlichen PGP-Schlüssel und senden Sie ihn an security@qnap.com. Sobald die E-Mail eingegangen ist, antwortet das System automatisch mit einer technischen Ticketnummer, mit der der Forscher den Fortschritt der Überprüfung verfolgen kann.

Das QNAP PSIRT Team wird sich proaktiv mit dem Forscher in Verbindung setzen, um zu bestätigen, ob die Einreichung vollständig ist. Bei Fällen mit vollständigen Informationen, die zunächst als hochgradig schwerwiegend eingestuft werden, erhält der Forscher grundsätzlich innerhalb einer Woche nach Bestätigung der Vollständigkeit eine QNAP PSIRT-Bestätigungs-E-Mail zur Schwachstelle, einschließlich der dem Bericht zugewiesenen CVE-ID.

Ein Prämienvorschlag wird vier Wochen nach Versand der Bestätigungs-E-Mail zur Schwachstelle per E-Mail zugesandt. Wenn der Forscher den Vorschlag annimmt, erwartet QNAP, die Zahlung innerhalb von zwölf Wochen nach Erhalt der Bestätigungsantwort abzuschließen.

Während der Überprüfung analysiert QNAP PSIRT die Ursache jedes Falls. Wenn mehrere Berichte auf denselben Ursprung, denselben Codepfad oder dasselbe Designmuster zurückzuführen sind, werden sie als ein Fall behandelt und die Belohnung geht an den zuerst eingegangenen vollständigen Bericht; wenn ein späterer Bericht zusätzliche Informationen zum Sicherheitsimpact liefert, berücksichtigen wir diese dennoch. Bei Problemen desselben Typs, die jeweils eine unabhängige Behebung erfordern, werden sie einzeln anerkannt und mit separaten CVE-IDs versehen; Belohnungen werden für die gesamte Problemklasse vergeben, wobei die Berichte 1 bis 10 den vollen Betrag der Stufe erhalten und ab dem 11. Bericht 10 % des Stufenbetrags. Die Zählung erfolgt kumulativ über alle Einreicher.

Ja. QNAP respektiert alle Forschungsmethoden; entscheidend ist die Qualität des Berichts selbst. Unabhängig von den verwendeten Tools überprüfen Sie das Problem bitte vor der Einreichung selbst erneut und fügen Sie Reproduktionsschritte sowie den tatsächlichen Sicherheitsimpact in den Bericht ein. Für Berichte, die nur Rohdaten von Tools enthalten, nicht überprüft wurden oder den Impact nicht erklären, müssen wir möglicherweise weitere Informationen anfordern und sie nach Fällen mit vollständigen Informationen prüfen. Berichte, die als ohne tatsächlichen Sicherheitsimpact bewertet werden, sind nicht für eine Belohnung berechtigt.

QNAP priorisiert Ressourcen für Probleme mit erheblichem Einfluss auf Benutzerdaten und Systeme. Daher werden geringfügige Probleme nach schwerwiegenden Problemen überprüft und beantwortet, und die Belohnungen werden entsprechend der Schweregradstufe angepasst. Dies beeinflusst nicht die Bearbeitung des Problems – alle bestätigten Probleme werden in den Behebungsplan aufgenommen. Wenn Sie der Meinung sind, dass die Einstufung den tatsächlichen Impact nicht widerspiegelt, senden Sie bitte eine E-Mail an security@qnap.com mit Informationen, die die Bewertung erhöhen könnten, wie geringere Berechtigungs­anforderungen, einen größeren Bereich betroffener Versionen oder eine Erklärung, wie das Problem mit anderen Schwachstellen zu einer vollständigen Angriffskette kombiniert werden kann.

Wenn Ihr Problem lediglich ein Vorschlag zur Sicherheits­verbesserung ist, der keinen tatsächlichen Schaden verursacht, werden Sie dennoch in unseren öffentlichen Danksagungen aufgeführt, aber es wird keine Belohnung vergeben.

Bitte stellen Sie den Zugriff sofort ein. Geben Sie in der Beschreibung der Auswirkungen Ihres Berichts die Namen der betroffenen Tabellen oder Endpunkte, die Feldnamen und die Anzahl der Datensätze an und fügen Sie gegebenenfalls ein maskiertes Beispiel bei. Es ist nicht erforderlich – und bitte tun Sie es nicht – Rohdaten-Dateien anzuhängen.

Nachdem Sie Ihren Bericht eingereicht haben, löschen Sie bitte alle Kopien innerhalb von 7 Kalendertagen und senden Sie eine unterschriebene schriftliche Löschungsbestätigung per E-Mail, in der Sie den Umfang der gelöschten Daten, das Datum und die Uhrzeit der Löschung sowie die Löschmethode angeben und bestätigen, dass alle im Verhaltensregeln für Tests und Umgang mit Daten aufgeführten Speicherorte abgedeckt wurden. Diese Erklärung ist Voraussetzung für den Erhalt einer Belohnung.

Die Erklärung kann den Namen oder Forschungsalias enthalten, den Sie bei der Meldung verwendet haben; weitere Identitätsnachweise sind nicht erforderlich. Falls die Richtlinien Ihrer Organisation es Ihnen nicht erlauben, mit Ihrem persönlichen Namen zu unterschreiben, kann eine Kontaktperson Ihrer Organisation die Erklärung in Ihrem Namen ausstellen oder Sie können per E-Mail auf jede einzelne Angabe antworten. Wird die Erklärung nicht fristgerecht eingereicht, senden wir zunächst eine Erinnerung per E-Mail und setzen die Belohnungsbewertung für den Fall aus.

Eine genaue Beschreibung des Umfangs Ihres Zugriffs wirkt sich nicht auf Ihre Belohnungsberechtigung aus; im Gegenteil, sie hilft QNAP, die Auswirkungen präzise zu bewerten und notwendige Maßnahmen zu ergreifen.

Abonnement für Sicherheitshinweise

Wir empfehlen Ihnen, die QNAP-Sicherheitshinweise zu abonnieren, um aktuelle Sicherheits­informationen aus erster Hand zu erhalten!

Jetzt abonnierenWie Sie Sicherheitshinweise lesen

Letzte Aktualisierung: 31.08.2026. Die Bedingungen dieses Programms können von Zeit zu Zeit angepasst werden; die jeweils auf dieser Seite veröffentlichte Version ist maßgeblich.

Wählen Sie die Spezifikation

      Mehr anzeigen Weniger
      Diese Seite in anderen Ländern / Regionen:
      back to top