Sicherheitslücke melden: koordinierte Offenlegung.
Wir nehmen die Sicherheit von RAGSuite ernst. Wenn Sie eine Schwachstelle in RAGSuite oder auf ragsuite.de gefunden haben, möchten wir davon hören, und arbeiten mit Ihnen an der Behebung. Schreiben Sie an security@ragsuite.de.
security@ragsuite.de · security.txt nach RFC 9116
Sagen Sie uns, was Sie gefunden haben.
Vertraulich schreiben
An security@ragsuite.de: bitte kein öffentliches Issue auf GitHub.
Details nennen
Komponente und Version, Umgebung, Schritte zur Reproduktion und die Auswirkung.
Zeit geben
Geben Sie uns angemessene Zeit zur Behebung, bevor Sie etwas veröffentlichen.
Was eine hilfreiche Meldung enthält.
Komponente und Version
Welche Edition, welche Version, welcher Teil, etwa API, Widget oder Konnektor.
Schritte zur Reproduktion
So genau, dass wir das Verhalten selbst nachstellen können.
Auswirkung
Was ein Angreifer erreichen könnte und unter welchen Bedingungen.
Was Sie von uns erwarten können.
Wir bestätigen Ihre Meldung innerhalb von 3 Werktagen und geben innerhalb von 10 Werktagen eine erste Einschätzung. Wir halten Sie bis zur Behebung auf dem Laufenden, veröffentlichen ein Sicherheits-Advisory, sobald eine Korrektur verfügbar ist, und nennen Sie dort auf Wunsch. Ihre Meldung behandeln wir vertraulich und geben Ihre Daten nicht ohne Ihre Zustimmung weiter.
Bei aktiv ausgenutzten Schwachstellen und schweren Sicherheitsvorfällen erfüllen wir die Meldepflichten nach dem Cyber Resilience Act, die seit 11. September 2026 gelten.
Was dazugehört, und was nicht.
| Im Geltungsbereich | Nicht im Geltungsbereich |
|---|---|
| Die Software RAGSuite (Community und Enterprise) | Dienste Dritter, die wir nicht betreiben |
| Die RAGSuite Engine | Social Engineering und physische Angriffe |
| Die Website ragsuite.de | Volumetrische Denial-of-Service-Angriffe |
| Ergebnisse automatischer Scanner ohne nachgewiesene Auswirkung |
Forschung in guter Absicht ist willkommen.
Wir gehen nicht rechtlich gegen Forschung in guter Absicht vor, die diese Richtlinie einhält: Verletzen Sie keine Privatsphäre, stören Sie keine Dienste, greifen Sie nicht über einen minimalen Nachweis hinaus auf Daten zu und testen Sie nur gegen Ihre eigene Installation. In der RAGSuite Engine testen Sie bitte nur mit Ihrem eigenen Konto. Im Zweifel fragen Sie uns vorher unter security@ragsuite.de. Diese Zusage gilt für alle Teile im oben genannten Geltungsbereich.
Sicherheitslücke melden: Ihre Fragen.
Gibt es ein Bug-Bounty-Programm?
Derzeit nicht. Wir bedanken uns für gültige Meldungen, indem wir Sie auf Wunsch im Sicherheits-Advisory nennen. Ein Bug-Bounty-Programm prüfen wir für die Zukunft. Bitte melden Sie Schwachstellen trotzdem, auch kleine, jede Meldung hilft, RAGSuite für alle Nutzer sicherer zu machen.
Darf ich in der RAGSuite Engine testen?
Ja, aber nur mit Ihrem eigenen Konto und ohne auf Daten anderer Kunden zuzugreifen oder den Dienst zu stören. Lasttests und automatisierte Scans gegen die Cloud stimmen Sie bitte vorher mit uns ab. Für umfangreiche Tests empfehlen wir eine eigene Installation der Community Edition.
Wo finde ich die security.txt?
Unter ragsuite.de/.well-known/security.txt nach RFC 9116. Dort stehen Kontakt, bevorzugte Sprachen und der Link zu dieser Richtlinie. Wir halten die Datei aktuell und erneuern ihr Ablaufdatum regelmäßig. Meldungen nehmen wir auf Deutsch und Englisch entgegen. Bitte nutzen Sie für Meldungen immer die dort genannte Adresse security@ragsuite.de.
Wie gehe ich vor, wenn ich keine Antwort erhalte?
Erhalten Sie innerhalb von 3 Werktagen keine Eingangsbestätigung, schreiben Sie bitte erneut an security@ragsuite.de und zusätzlich an info@ragsuite.de mit dem Betreff „Sicherheit“. So stellen wir sicher, dass keine Meldung verloren geht. Bitte veröffentlichen Sie die Schwachstelle nicht, bevor wir reagieren konnten.
Was passiert nach der Behebung?
Sobald eine Korrektur verfügbar ist, veröffentlichen wir ein Sicherheits-Advisory mit Beschreibung, betroffenen Versionen und Empfehlung. Auf Wunsch nennen wir Sie dort als Entdeckerin oder Entdecker. Kundinnen und Kunden der Enterprise Edition und der RAGSuite Engine informieren wir zusätzlich direkt, wenn sie betroffen sind.
Was gilt nicht als Schwachstelle?
Nicht im Geltungsbereich sind Dienste Dritter, Social Engineering, physische Angriffe, volumetrische Denial-of-Service-Angriffe und Ergebnisse automatischer Scanner ohne nachgewiesene Auswirkung. Fehlende Header oder Hinweise ohne konkretes Angriffsszenario prüfen wir gern, behandeln sie aber nicht als Sicherheitsvorfall. Im Zweifel melden Sie lieber einmal mehr.
Fragen zur Sicherheit von RAGSuite?
Im Trust Center finden Sie Betrieb, Verschlüsselung und Sicherheitsprüfungen. Für Unterlagen sprechen Sie mit uns.