Sicherheitslücken melden
Richtlinie zur koordinierten Offenlegung · Stand: 26.09.2026
Du hast eine Sicherheitslücke in MiLife gefunden? Danke, dass du sie uns meldest. Wir nehmen jede Meldung ernst und arbeiten gern mit dir zusammen, um die Lücke zu schließen, bevor jemand sie ausnutzen kann.
Sprachen: Deutsch oder Englisch. Maschinenlesbar: /.well-known/security.txt
Was in die Meldung gehört
- Welcher Teil betroffen ist (Android-App, iPhone-App, Web-App, Server) und die App-Version, falls bekannt.
- Eine Beschreibung der Lücke und die Schritte, mit denen wir sie nachstellen können.
- Was ein Angreifer damit erreichen könnte.
- Wie wir dich für Rückfragen erreichen.
Bitte schick uns keine personenbezogenen Daten anderer Personen mit – falls du versehentlich welche gesehen hast, beschreibe nur, welche Art von Daten es war.
Was wir zusagen
- Wir bestätigen den Eingang deiner Meldung innerhalb von 3 Werktagen.
- Innerhalb von 10 Werktagen bekommst du eine erste Einschätzung.
- Wir halten dich über den Stand der Behebung auf dem Laufenden.
- Nach der Behebung informieren wir die Nutzerinnen und Nutzer, soweit nötig, und nennen dich auf Wunsch als Finderin bzw. Finder.
- Aktiv ausgenutzte Lücken und schwerwiegende Sicherheitsvorfälle melden wir, wie gesetzlich vorgeschrieben, an die zuständigen Stellen.
Koordinierte Offenlegung
Bitte veröffentliche Details zu einer Lücke erst, wenn sie behoben ist oder wenn seit deiner Meldung 90 Tage vergangen sind – je nachdem, was früher eintritt. Brauchen wir länger, sprechen wir einen gemeinsamen Termin mit dir ab.
Spielregeln
- Teste nur mit deinen eigenen Konten. Greife nicht auf Daten anderer Personen zu, verändere oder lösche sie nicht. Stößt du doch darauf, hör sofort auf und melde es uns.
- Keine Angriffe, die den Betrieb stören (Überlastung, Denial of Service, Spam, massenhafte automatisierte Anfragen).
- Kein Social Engineering (z. B. Phishing) gegenüber Nutzern oder dem MiLife-Team, keine physischen Angriffe.
- Keine Zahlungen mit fremden Karten und kein Ausnutzen einer Lücke über das Nötigste hinaus, um sie nachzuweisen (z. B. keine Socials für dich selbst erzeugen und behalten).
Wenn du dich an diese Regeln hältst und in gutem Glauben handelst, sehen wir deine Suche als hilfreich an und werden keine rechtlichen Schritte gegen dich einleiten.
Geltungsbereich
- Die MiLife-App für Android und iPhone (jeweils die aktuelle Version).
- Die Web-App unter
app.milife.appund die Websitemilife.app, jeweils mit den Firebase-Standardadressen (*.web.app,*.firebaseapp.com) des Projektsmilife-90832. - Die Server-Funktionen und Datenbank-Regeln von MiLife.
Lücken in Diensten anderer Anbieter, die MiLife nutzt (zum Beispiel Google Firebase, Google Maps, Stripe, LiveKit), meldest du bitte direkt an deren Meldestellen. Wenn du dir unsicher bist, schreib uns trotzdem.
Belohnung
Wir haben derzeit kein bezahltes Bug-Bounty-Programm. Wir bedanken uns aber gern persönlich und nennen dich auf Wunsch öffentlich.
Report a security vulnerability
Coordinated vulnerability disclosure policy · Last updated: 26 September 2026
Have you found a security vulnerability in MiLife? Thank you for reporting it to us. We take every report seriously and are happy to work with you to fix the issue before anyone can exploit it.
Languages: German or English. Machine-readable: /.well-known/security.txt
What to include
- Which part is affected (Android app, iPhone app, web app, server) and the app version, if known.
- A description of the vulnerability and the steps to reproduce it.
- What an attacker could achieve with it.
- How we can reach you for questions.
Please do not send us personal data of other people – if you came across such data by accident, only describe what kind of data it was.
What we commit to
- We acknowledge your report within 3 business days.
- You receive an initial assessment within 10 business days.
- We keep you informed about the progress of the fix.
- After the fix we inform our users where necessary and, if you wish, credit you as the finder.
- We report actively exploited vulnerabilities and severe security incidents to the competent authorities as required by law.
Coordinated disclosure
Please do not publish details of a vulnerability until it has been fixed or 90 days have passed since your report, whichever comes first. If we need more time, we will agree on a date with you.
Rules of engagement
- Only test with your own accounts. Do not access, modify or delete other people's data. If you come across such data, stop immediately and report it to us.
- No attacks that disrupt the service (overload, denial of service, spam, mass automated requests).
- No social engineering (e.g. phishing) against users or the MiLife team, no physical attacks.
- No payments with other people's cards, and do not exploit a vulnerability beyond what is necessary to demonstrate it (e.g. do not create and keep Socials for yourself).
If you follow these rules and act in good faith, we consider your research helpful and will not take legal action against you.
Scope
- The MiLife app for Android and iPhone (current version).
- The web app at
app.milife.appand the websitemilife.app, including the Firebase default addresses (*.web.app,*.firebaseapp.com) of the projectmilife-90832. - MiLife's server functions and database rules.
Please report vulnerabilities in third-party services used by MiLife (for example Google Firebase, Google Maps, Stripe, LiveKit) directly to those providers. If in doubt, write to us anyway.
Rewards
We currently do not run a paid bug bounty programme, but we are happy to thank you personally and credit you publicly if you wish.