Richtlinie zur Schwachstellenmeldung

Koordinierte Offenlegung von Sicherheitslücken

Spoken Ink Limited (eingetragen in England und Wales unter der Nummer 06968714, zertifiziert nach ISO 27001) misst der Sicherheit unserer Fahrgastinformationssysteme, Closed-Circuit-Medienplattformen und digitalen Dienste höchste Bedeutung bei. Im Einklang mit den Leitlinien des UK National Cyber Security Centre (NCSC) und RFC 9116 begrüßen wir verantwortungsvolle Hinweise von Sicherheitsforschenden, Behörden und Bahnbetreibern.

1. Geltungsbereich

• www.whooshmedia.co.uk und www.spokenink.co.uk
• Öffentlich erreichbare Webanwendungen, barrierefreie Bahnhofskarten und Fahrgastinformationsdienste, die direkt von Whoosh und Spoken Ink betrieben werden.

2. Meldung einer Schwachstelle

Bitte senden Sie Berichte direkt an unser Security Team unter security@spokenink.co.uk. Unsere maschinenlesbare Datei gemäß RFC 9116 finden Sie unter /.well-known/security.txt.

Bitte fügen Sie die betroffene URL bzw. Komponente, nachvollziehbare Schritte zur Reproduktion, die potenzielle Auswirkung sowie optional Ihre Kontaktdaten hinzu.

3. Verhaltensregeln für Sicherheitsforschung

• Greifen Sie nicht auf Daten von Fahrgästen, Bahnbetreibern, Luftfahrtpartnern oder öffentlichen Auftraggebern zu und verändern oder löschen Sie keine Daten.
• Führen Sie keine Denial-of-Service-Tests (DoS/DDoS), aggressiven automatisierten Scans, physischen Tests oder Social-Engineering-/Phishing-Angriffe durch.
• Behandeln Sie Erkenntnisse vertraulich, bis die Behebung abgeschlossen ist.

4. Unsere Zusagen & Rechtssicherheit (Safe Harbour)

• Eingangsbestätigung: innerhalb von 3 Werktagen.
• Bewertung & Behebung: Ersteinschätzung innerhalb von 10 Werktagen und priorisierte Behebung im Rahmen unseres ISO-27001-Managementsystems.
• Safe Harbour: Bei gutgläubiger Einhaltung dieser Richtlinie betrachtet Spoken Ink Limited den Test als autorisiert und leitet keine rechtlichen Schritte ein.