---
title: "Security & Bug Bounty | Spreat"
description: "Sicherheitslücke bei Spreat gefunden? So meldest du sie vertraulich: Geltungsbereich, Verhaltensregeln, freiwillige Belohnungen und Safe Harbor."
url: "https://spreat.com/bug-bounty"
language: "de"
---

# Security & Bug Bounty bei Spreat

Die Sicherheit unserer Plattform und der Schutz der Daten unserer Kunden haben für uns höchste Priorität. Wir schätzen die Arbeit der Security-Community sehr und freuen uns über Unterstützung dabei, Spreat noch sicherer zu machen. Wenn du eine Schwachstelle oder ein Sicherheitsrisiko in unseren Systemen entdeckt hast, bitten wir dich, uns dies vertraulich mitzuteilen.

Programm läuft seit dem 19. September 2025

## Bounties & Belohnungen

Als wachsendes Unternehmen können wir aktuell kein festes, garantiertes Budget für Bug Bounties zusichern. Wir schätzen deinen Einsatz jedoch sehr und möchten gute Arbeit angemessen anerkennen.

-   **Freiwillige Aufmerksamkeiten:** Für valide, kritische Sicherheitslücken vergeben wir gerne finanzielle Bounties, Aufmerksamkeiten (Swag) oder kostenlose Nutzungen unserer Plattform.
-   **Auszahlung nach Ermessen:** Alle Belohnungen erfolgen auf rein freiwilliger Basis (Discretionary Bounty). Es besteht kein rechtlicher Anspruch auf eine Vergütung.
-   **Kriterien:** Eine Belohnung setzt voraus, dass du die Lücke als Erstes gemeldet hast, sie reproduzierbar ist und du dich an die Regeln dieser Policy gehalten hast.

## Verhaltensregeln (Rules of Engagement)

Um eine sichere und verantwortungsvolle Überprüfung zu gewährleisten, halte dich bitte an folgende Grundsätze:

-   **Schutz von Nutzerdaten:** Sobald du bei deinen Tests auf personenbezogene Daten (PII), Zahlungsdaten oder andere sensible Informationen stößt, brich den Test sofort ab. Greife nur auf das absolute Minimum an Daten zu, das für deinen Proof of Concept notwendig ist, und melde den Fund direkt.
-   **Nur eigene Test-Accounts:** Teste ausschließlich mit deinen eigenen Accounts. Der Zugriff auf Daten anderer Nutzer ist strikt untersagt.
-   **Keine Betriebsunterbrechung:** Vermeide Handlungen, die die Verfügbarkeit unserer Dienste beeinträchtigen könnten (z. B. DoS-/DDoS-Angriffe, Spamming oder aggressive automatisierte Scans).
-   **Vertraulichkeit:** Gib uns angemessen Zeit, eine gemeldete Lücke zu prüfen und zu beheben, bevor du Informationen darüber veröffentlichst (Coordinated Disclosure). Erpresserische Forderungen schließen eine Zusammenarbeit aus.

## Scope (Geltungsbereich)

**In-Scope:** Unser Brandpool unter [brandpool.spreat.com](https://brandpool.spreat.com) und unsere Website spreat.com einschließlich ihres Redaktionsbereichs unter /admin.

**Out-of-Scope:** Dienste und Infrastruktur von Drittanbietern. Zudem sind rein theoretische Best-Practice-Abweichungen ohne direktes Ausnutzungspotenzial (z. B. fehlende E-Mail-Sicherheitsheader wie SPF/DMARC, rein kosmetische Clickjacking-Fälle) von einer Belohnung ausgeschlossen.

## Schwachstelle melden

Bitte sende deinen Bericht mit allen relevanten Details (Schritt-für-Schritt-Anleitung, Screenshots oder PoC-Skript) per E-Mail an [security@spreat.com](mailto:security@spreat.com).

Wir bemühen uns, eingehende Berichte so schnell wie möglich zu sichten, dich über den Eingang zu informieren und dich bei der Behebung auf dem Laufenden zu halten.

## Safe Harbor (Dein Schutzraum)

Wenn du deine Recherche in gutem Glauben und im Rahmen dieser Policy durchführst:

-   betrachten wir deine Aktivitäten als autorisiert im Sinne relevanter IT-Sicherheitsgesetze und werden keine rechtlichen Schritte gegen dich einleiten.
-   machen wir für deine Sicherheitsrecherche eine Ausnahme von Einschränkungen in unseren AGB, soweit diese deinen Tests im Rahmen dieser Policy entgegenstehen würden.
-   werden wir im Falle von Rückfragen Dritter offiziell bestätigen, dass deine Untersuchungen im Einklang mit dieser Policy stattfanden.

## Danke

Vielen Dank, dass du uns hilfst, unsere Plattform sicher zu halten!