# Das kann Kit Security.

Meldungen empfangen, Forscher informieren und die Reaktion im Team verfolgen.

[Security- und VDP-Funktionen | Kit](https://startupkit.app/de/security/features)

## Meldungen empfangen und bewerten

Ein Forscher meldet einen Fund. Ihr Team sieht die Nachweise, die Zuständigkeit und die anstehende Entscheidung.

### Eine Lücke ohne Konto melden.

Schwachstellenmeldungen

Forscherinnen und Forscher beschreiben den betroffenen Endpunkt und das Problem und hängen Nachweise an. Eine E-Mail-Adresse ist optional.
- Erfassen Sie Titel, Schwachstellentyp, Endpunkt und Beschreibung.
- Ergänzen Sie Reproduktionsschritte, den angegebenen Schweregrad und Dateien als Nachweis.
- Halten Sie die Zustimmung zur Richtlinie fest und stellen Sie nach dem Absenden einen Beleg bereit.

Bis zu zehn Dateien, jeweils unter 25 MB und zusammen unter 50 MB. Auch Meldungen ohne E-Mail-Adresse enthalten Übermittlungsmetadaten. E-Mail-Updates und eine Identität im Portal benötigen eine Adresse.

### Ein erster Anlaufpunkt für Forscher.

Sicherheitsportal im eigenen Design

Stellen Sie Programmbeschreibung, Meldeformular und Richtlinie auf einem Sicherheitsportal in Ihrem Design bereit.
- Wählen Sie Logo, Farben, Slogan und die Sichtbarkeit der Marke.
- Nutzen Sie Kit als Host oder eine verifizierte eigene Sicherheitsdomain.
- Führen Sie die Einrichtung durch, prüfen Sie Entwürfe und aktivieren oder pausieren Sie die Annahme von Meldungen.

Ein Security-Programm pro Konto. Öffentliche Besucher benötigen ein aktives Programm. Eigene Domains erfordern einen Security-Zugang über das Abonnement.

### Festhalten, was Forscher testen dürfen.

Geltungsbereich und Offenlegungsrichtlinie

Veröffentlichen Sie zulässige Ziele, Ausschlüsse und Offenlegungsregeln neben dem Meldeformular.
- Listen Sie zulässige Ziele, ausgeschlossene Bereiche und Schwachstellentypen auf.
- Kopieren Sie den hinterlegten Geltungsbereich als Markdown.
- Veröffentlichen Sie Ihre Offenlegungsrichtlinie, optionalen Safe-Harbor-Text und Teilnahmehinweise.

Safe Harbor ist eine Zusage in Ihrer Richtlinie. Die Prüfung des Geltungsbereichs nutzt hinterlegte Zielzeichenfolgen und Schwachstellentypen. Kit ermittelt Ihre Angriffsfläche nicht selbst.

### Eine Referenz und ein Beleg für den Fund.

Eingangsbelege

Über den Beleglink können Forscher die eingereichte Beschreibung und den aktuellen Status erneut aufrufen.
- Kopieren Sie die Meldungsreferenz und sehen Sie den Zeitpunkt der Einreichung.
- Lesen Sie Beschreibung und Reproduktionsschritte erneut.
- Sehen Sie Dateinamen ohne offengelegte Downloadlinks.

Wer den Beleglink besitzt, erhält 90 Tage lang Zugriff. Der Beleg enthält keine internen Notizen und ist vom angemeldeten Gespräch getrennt.

### Die Meldung per E-Mail-Link verfolgen.

Privates Forscherportal

Forscher melden sich per E-Mail an und sehen ihre eigenen Meldungen, Bewertungen und den Stand der Prämien in teilnehmenden Programmen.
- Öffnen Sie einen Magic Link und bestätigen Sie die Forscheridentität.
- Lesen Sie Nachweise, Status, den vom Team festgelegten Schweregrad und den bewerteten CVSS-Score.
- Erstellen Sie eine neue Meldung für ein aktives öffentliches Programm.

Ein bestehender Forscherdatensatz ist erforderlich. Anmeldelinks laufen nach sieben Tagen ab. Neuere Links ersetzen ältere. Interne Notizen, CVSS-Vektoren des Teams und private Teamwerkzeuge bleiben verborgen.

### Die Antwort bleibt beim Fund.

Gespräch mit dem Forscher

Tauschen Sie Nachrichten zur Meldung mit dem Forscher aus. Gesendete Teamantworten kommen per E-Mail an und erscheinen im privaten Portal.
- Verfolgen Sie neue Nachrichten in der Reihenfolge ihres Versands.
- Bitten Sie im selben Gespräch um Erläuterungen.
- Verfolgen Sie ungelesene Nachrichten für jedes Teammitglied getrennt.

Interne Notizen und ungesendete Entwürfe bleiben privat. Bei abgelehnten oder bezahlten Meldungen sind Nachrichten im Forscherportal geschlossen.

### Meldungen mit Handlungsbedarf öffnen.

Warteschlange für die Bearbeitung

Prüfen Sie offene Meldungen, ausstehende Antworten und nicht zugewiesene Arbeit als Liste oder auf einem Board nach Bearbeitungsstand.
- Wechseln Sie zwischen allen, eigenen und Teammeldungen. Sehen Sie Security-Handlungsbedarf auf der aktivierten Startseite und in Tagesübersichten.
- Suchen Sie nach IDs oder Titeln. Filtern Sie nach Status, Schweregrad, Zuständigkeit und Prüfergebnis.
- Sortieren Sie nach SLA oder Eingangsdatum. Weisen Sie ausgewählte Meldungen gemeinsam zu oder lehnen Sie sie gemeinsam ab.

Zählwerte berücksichtigen den Meldungszugriff. Die Titelsuche prüft die neuesten 500 sichtbaren Meldungen. Startseitenübersichten beachten Ihre Einstellungen und überspringen unveränderte oder leere Routinewarteschlangen. Öffnen Sie Meldungen und Aktionen, für die Sie berechtigt sind, über OmniSearch.

### Angabe und Bewertung nebeneinander sehen.

Schweregrad und CVSS

Erstellen Sie einen CVSS-Basisvektor und halten Sie Schweregrad, bewertende Person und Begründung des Teams fest.
- Nutzen Sie den Rechner für CVSS-v3.1-Basiswerte.
- Vergleichen Sie den vom Forscher angegebenen Schweregrad mit der Teamentscheidung.
- Sehen Sie den Vorschlag aus der hinterlegten Prämienspanne.

Der aktuelle Rechner nutzt die Basiskennzahlen von CVSS v3.1. Das Team nimmt die Bewertung vor.

### Der nächste Schritt bekommt einen Namen.

Zuständigkeit für Meldungen

Weisen Sie eine zuständige Person zu und bewahren Sie den Verlauf bei einem Wechsel.
- Wählen Sie eine aktive zuständige Person für die Meldung.
- Nutzen Sie eine hinterlegte Standardzuweisung oder die Bereitschaft.
- Bewahren Sie dokumentierte Übergaben zwischen zuständigen Personen.

Eine Zuweisung allein gewährt keinen Zugriff auf eine zugriffsbeschränkte Meldung.

### Die Frist bleibt bei der Meldung.

Reaktionsziele und Fristen

Veröffentlichen Sie Bestätigungsfristen und nach Schweregrad gestaffelte Behebungsziele. Das Team sieht die Reaktionsfrist in seiner Warteschlange.
- Zeigen Sie hinterlegte Ziele auf der Richtlinienseite und in llms.txt.
- Sehen Sie einen laufenden Countdown mit den Zuständen im Plan, gefährdet und überschritten.
- Priorisieren Sie die Warteschlange nach Reaktionsfrist.

Die laufende Frist beginnt mit dem Eingang und läuft über alle offenen Zustände hinweg. Behebungsziele unterstützen Inaktivitätsschwellen und rückblickende Berichte. Es sind hinterlegte Zusagen, keine Garantie für personell abgesicherte Reaktionen.

### Ergebnis und Grund festhalten.

Entscheidungen bei der Sichtung

Lehnen Sie eine Meldung mit einem benannten Grund ab, stufen Sie sie als informativ ein oder öffnen Sie sie mit einem dokumentierten Statuswechsel erneut.
- Wählen Sie Gründe zu Duplikaten, Geltungsbereich oder Reproduzierbarkeit.
- Bewahren Sie die private Begründung bei der Entscheidung.
- Halten Sie den Statuswechsel im Meldungsverlauf fest.

Das Team trifft die Entscheidung. Informativ ist ein eigenes Ergebnis.

## Die Bearbeitung voranbringen

Antworten, Teamnotizen, Zuständigkeiten und Bereitschaft bleiben bei der Meldung.

### Notizen neben dem Meldungsverlauf lesen.

Teamnotizen und Verlauf

Besprechen Sie den Fund intern und verfolgen Sie die zur Meldung dokumentierten Personen, Entscheidungen und Übergaben.
- Schreiben Sie allgemeine Notizen, Bewertungen oder Entscheidungsnotizen. Erwähnen Sie Teammitglieder und heften Sie eine Notiz an.
- Sehen Sie, welche Teammitglieder die Meldung zuletzt geöffnet haben.
- Verfolgen Sie Status, Schweregrad, Zuständigkeit, Nachrichten, Nachbesprechungen, Freigaben und Integrationsereignisse.

Notizen bleiben im berechtigten Team. Die Erfassung von Aufrufen lässt sich deaktivieren. Eine dokumentierte Aktion oder Ansicht belegt weder Behebung noch Aufmerksamkeit.

### Die Antwort vor dem Versand lesen.

Antwortentwürfe zur Prüfung

Bewahren Sie eine ungesendete Antwort zur gemeinsamen Bearbeitung auf. Lassen Sie eine Antwort vorschlagen oder überarbeiten Sie den Text im Nachrichteneditor.
- Teilen Sie einen offenen Entwurf mit Angaben zu Bearbeitung und Versand.
- Sehen Sie eine Warnung, wenn der Forscher seit dem Entwurf geantwortet hat.
- Nutzen Sie den Gesprächskontext für Vorschläge oder ersatzweise eine Vorlage, wenn er nicht verfügbar ist.

Entwürfe zählen nicht als gesendete Antworten. Vom Agenten verfasste Antworten in der Unterhaltung bleiben standardmäßig ungesendete Entwürfe. Ein Programmadministrator kann den direkten Versand aktivieren. Berechtigte Status- oder Prämienänderungen können weiterhin die üblichen Benachrichtigungen auslösen. Ein Agent kann menschliche Arbeit nicht unbemerkt ersetzen.

### Die Antwortvorlage vorab ansehen.

Nachrichtenvorlagen

Passen Sie Antworttexte an und prüfen Sie Variablen für Meldung und Forscher, bevor Sie die Nachricht in den Editor übernehmen.
- Bereiten Sie Eingangsbestätigungen, Rückfragen, Validierungen, Ablehnungen und Prämienangebote vor.
- Legen Sie Kontostandards und abweichende Programmeinstellungen fest.
- Prüfen Sie den aufgelösten Text vor dem Speichern oder Senden einer Antwort.

Elf Vorlagentypen lassen sich verwalten, aber fünf Nachrichtenzwecke werden im Antworteditor verwendet. Automatische Eingangsbestätigungen, Statusänderungen und Anmelde-E-Mails verwenden feste Mailvorlagen.

### Im Namen Ihres Programms schreiben.

E-Mail-Absender des Programms

Stimmen Sie Forscherbenachrichtigungen auf das Portal ab und nutzen Sie Ihre Sicherheitsadresse, sobald die E-Mail-Anbindung bereit ist.
- Übernehmen Sie Programmname, Kontologo und Markenfarben.
- Richten Sie eine security@-Adresse über eine betriebsbereite E-Mail-Integration ein.
- Senden Sie von Ihrer Adresse mit aktivem Versand als eigener Absender über Startupkit Email.

Ihre Absenderadresse benötigt aktiven Versand als eigener Absender über Startupkit Email und DKIM. Andernfalls nutzt der Versand eine Kit-Adresse. Eingehende E-Mails erstellen keine Security-Meldungen und aktualisieren keine Gespräche.

### Vor der Duplikatentscheidung vergleichen.

Verwandte Meldungen

Sehen Sie verwandte Meldungen aus demselben Programm neben dem aktuellen Fund.
- Öffnen Sie Vorschläge für ähnliche und verwandte Meldungen.
- Nutzen Sie Treffer desselben Typs, wenn Einbettungen nicht verfügbar sind.
- Folgen Sie direkten Links zu Meldungen, auf die Sie zugreifen dürfen.

Ähnlichkeit gibt einen Vergleichshinweis. Das Team entscheidet über Duplikate. Zugriffsbeschränkte Meldungen bleiben für unberechtigte Mitglieder verborgen.

### Die Gründe hinter dem Hinweis lesen.

Qualitätsprüfung von Meldungen

Prüfen Sie neben den eingereichten Nachweisen eine Qualitätsempfehlung, deren Konfidenz und konkrete Anhaltspunkte.
- Sehen Sie die Empfehlungen Nicht markiert, Überprüfen oder Markieren.
- Prüfen Sie die benannten Qualitätsbedenken.
- Filtern Sie den Posteingang nach dem Prüfergebnis.

Die Prüfung benötigt einen eingerichteten Anbieter und Guthaben. Empfehlungen lehnen keine Meldungen ab.

### Anweisungen an den Assistenten erkennen.

Warnungen vor Prompt Injection

Sehen Sie vermutete Prompt-Injection-Techniken und ihre Fundstellen in Meldungen und Nachrichten von Forschern.
- Lesen Sie Ergebnis, Technik und betroffenes Feld oder betroffene Nachricht.
- Unterscheiden Sie Schwachstellenmeldungen von Nachfragen, Kontakt-, Support- oder Testanfragen.
- Übernehmen Sie die Warnung in berechtigte MCP- und Assistentenabfragen.

Prüfungen können nicht verfügbar sein. Eine Warnung blockiert weder die Meldung noch eine berechtigte Aktion. Ein unauffälliges Ergebnis ist keine Garantie.

### Den Verlauf hinter der Meldung öffnen.

Forscherhistorie

Prüfen Sie sichtbare Einreichungen, Prämien und Karma-Ereignisse eines Forschers, bevor Sie über den Bedarf des aktuellen Funds entscheiden.
- Suchen Sie nach Forscheridentitäten und filtern Sie deren Meldungsverlauf.
- Prüfen Sie Schweregrad, Prämien und Karma neben den Meldungslinks.
- Sehen Sie nach mindestens fünf Meldungen eine programmspezifische Kennzeichnung für geringe Aussagekraft und die zugehörigen Zählwerte.
- Erfassen Sie als Administrator Karma-Korrekturen über den Assistenten, mit vorgegebenem Grund, ausführender Person und optionalen Nachweisen.

Die Kennzeichnung beruht auf einer Reputationszählregel, die offene Meldungen einschließt. Sie lehnt Meldungen weder ab, sperrt Forscher noch senkt sie den Schweregrad. Globales Karma belegt kein Vertrauen in einem bestimmten Programm.

### Den Fund dem Produktbereich zuordnen.

Zuordnung zu Komponenten

Pflegen Sie Komponentenmuster, Zuständigkeiten und Slack-Ziele in einem Katalog und bestätigen Sie den vorgeschlagenen Bereich an der Meldung.
- Gleichen Sie Endpunktmuster ab und sehen Sie den Grund für den Bereichsvorschlag.
- Übernehmen Sie den Komponentenverantwortlichen, wenn die Meldung noch niemandem zugewiesen ist.
- Archivieren Sie Komponenten unter Erhalt des Meldungsverlaufs.

Vorschläge müssen von einem Menschen bestätigt werden. Der Katalog ordnet bekannte Bereiche zu. Er ermittelt keine Assets und ersetzt keine bereits zuständige Person.

### Bei stillstehenden Meldungen nachfassen.

Erinnerungen an Zuständige

Erinnern Sie die zuständige Person nach schweregradabhängigen Inaktivitätsfristen und eskalieren Sie liegen gebliebene Arbeit an einen Administrator.
- Verfolgen Sie Teamaktivität mit einer einstellbaren Erinnerungsfolge.
- Pausieren Sie Erinnerungen für drei oder sieben Tage innerhalb des Limits pro Erinnerungszyklus.
- Kennzeichnen Sie, wenn eine Rückfrage auf die Antwort des Forschers wartet.

Aktive Pausen, informative Funde und passende Wartezeiten auf Forscher sind von Erinnerungen ausgenommen. Eine Pause verschiebt den Erinnerungszyklus, setzt die Meldungsfrist aber nicht zurück.

### Einen Zeitpunkt für die Wiedervorlage setzen.

Wiedervorlagen für Meldungen

Erstellen Sie eine Erinnerung für sich und Teammitglieder, die die Meldung öffnen dürfen.
- Wählen Sie eine Ortszeit und bestimmte Teammitglieder.
- Erhalten Sie eine Benachrichtigung in der App und auf ausdrücklichen Wunsch per E-Mail.
- Erledigen oder reaktivieren Sie die Erinnerung, oder laden Sie sie als ICS-Kalendereintrag herunter.

Forscher erhalten diese Erinnerungen nie. Der Versand prüft den Meldungszugriff erneut. Ersteller bearbeiten die Erinnerung, Teilnehmer können sie erledigen oder reaktivieren. Der Kalenderexport ist eine Momentaufnahme ohne laufende Synchronisierung.

### Die nächste Bereitschaft mit Übergabe starten.

Bereitschaftsrotation

Legen Sie aktuelle Bereitschaft und Rotation fest. Versenden Sie dann eine Übersicht für die beginnende und eine Zusammenfassung für die endende Schicht.
- Nutzen Sie manuelle Schichten oder tägliche und wöchentliche Rotationen.
- Berücksichtigen Sie Feiertage und informieren Sie Administratoren über Besetzungslücken.
- Fassen Sie offene Arbeit, nahende Fristen und Schichtaktivität in Slack oder E-Mail zusammen.

Die interne Rotation benötigt mindestens zwei Mitglieder. Die Synchronisierung mit PagerDuty-Dienstplänen benötigt eine eingerichtete Verbindung.

### Den Alarm an die Bereitschaft senden.

Reaktionsalarme und PagerDuty

Informieren Sie die Bereitschaft über dringende Meldungen und überschrittene Reaktionsfristen, optional mit Eskalation an PagerDuty.
- Wählen Sie Auslöser für neue Meldungen, SLA, kritische Bewertungen und Eskalationen.
- Ordnen Sie Vorfallschweregrade zu, richten Sie wiederholte Fristalarme ein und synchronisieren Sie die aktuelle Bereitschaft.
- Zeigen Sie PagerDuty-Bestätigungen und Abschlussmeldungen aus signierten Webhooks an.

PagerDuty benötigt eine Dienstanbindung und ein passendes Kit-Teammitglied. Alarme mit reduziertem Inhalt schützen zugriffsbeschränkte Meldungen. Der Abschluss eines Vorfalls verifiziert keine Behebung.

## Die Behebung verfolgen

Übergeben Sie die Arbeit an die Entwicklung und halten Sie die Nachweise und Entscheidungen Ihres Teams fest.

### Das Entwicklungsticket bleibt beim Fund.

Übergabe an Jira und Linear

Prüfen Sie die Datenfreigabe einer Meldung, bevor Sie ein Jira- oder Linear-Ticket erstellen. Sehen Sie danach dessen zwischengespeicherten Status in Kit.
- Wählen Sie Projekt oder Team und ordnen Sie Schweregrade den Prioritäten zu.
- Senden Sie ausgewählte Meilensteinkommentare und freigegebene Schwachstellendetails.
- Sehen Sie zwischengespeicherten Status, letzte Synchronisierung, Fehler und defekte Links.

Verbindungen benötigen eine Einrichtung beim Anbieter. Schwachstellendetails erfordern eine Programmerlaubnis und Zustimmung bei jeder Übertragung. Ein abgeschlossenes Ticket schließt die Meldung nicht und belegt keine Bereitstellung. Beim Trennen bleibt das externe Ticket erhalten.

### Den Pull Request griffbereit halten.

Links zur Behebung

Verknüpfen Sie das Ticket, den Pull Request oder das Dokument, mit dem Ihr Team die Behebung verfolgt.
- Verlinken Sie Arbeit in GitHub, GitLab, Jira oder Linear.
- Ergänzen Sie eigene Bezeichnungen und interne URLs.
- Öffnen Sie verknüpfte Verweise direkt im Meldungsverlauf.

Diese Verweise sind nur für das Team bestimmt. Kit lädt ihre Inhalte nicht, synchronisiert keinen Status und leitet daraus keine Bereitstellung ab.

### Festhalten, wer die Behebung verifiziert hat.

Entscheidung zur verifizierten Behebung

Ein berechtigtes Teammitglied kann eine behobene Meldung auf Behebung verifiziert setzen. Die Entscheidung bleibt im Verlauf erhalten.
- Führen Sie Behoben und Behebung verifiziert als getrennte Zustände.
- Halten Sie die entscheidende Person aus dem Team und den Zeitpunkt fest.
- Ergänzen Sie optional eine Verifizierungsnotiz.

Kit verlangt für diesen Statuswechsel weder Bereitstellungsnachweise noch einen erneuten Test durch den Forscher und prüft beides nicht unabhängig.

### Die Nachbesprechung beim Fund festhalten.

Nachbesprechungen

Dokumentieren Sie Korrekturmaßnahmen und gewonnene Erkenntnisse an der Meldung, mit Daten, Anhängen und erhaltenen Versionen.
- Halten Sie Ursache und Korrekturmaßnahmen fest.
- Tragen Sie Erkennungs- und Behebungsdatum ein.
- Bewahren Sie einen Versionsverlauf, der nur ergänzt wird.

Die Behebungsdauer nutzt die Daten Ihres Teams und keine beobachtete Dauer einer Bereitstellung.

### Nachweise aus Ihrer GitLab-Pipeline zurückholen.

Code-Sichtung im eigenen System

Senden Sie eine Meldung an Ihre eigene Pipeline. Erhalten Sie Codefundstellen, Angaben zur Reproduktion und Behebungsvorschläge zur Prüfung zurück.
- Nutzen Sie Ihr Repository, Modell und Ihre Prompts mit einem auf den Lauf begrenzten Token.
- Verfolgen Sie Repository, Commit, Pipeline-Fortschritt, Fehler und Zeitüberschreitungen.
- Prüfen Sie Proof-of-Concept-Text, HTTP-Austausch, Werkzeugausgaben und Abdeckung getrennt vom Ergebnis.

Nur GitLab. Einrichtung und Security-Zugriff sind erforderlich. Läufe enden nach einem eingestellten Zeitraum von einer bis 45 Minuten. Bis zu acht Nachweise mit jeweils 64 KiB und zusammen 256 KiB. Zurückgemeldete Angaben ändern die Bewertung nie automatisch.

## Ihr Offenlegungsprogramm verwalten

Legen Sie Zugang, öffentliche Nennung und Meldewege aus Sicht der Forscher fest.

### Forscher über Rückstände informieren.

Warteschlangenhinweise und Statusanfragen

Veröffentlichen Sie einen Warteschlangenhinweis und erlauben Sie berechtigten Forschern, bei ruhenden Meldungen nach dem Stand zu fragen.
- Zeigen Sie einen eigenen Hinweis und angepasste Reaktionszeiten auf Formularen, Belegen und Meldungsseiten.
- Senden Sie nach Aktivierung optional einmalig einen Hinweis zu passenden unbearbeiteten Meldungen.
- Lassen Sie Forscher eine kurze Statusanfrage hinzufügen und den nächsten möglichen Termin sehen.

Warteschlangenhinweise sind standardmäßig aus. Statusanfragen gelten für offene Meldungen nach überschrittenem Erstziel oder 14 Tagen ohne Aktivität, mit sieben Tagen Wartezeit zwischen Anfragen. Sie ändern den Schweregrad nicht.

### Eine Überprüfung der Entscheidung ermöglichen.

Einsprüche von Forschern

Forscher können schriftlich Einspruch einlegen und die Reaktion des Teams auf ihrer Meldungsseite verfolgen.
- Bewahren Sie die Begründung bei der Meldung.
- Zeigen Sie ausstehende, angenommene oder abgelehnte Ergebnisse.
- Wenden Sie das eingestellte Einspruchslimit an und erlauben Sie jeweils nur einen offenen Einspruch.

Zulässige Zustände sind Abgelehnt, Informativ, Bestätigt, Behoben und Behebung verifiziert. Bezahlte Meldungen sind ausgeschlossen. Ein angenommener Einspruch kann eine geschlossene Meldung erneut öffnen. Kit bietet keine unabhängige Schlichtung.

### Vor der Namensnennung fragen.

Einstellungen zur öffentlichen Nennung

Lassen Sie Forscher ihren öffentlichen Namen, ihre Sprache und die Nennung verwalten oder eine per E-Mail versandte Anfrage beantworten.
- Bieten Sie namentliche Nennung, anonyme Nennung und keinen Eintrag gleichwertig an.
- Lassen Sie den Forscher den öffentlichen Namen ändern und bewahren Sie die Einwilligungsantwort.
- Zeigen Sie, welche Programme ihn aufführen, und beachten Sie den globalen Widerspruch bei verknüpften Einträgen.

Anfragelinks laufen nach 30 Tagen ab. Unbeantwortete Anfragen können nach sieben Tagen erneut versandt werden. Eine namentliche Zustimmung ändert den globalen öffentlichen Namen. Die Einwilligung allein veröffentlicht noch keine Nennung. Die E-Mail-Adresse im Profil ist schreibgeschützt.

### Den Beitrag dauerhaft würdigen.

Hall of Fame

Pflegen Sie Forschernennungen nach Jahr, mit einer dauerhaften Seite für jeden Eintrag.
- Heben Sie ausgewählte Einträge mit Meldungszahlen und Würdigungstexten hervor.
- Ergänzen Sie optional einen externen Link auf der Würdigungsseite.
- Erfassen Sie frühere Beiträge aus der Zeit vor Kit manuell.
- Prüfen Sie vorgeschlagene Würdigungen und Anfragen, bei denen die Einwilligung noch aussteht.

Verknüpfte Forscher müssen ausdrücklich eine namentliche oder anonyme Nennung wählen. Ein Widerspruch blendet verknüpfte Einträge und dauerhafte Links aus. Manuelle Einträge sind vom Team verantwortete Texte. Die Hall of Fame lässt sich deaktivieren.

### Das Formular per Einladungslink öffnen.

Meldungen nur auf Einladung

Erlauben Sie öffentliche Meldungen oder verlangen Sie eine Programmeinladung. Forscher können über ein Formular Zugang beantragen.
- Beschränken Sie Melde- und Takedown-Formulare mit der gemeinsamen Einladung.
- Prüfen Sie die kurze Zugangsanfrage eines Forschers.
- Versenden Sie genehmigte Einladungen per E-Mail und erneuern Sie den Programmtoken.

Der Link beschränkt die Einreichung, nicht die öffentliche Richtlinie oder sämtliche auffindbaren Endpunkte. Er begründet keine individuelle Mitgliedschaft. Eine Tokenerneuerung widerruft bereits gewährte Browsersitzungen nicht.

### Den Meldeweg auffindbar machen.

security.txt und maschinenlesbare Richtlinie

Veröffentlichen Sie Sicherheitskontaktdaten und eine Markdown-Fassung von Richtlinie, Geltungsbereich, Prämien und Einreichungshinweisen.
- Sehen Sie eine Vorschau von security.txt und senden Sie Ablaufwarnungen über Slack.
- Verlinken Sie llms.txt mit Pflichtfeldern, Dateigrenzen und Meldehinweisen.
- Stellen Sie eine Portal-Sitemap und robots.txt für aktive öffentliche Programme bereit.

Änderungen der Kontaktdatei müssen manuell gespeichert werden. Ablaufwarnungen verwenden den gespeicherten Zeitstempel. llms.txt beschreibt die persönliche Einreichung per Webformular. Sitemap und robots.txt setzen ein aktives öffentliches Programm voraus.

### Das Meldeformular auf Ihrer Website zeigen.

Eingebettetes Meldeformular

Betten Sie das Meldeformular ein und zeigen Sie den Eingangsbeleg im selben Kontext.
- Kopieren Sie das SDK-Snippet oder die direkte iframe-URL.
- Nutzen Sie die automatische Höhenanpassung des iframe.
- Wählen Sie ein helles oder dunkles Design und legen Sie zulässige Einbettungsursprünge fest.

Dies ist ein eingebettetes Webformular. Leere erlaubte Ursprünge lassen Einbettungen zu. Die Einbettung stellt keine öffentliche API für Meldungseinreichungen bereit.

### Sperren ebenso wie Meldungen prüfen.

Missbrauchsschutz bei der Einreichung

Kombinieren Sie Bot-Prüfungen und Anfragelimits mit Programmsperren, die berechtigte Teammitglieder prüfen und aufheben können.
- Nutzen Sie Honeypot, eingerichtetes Turnstile und Schwellen für kurzfristige Anfragespitzen.
- Prüfen Sie gesperrte E-Mail-Adressen oder IPs, Zeitangaben und abgewiesene Versuche.
- Kennzeichnen Sie wahrscheinliche Fehlalarme bei bewährten Forschern und dokumentieren Sie manuelle Sperren und Freigaben.

Die Maßnahmen verringern Missbrauch, garantieren aber keine missbrauchsfreien Eingänge. Feste Webdrosseln und Programmlimits gelten zugleich. Bei wiederholbaren Fehlern bleibt eingegebener Text erhalten, Dateien müssen erneut angehängt werden. Die Zuordnung bei geteilten IPs erfolgt nach bestem Bemühen.

## Prämien und Auszahlungen

Legen Sie eine Prämie fest, sammeln Sie die nötigen Angaben und dokumentieren Sie die Übergabe an die Finanzabteilung.

### Die Bedingungen einer Prämie veröffentlichen.

Prämienregeln und Spannen

Beschreiben Sie reine Würdigung, Prämien nach Ermessen oder gestaffelte Prämien mit Spannen nach Schweregrad in Ihrer Programmwährung.
- Legen Sie Mindest- und Höchstbeträge für sechs Schweregrade fest.
- Veröffentlichen Sie optional die Matrix und erläutern Sie die Bewertung.
- Aktivieren Sie Ermessensboni mit einer eigenen Obergrenze.
- Genehmigen Sie eine Prämie oder einen zulässigen Bonus direkt, ohne Vorschlag des Teams.

Die Prämiengrenzen der Matrix hängen von der Bewertung ab. Nullbeträge in allen Stufen bei deaktivierten Boni erlauben Programme mit reiner Würdigung. Leere Stufen erlauben Ermessensprämien. Die Grenzen begründen weder Budget noch Treuhandguthaben.

### Betrag und Stimmen des Teams zusammenhalten.

Prämienvorschläge

Schlagen Sie intern eine Prämie vor und sammeln Sie Zustimmung oder Gegenvorschläge. Die Genehmigung bleibt bei einem berechtigten Administrator.
- Nutzen Sie verdeckte Abstimmung oder optional ein aufgedecktes Stimmenbild mit Kommentaren und Gegenvorschlägen.
- Kennzeichnen Sie frühere Stimmen bei Betragsänderungen als verfallen.
- Fragen Sie einen Assistenten nach zugänglichen früheren Prämien, zusammengefassten Zahlen und aktuellen Beispielen.

Vorschläge bleiben bis zur Prämiengenehmigung privat. Die Genehmigung überträgt kein Geld. Abfragen früherer Prämien umfassen alle Prämienarten und haben keinen Währungsfilter. Sie zeigen interne Historie, keine Marktvergleichswerte.

### Betragsänderungen dokumentieren.

Prämienkorrekturen

Passen Sie eine genehmigte Prämie an oder ziehen Sie eine unbezahlte Prämie zurück, mit Grund und passendem Eintrag im Finanzhauptbuch.
- Erfassen Sie die Differenz zum vorherigen Betrag mit Vorzeichen.
- Erläutern Sie dem Forscher die Änderung auf Wunsch.
- Ersetzen Sie eine zurückgezogene Prämie, ohne die Meldungsentscheidung zu ändern.

Abgeschlossene oder laufende Auszahlungen sperren Korrekturen und Rücknahmen. Wird eine Kürzung mitgeteilt, ist eine Notiz erforderlich.

### Einen Forscher mit höherer Prämie zurückholen.

Private Prämienmultiplikatoren

Bieten Sie einem Forscher privat einen befristeten Multiplikator für passende künftige Meldungen in Ihrem Programm an.
- Steigern Sie den Multiplikator über die Stufen 1,1×, 1,25× und 1,5×.
- Begrenzen Sie den Zusatzbetrag pro Meldung.
- Ergänzen Sie eine persönliche Benachrichtigung oder starten Sie den Multiplikator ohne Mitteilung.

Multiplikatoren gelten sieben bis 90 Tage. Passende bestätigte Funde ab Schweregrad Mittel ermöglichen den Aufstieg. Die Bedingungen werden bei Einreichung festgehalten, die Berechtigung hängt vom bewerteten Schweregrad ab. Boni zählen nicht für den Aufstieg.

### Zeigen, was für die Auszahlung noch fehlt.

Auszahlungsvoraussetzungen

Legen Sie Dokumente, Zahlungsangaben und Prüfungen fest, die vor der Auszahlungsbereitschaft einer Prämie nötig sind.
- Wählen Sie Anforderungen an Vereinbarung, geprüftes Steuerdokument und verifizierte Behebung.
- Wählen Sie erlaubte Methoden und bei Bedarf eine Empfehlung; Forscher hinterlegen oder aktualisieren ihre PayPal- oder Bankdaten.
- Legen Sie Programmwährung und Mindestauszahlung fest.

Standardmäßig sind eine akzeptierte Vereinbarung, ein geprüftes Steuerdokument und eine verifizierte Behebung erforderlich. Ihr Team überweist über seinen Zahlungsanbieter. Kit dokumentiert den Ablauf.

### Die angenommenen Bedingungen bewahren.

Angenommene Vereinbarungen

Nutzen Sie eine standardmäßige oder eigene Prämienvereinbarung und bewahren Sie den genauen Text bei Zustimmung des Forschers.
- Nutzen Sie die integrierte NDA oder den Vereinbarungstext Ihres Programms.
- Holen Sie die ausdrückliche Zustimmung über die Meldung des Forschers ein.
- Bewahren Sie angenommenen Text, Zeitstempel und IP auch nach späteren Änderungen.

Nur der Vereinbarungstyp NDA ist umgesetzt. Dies ist eine optionale Voraussetzung für eine genehmigte, zahlbare Prämie. Es ist weder eine NDA-Zugangshürde vor der Teilnahme noch eine Identitätsprüfung oder ein Dienst für digitale Signaturen.

### Bereite und blockierte Prämien unterscheiden.

Auszahlungswarteschlange

Sehen Sie, welche Auszahlungen Forscherangaben, Teamarbeit oder die Finanzabteilung benötigen und welche bereiten Prämien liegen bleiben.
- Filtern Sie nach bereit, blockiert, bei der Finanzabteilung, bezahlt und fehlgeschlagen.
- Gruppieren Sie gemeinsame Hindernisse nach Forscher und sehen Sie wartende Beträge und die älteste Prämie.
- Erinnern Sie das Team, solange eine Prämie bereit ist. Starten Sie den Erinnerungszyklus neu, wenn sich Hindernisse ändern.

Summen in der Warteschlange sind dokumentierte Beträge, keine hinterlegten Gelder. Erinnerungen überweisen kein Geld und enden, sobald die Prämie keinen Handlungsschritt mehr zulässt.

### Gezielt nach fehlenden Angaben fragen.

Fehlende Auszahlungsangaben

Senden Sie dem Forscher eine gezielte E-Mail zu offenen Zahlungsangaben, Steuerdokumenten und Meldungsvereinbarungen.
- Bündeln Sie aktuelle Hindernisse, die der Forscher bei seinen Prämien selbst beheben kann.
- Verlinken Sie direkt auf die nötigen Aktionen im Portal.
- Sehen Sie den letzten Erinnerungszeitpunkt und beachten Sie die Wartezeit vor erneutem Versand.

Das Team sendet die Erinnerung. Sie schließt Genehmigungen und Prüfungen des Teams, Prämien unter dem Mindestbetrag und ungeklärte Prämienobergrenzen aus. Sie ist von automatischen Teamerinnerungen für bereite Auszahlungen getrennt.

### Der Finanzabteilung die Auszahlungsakte geben.

Übergabe an die Finanzabteilung

Übergeben Sie eine Auszahlung und bewahren Sie die Bestätigung der Finanzabteilung zu Abschluss oder Fehlschlag auf.
- Hinterlegen Sie eine E-Mail-Adresse der Finanzabteilung.
- Teilen Sie Zahlungsangaben über eine signierte Seite; die Finanzabteilung braucht kein Kit-Konto.
- Erfassen Sie Transaktionsreferenz und Angaben zur bestätigenden Person.

Die Finanzabteilung veranlasst die Überweisung außerhalb von Kit. Die Bestätigung ist eine menschliche Dokumentation, kein Bankabgleich. Ohne Finanzadresse erfasst das Team das Ergebnis manuell.

### Erneut versuchen und den Fehler bewahren.

Fehlgeschlagene Auszahlungen erneut bearbeiten

Erfassen Sie den Fehler, fordern Sie bei Bedarf korrigierte Angaben an und bewahren Sie frühere Auszahlungsversuche.
- Unterscheiden Sie ungültige Angaben, zurückgegebene Zahlungen und nicht unterstützte Methoden.
- Bitten Sie den Forscher um Ersatzangaben.
- Ersetzen Sie einen alten Versuch unter Erhalt seines Verlaufs.

Ein Fehler vom Typ Sonstiges bleibt nur für das Team sichtbar, bis Angaben ausdrücklich angefordert werden. Bei nicht unterstützten Methoden muss das Programm gegebenenfalls einen anderen Zahlungsweg anbieten.

### Auszahlungen erkennen, die noch einmal geprüft werden sollten.

Hinweise zur Auszahlungsprüfung

Benachrichtigen Sie die genehmigende Person, wenn jemand anderes den Abschluss erfasst. Andere Security-Administratoren erhalten einen Hinweis, wenn Betrag oder Genehmigungsverlauf geprüft werden müssen.
- Lesen Sie in der Benachrichtigung die Angaben zu Genehmigung, Anpassung und Abschluss.
- Erkennen Sie Abweichungen zwischen der Prämie und dem genehmigten Gesamtbetrag im Finanzhauptbuch.
- Bitten Sie um eine unabhängige Prüfung, wenn eine Person allein gehandelt hat und eine erhebliche Erhöhung oder ein nicht auswertbarer Genehmigungsverlauf vorliegt.

Wenn dieselbe Person eine reguläre Auszahlung genehmigt und als abgeschlossen erfasst, bleibt eine Benachrichtigung aus. Die Person, die den Abschluss erfasst hat, erhält keine Prüfhinweise. Diese Hinweise erscheinen nach dem erfassten Abschluss. Sie sperren keine Auszahlung und überweisen kein Geld. Für E-Mails gelten die jeweiligen Benachrichtigungseinstellungen und der Urlaubsmodus.

### Formular und prüfende Person zusammenhalten.

Prüfung von Steuerdokumenten

Forscher laden ein W-9 oder W-8BEN hoch, das berechtigte Teammitglieder oder die Finanzabteilung prüfen.
- Nutzen Sie eine Rastervorschau zur PDF-Prüfung.
- Halten Sie Ablehnungsgründe und die prüfende Person fest.
- Sehen Sie Dokumentaufrufe, laden Sie Originale herunter und senden Sie geplante Erneuerungshinweise.

Zugriff erfordert eine zuerkannte Prämie sowie eine Team- oder Finanzberechtigung. Erneuerungshinweise verwenden eine dreijährige Anwendungsschwelle und stellen keinen rechtlichen Ablauf fest. Dabei werden keine Steuererklärungen abgegeben und keine Steuerberatung erbracht.

### Die Prämie durch jede Korrektur verfolgen.

Finanzhauptbuch für Prämien und Auszahlungen

Bewahren Sie Genehmigungen, Anpassungen, Rücknahmen, Auszahlungsversuche und Steuerentscheidungen im Finanzverlauf.
- Halten Sie die handelnde Person und den Zeitpunkt jedes Ereignisses fest.
- Unterscheiden Sie den Änderungsbetrag von der daraus entstandenen Prämie.
- Führen Sie abgeschlossene Auszahlungen getrennt von Genehmigungen.

Einträge im Finanzhauptbuch dokumentieren Zahlungsbestätigungen. Kit überweist kein Geld und gleicht keine Bankkonten ab.

## Zugriff und Nachweise

Beschränken Sie sensible Meldungen, prüfen Sie Reaktionskennzahlen und exportieren Sie Nachweise.

### Den Zugriff auf sensible Meldungen festlegen.

Zugriffsbeschränkte Meldungen

Beschränken Sie eine Meldung auf ausdrücklich berechtigte Personen und Security-Administratoren. Leitende Berechtigte verwalten Zuordnung und Zugriffsrechte.
- Gewähren Sie Zugriff auf eine einzelne Meldung.
- Lassen Sie leitende Berechtigte Zugriff und Zuordnung verwalten.
- Wenden Sie die Meldungsgrenze auf Listen, Kennzahlen und MCP-Abfragen an.

Security-Administratoren behalten Zugriff. Eine Zuweisung allein gewährt keinen. Externe Freigaben und Datenübertragungen an Integrationen haben eigene Grenzen.

### Eine befristete Meldungsseite teilen.

Externe Freigabe an Fachkollegen

Teilen Sie den technischen Fund mit einem externen Entwickler per E-Mail-Einladung oder schreibgeschütztem Link.
- Verifizieren Sie das eingeladene Postfach und sammeln Sie optional Kollegenkommentare, die nur das Team sieht.
- Teilen Sie technische Inhalte und Forscheranhänge über berechtigte Downloads.
- Widerrufen Sie den Zugriff und bewahren Sie Aufruf-, Ablauf- und Weitergabeverlauf.

Der Zugriff endet nach sieben Tagen. Allgemeine Links gewähren jedem Inhaber schreibgeschützten Zugriff. Forscheridentität, Prämien und interne Notizen bleiben verborgen, technischer Text und Dateinamen werden geteilt. Das Schließen widerruft bestehende Freigaben.

### Die passende Security-Rolle zuweisen.

Rollen im Security-Team

Legen Sie den Security-Zugriff unabhängig von anderer Kit-Arbeit fest und vergeben Sie Finanzbefugnisse getrennt.
- Nutzen Sie die Vorlagen für Sicherheitsleitung und Sicherheitsingenieur.
- Wählen Sie Modulmitglied, Administrator oder keinen Zugriff.
- Trennen Sie Auszahlungs- und Steuerarbeit über die Finanzbefugnis.

Kontoadministratoren behalten übergreifenden Zugriff. Hiring-Gastzugang ist keine Security-Rolle.

### Die Felder im Datensatz verschlüsseln.

Verschlüsselung sensibler Daten

Speichern Sie sensible Meldungstexte, Forscheridentität und Auszahlungsangaben mit Verschlüsselung auf Anwendungsebene.
- Verschlüsseln Sie Titel, Endpunkt, Beschreibung und Reproduktionsschritte.
- Verschlüsseln Sie E-Mail-Adresse, Namen und Zahlungsangaben des Forschers.
- Prüfen Sie Berechtigungen für Steuerdokumente und Anhänge gesondert.

Dies ist Rails-Verschlüsselung gespeicherter Daten, keine Ende-zu-Ende-Verschlüsselung. Ein einstellbarer Löschplan pro Meldung ist nicht vorgesehen.

### Den Reaktionsverlauf über die Zeit lesen.

Security-Kennzahlen

Vergleichen Sie Reaktions- und Behebungszeit, SLA-Einhaltung, Meldungszahlen und dokumentierte Prämienzahlungen.
- Wählen Sie Ansichten für sieben, 30 oder 90 Tage.
- Gliedern Sie Meldungen nach Schweregrad, Zustand und Schwachstellentyp.
- Schließen Sie zugriffsbeschränkte Meldungen ohne Berechtigung aus Aggregaten aus.

Zahlungssummen nutzen abgeschlossene Auszahlungsdatensätze und trennen Währungen. Kennzahlen belegen keine bereitgestellten Behebungen.

### Ein prüfbares Nachweispaket mitnehmen.

Nachweisexporte

Erstellen Sie CSV- oder PDF-Nachweise für einen Berichtszeitraum, mit Meldungsübersichten, Korrespondenz und Einträgen aus dem Finanzhauptbuch.
- Exportieren Sie Meldungs- und SLA-Übersichten.
- Nehmen Sie Ausschnitte der für Forscher sichtbaren Kommunikation auf.
- Bewahren Sie handelnde Personen, Ereignisse und Beträge aus dem Finanzbereich im Export.

Programmweite Exporte erfordern Administratorberechtigung. Kommunikationsprotokolle enthalten keine internen Notizen oder ungesendeten Entwürfe. Exporte unterstützen die Prüfung, bescheinigen aber keine Konformität.

### Die Akte zu einem Fund herunterladen.

Dossier-PDF zum Vorfall

Erstellen Sie ein Meldungs-PDF mit Fund, Entscheidungen, Verlauf und privater Nachbesprechung.
- Nehmen Sie Kurzfassung, Schweregrad und Ereignisverlauf auf.
- Bewahren Sie Nachbesprechung, Behebungsverweise und Teamfreigabe zusammen.
- Listen Sie Dateinamen, Größen und Prüfsummen der Anhänge in einem Verzeichnis.

Nur auf Englisch und für berechtigte Teammitglieder verfügbar. Anhänge werden aufgelistet, nicht gebündelt. Das Dossier enthält private Inhalte und unterscheidet sich von der extern freigegebenen Seite. Der Konsistenzprüfwert bescheinigt keine Unveränderlichkeit.

## Anbindungen und Analysewerkzeuge

Binden Sie vorhandene Systeme an und nutzen Sie gezielte Recherche- und Dokumentenwerkzeuge.

### Bewertete Funde an Vanta senden.

Nachweissynchronisierung mit Vanta

Synchronisieren Sie bewertete, nicht behobene Meldungen mit eingerichteten Vanta-Ressourcen und prüfen Sie die Aktualität der Verbindung.
- Prüfen Sie Zugangsdaten und Ressourcen bei der Einrichtung.
- Starten Sie eine manuelle Synchronisierung oder eine Hintergrundaktualisierung.
- Sehen Sie Synchronisierungszeiten und Verbindungsfehler.

Ihre Vanta-Zugangsdaten, Ressourcen und Security-Zugriff sind erforderlich. Bewertete informative Meldungen behalten den Kontext angenommen/keine Behebung. Unbewertete Meldungen werden ausgelassen. Dies synchronisiert Nachweise und führt keinen Scan aus.

### Meldungsupdates in einem Thread sammeln.

Slack-Threads zu Meldungen

Senden Sie eine aktuelle Meldungsübersicht und Ereignisantworten an den eingerichteten Security-Kanal in Slack.
- Leiten Sie Meldungsbenachrichtigungen in den zugehörigen Thread.
- Nutzen Sie authentifizierte Aktionen für Sichtung, Einsprüche und Stillstand.
- Fragen Sie den Bot nach einer Meldung und speichern Sie eine interne Notiz.

Slack muss eingerichtet sein. Bot-Unterstützung verbraucht Guthaben. Zugriffsbeschränkte Meldungen erhalten keine Kanalkarten. Wird eine bestehende Meldung beschränkt, entfernt dies Bot-Inhalte, kann aber menschliche Antworten und frühere Kopien nicht zurückholen.

### Dem Assistenten erlaubte Nachweise zeigen.

Security Agent und MCP

Nutzen Sie den Security Agent oder einen per OAuth verbundenen MCP-Client, um Meldungen zu prüfen, Antworten zu entwerfen und berechtigte Aktionen auszuführen.
- Prüfen Sie den konfigurierten Geltungsbereich, den CVSS-Kontext und zugängliche frühere Meldungen.
- Rufen Sie erlaubte Nachweisdateien ab und nutzen Sie Vorgehensweisen für Sichtung, Prämien und Nachbesprechungen.
- Prüfen Sie bei jedem Aufruf handelndes Mitglied, Rolle und Meldungsbeschränkungen erneut.

Vom Agenten verfasste Antworten in der Unterhaltung bleiben standardmäßig ungesendete Entwürfe. Ein Programmadministrator kann den direkten Versand aktivieren. Berechtigte Status- oder Prämienänderungen können weiterhin die üblichen Benachrichtigungen auslösen. Schreibaktionen erfordern die passende Rolle des handelnden Mitglieds, Zugriff auf die Meldung und ein Abonnement. Externes MCP nutzt OAuth-Lese- und Schreibberechtigungen. Unterstützung in der App nutzt das eingerichtete Guthaben.

### Das Ereignis an Ihr eigenes System senden.

Security-Webhooks

Abonnieren Sie Security-Ereignisse über die Webhooks Ihres Kontos.
- Empfangen Sie Ereignisse zu Einreichung, Sichtung, Bewertung, Zuweisung und SLA.
- Verfolgen Sie Prämiengenehmigungen und dokumentierte Zahlungen.
- Nutzen Sie einen begrenzten strukturierten Meldungsdatensatz.

Die Nutzdaten enthalten keine verschlüsselten Titel, Meldungstexte oder Kontaktfelder. Webhooks übertragen Ereignismetadaten statt eines vollständigen Meldungsexports.

### Die Quellen hinter der IP lesen.

IP-Recherche

Recherchieren Sie Inhaber, Routing, Exponierung und Reputationshinweise in öffentlichen Informationsquellen.
- Untersuchen Sie bis zu zehn Adressen zusammen.
- Sehen Sie Quelle, Aktualität und Status für jeden Abschnitt.
- Öffnen Sie eine IP aus einer Meldung oder fügen Sie eine Adresse in Omnisearch ein.

Öffentliche Informationen werden global zwischengespeichert. Dies ist eine Abfrage, kein aktiver Scan. Anbieter mit Zugangsschlüssel können ohne Einrichtung ausfallen. Ein ungefährer Standort belegt keinen Wohnsitz einer Person.

### Lesen, warum eine Adresse auffiel.

Prüfung auf Wegwerf-E-Mail-Adressen

Prüfen Sie E-Mail-Syntax, bekannte Wegwerfdomains und optional Fingerabdrücke von Mailservern.
- Fügen Sie bis zu 25 Adressen ein.
- Prüfen Sie den Grund für jedes Ergebnis.
- Überspringen Sie DNS für eine reine Sperrlistenprüfung.

Ein unauffälliges Ergebnis belegt weder die Existenz eines Postfachs noch den E-Mail-Empfang. Ergebnisse werden bei Bedarf ohne dauerhafte Speicherung berechnet. Anfragelimits pro Konto gelten.

### Prüfen Sie die Datenlecks zu einer Adresse.

Datenlecks bei Bedarf prüfen

Bitten Sie den Assistenten, E-Mail-Adressen in HaveIBeenPwned zu prüfen und anzuzeigen, ob auch Passwörter zu den offengelegten Daten gehören.
- Prüfen Sie bis zu zehn Adressen mit einer Anfrage.
- Sehen Sie Quellenlinks, Daten der Vorfälle und offengelegte Datentypen.
- Unbekannte Ergebnisse oder fehlgeschlagene Prüfungen bleiben von einem Ergebnis ohne bekannte Datenlecks getrennt.

Kostenpflichtige Konten erhalten monatlich 25 neue Abfragen pro bezahltem Platz. Ergebnisse bleiben zwölf Stunden im Cache; Cache-Treffer und fehlgeschlagene Prüfungen verbrauchen kein Kontingent. Diese Abfragen benötigen keine Postfachbestätigung und starten keine tägliche Überwachung.

### Erfahren Sie, wenn eine Teamadresse in einem Datenleck auftaucht.

Datenleck-Überwachung

Prüfen Sie die E-Mail-Adressen Ihres Teams auf Vorkommen in bekannten Datenlecks.
- Anmeldeadressen des Teams werden bei einem kostenpflichtigen Konto täglich geprüft.
- Fügen Sie pro bezahltem Platz bis zu drei bestätigte Gemeinschafts- oder Funktionsadressen hinzu.
- Betroffene Mitglieder und Konto-Admins erhalten Warnungen; bei Zusatzadressen nur die Admins.

Die täglichen Prüfungen nutzen HaveIBeenPwned. Admins fügen Zusatzadressen hinzu; die jeweiligen Inhaber bestätigen sie per E-Mail. Warnungen betreffen neu erkannte Datenlecks, die der Quelle in den letzten 30 Tagen hinzugefügt wurden. E-Mail-Warnungen richten sich nach den Benachrichtigungseinstellungen.

### Eine abgeflachte PDF-Kopie öffnen.

PDF-Bereinigung

Erstellen Sie ein unterstütztes PDF aus Seitenbildern neu, bevor Sie die erzeugte Kopie öffnen.
- Nutzen Sie einen eigenständigen Upload oder einen Meldungsanhang.
- Lassen Sie Skripte, eingebettete Dateien, Aktionen und Textebenen aus der neuen Kopie weg.
- Verfolgen Sie Verarbeitung und Aufbewahrung. Löschen Sie nach Gebrauch Kopien aus separaten Uploads.

PDFs bis 25 MB werden zu reinen Bildkopien und sieben Tage aufbewahrt. Eigenständige Rohuploads werden nach der Verarbeitung gelöscht. Übernommene Nachweise aus Meldungen, Takedowns und Steuerunterlagen bleiben unverändert.

### Meldung und Aktionsverlauf zusammenhalten.

Takedown-Meldungen

Empfangen Sie Phishing-, Malware- oder Missbrauchsmeldungen über ein eigenes Formular und leiten Sie sie an eingerichtete Empfänger weiter.
- Erfassen Sie URL, Domain, IP, Marke, Einstufung, Erkennungszeitpunkt und Nachweise.
- Geben Sie dem Meldenden einen Beleg und schreiben Sie die eingerichteten Empfänger per E-Mail an.
- Lassen Sie Empfänger über einen signierten Link den Eingang bestätigen oder Maßnahmen erfassen, mit Ergebnisnotizen und Statusverlauf.

Optional und standardmäßig aus. Die Einladungsbeschränkung gilt. Organisation und E-Mail-Adresse des Meldenden sind Pflicht. Empfänger signierter Links benötigen kein Kit-Konto. Eine dokumentierte Maßnahme belegt keine Entfernung. Kit bietet keinen betreuten Takedown-Dienst.

## Ein Ort für Schwachstellenmeldungen.

Security ist in Kit enthalten. Ihr Team bewertet Funde und verifiziert Behebungen. Zahlungen erfolgen außerhalb von Kit. Angebundene Dienste benötigen eine eigene Einrichtung und können gesondert berechnet werden.

[Preise ansehen](https://startupkit.app/de/pricing)