Sicherheitsprobleme mit Bedacht dokumentieren

Reproduzierbare Angaben ohne Zugangsdaten

Beschreiben Sie betroffene Seite, beobachtetes Verhalten, Zeitpunkt, Browserumgebung und möglichst einen ungefährlichen reproduzierbaren Ablauf. Verwenden Sie künstliche Testdaten und entfernen Sie TOTP-Schlüssel, QR-Exportbilder, Sitzungscookies und Recovery-Codes aus Anhängen.

Kontrolliert und ohne Fremdzugriff prüfen

Testen Sie ausschließlich Daten und Konten, für die Sie berechtigt sind. Unterlassen Sie Belastungsangriffe und veröffentlichen Sie verwertbare Details nicht vor einer sicheren Abstimmung. Verwenden Sie nur einen auf der offiziellen 2FASync-Präsenz verifizierten Kontaktweg; hier wird keine unbestätigte Adresse angegeben.

Vertrauliche Befunde knapp beschreiben

Für eine Ersteinschätzung genügen meist betroffene Funktion, erwartetes und tatsächliches Verhalten sowie harmlose Schritte zur Reproduktion. Legen Sie nur solche Details offen, die für die verantwortliche Bearbeitung benötigt werden.

Beispiel für eine hilfreiche, ungefährliche Problembeschreibung

Ein guter Bericht kann lauten: Nach dem Wechsel von einer gesperrten Tresoransicht zurück zur Importvorschau blieb eine Schaltfläche sichtbar, obwohl ein neuer Login erwartet wurde. Halten Sie Browser-Version, Schritte, tatsächliche Wirkung und erwartetes Verhalten fest, aber verwenden Sie erfundene Konten und Testschlüssel. Entfernen Sie aus Screenshots nicht nur Namen, sondern auch sämtliche OTP-Werte, Export-QRs, Sitzungs-Cookies und Hinweise auf echte Wiederherstellungsschlüssel.

Wenn ein Befund das Konto einer anderen Person betreffen könnte, unterbrechen Sie die Untersuchung, statt sich zusätzlichen Zugriff zu verschaffen. Verzichten Sie auf Lasttests und Veröffentlichungen verwertbarer Angriffsdetails ohne sichere Abstimmung. Die Betreiberdaten und ein verifizierter vertraulicher Meldekanal sind derzeit nicht nachgewiesen; veröffentlichen Sie deshalb auch keine vermutete E-Mail-Adresse oder eine erfundene Reaktionsfrist.

An welche Sicherheitsadresse soll ich einen Fund senden?

Hier ist noch kein verifizierter Betreiberkontakt veröffentlicht. Geben Sie keine echten Geheimnisse über eine unbestätigte Adresse weiter; prüfen Sie zuerst, welcher vertrauliche Kanal offiziell freigegeben wurde.