Richtlinie zur Meldung von Schwachstellen

Bei METRO haben die Sicherheit und die Kontrolle der Daten unserer Kunden oberste Priorität. Um dies zu erreichen, begrüßen wir die wichtige Rolle, die Sicherheitsforscher für die Sicherheit unserer Systeme und Daten spielen. Um die verantwortungsvolle Meldung potenzieller Sicherheitslücken zu fördern, hat sich das METRO-Sicherheitsteam verpflichtet, mit der Community zusammenzuarbeiten, um legitime Meldungen zu überprüfen, zu reproduzieren und darauf zu reagieren.

Wenn Sie der Meinung sind, dass Sie eine potenzielle Sicherheitslücke in den METRO-Diensten gefunden haben, die im Rahmen der zulässigen Tests liegt, melden Sie uns diese bitte sofort. Wir werden alle legitimen Meldungen untersuchen und unser Bestes tun, um die Probleme schnell zu beheben.

Bitte geben Sie keine Erkenntnisse weiter, bevor wir nicht die Möglichkeit hatten, diese mit Ihnen zu überprüfen und zu beheben. Wir danken Ihnen für Ihre Hilfe, METRO für unsere Community sicher zu machen.

Um eine verantwortungsbewusste Offenlegung zu fördern, wird METRO keine rechtlichen Schritte gegen Sicherheitsforscher einleiten, wenn diese sich an diese Richtlinie und die folgenden Leitlinien halten:

• METRO hat eine Partnerschaft mit HackerOne Inc. (im weiteren Text „HackerOne“) für unser Programm zur Offenlegung von Sicherheitslücken geschlossen. Benachrichtigen Sie METRO und geben Sie alle Einzelheiten zu den von Ihnen gefundenen Schwachstellen ausschließlich über das unten stehende HackerOne-Formular bekannt.
• Jede Sicherheitslücke wird ausschließlich über die HackerOne-Plattform gemeldet.
• Geben Sie alle notwendigen Details an, einschließlich mindestens der IP-Adresse und des Datums/Zeitstempels und, falls zutreffend, des METRO-Kontonutzernamens der Schwachstelle, um die Validierung und Reproduktion des Problems zu unterstützen.
• Mitarbeiter der METRO und der mit ihr verbundenen Unternehmen (im Sinne der §§ 15 ff. des Aktiengesetzes, zusammen „METRO Group“) sowie etwaige Technologiepartner der METRO Group dürfen nicht an diesem Programm teilnehmen.
• Sie dürfen nur mit Ihren eigenen METRO-Konten testen. Sie dürfen nicht mit einem Unternehmens- und/oder persönlichen METRO-Konto interagieren, das Ihnen nicht gehört (z. B. indem Sie Daten des Kontos ändern oder darauf zugreifen).
• Greifen Sie nicht auf Daten zu oder versuchen Sie nicht, auf Daten zuzugreifen, die Ihnen nicht gehören.
• Nutzen Sie keine Sicherheitslücke aus, die Sie aus irgendeinem Grund entdecken. (Dazu gehört auch das Aufzeigen zusätzlicher Risiken, z. B. der Versuch, sensible Daten zu kompromittieren oder nach weiteren Problemen zu suchen).
• Führen Sie keine Handlungen aus, die METRO oder seine Benutzer negativ beeinflussen könnten, wie z.B. das Ausführen oder Versuchen eines „Denial of Service“-Angriffs, das Posten, Übertragen, Hochladen, Verlinken, Senden oder Speichern von bösartiger Software und/oder Dateien, das Testen von Anwendungen, Websites oder Diensten Dritter, die in METRO Anwendungen integriert sind oder einen Link zu diesen enthalten.
• Führen Sie keine nicht-technischen Angriffe wie Social Engineering, Phishing oder unbefugten Zugriff auf die Infrastruktur und Mitarbeiter von METRO durch.
• Testen Sie nicht die physische Sicherheit von Metro-Büros, -Märkten, -Mitarbeitern, -Ausrüstung usw.
• Verletzen Sie keine Gesetze und stören oder gefährden Sie keine Daten, die nicht Ihre eigenen sind.
• Indem Sie einen Sicherheitsfehler oder eine Schwachstelle melden, garantieren Sie, dass Ihr Bericht nicht die geistigen Eigentumsrechte Dritter verletzt, und geben uns das Recht, Ihren Bericht für alle damit verbundenen Sicherheitszwecke zu verwenden, wie z. B. zur Behebung, internen Analyse oder Verbesserung der Sicherheit.

Alle Schwachstellen müssen über die HackerOne-Plattform unter strikter Einhaltung des definierten Umfangs, der Werte und der Richtlinien von METRO gemeldet werden, wie in dieser Richtlinie zur Meldung von Schwachstellen und unter dem folgenden Link dargelegt:

Zurzeit führt METRO KEINE öffentlich zugängliche Liste der extern gemeldeten Probleme und Berichterstatter.

Nähere Informationen darüber, wie METRO personenbezogene Daten verwendet, verarbeitet und schützt, finden Sie in der Datenschutzerklärung von METRO.

METRO kann dieses Programm jederzeit beenden oder diese Richtlinie ändern. Bitte lesen Sie die aktuelle Version dieser Richtlinie, bevor Sie Schwachstellentests durchführen oder andere Maßnahmen auf der Grundlage dieser Richtlinie ergreifen.

Richtlinie zuletzt aktualisiert an diesem Datum: 16/06/2025