GAdvisory-Nutzungsbedingungen

Worum es geht

GAdvisory ist eine Plattform für koordinierte Schwachstellenoffenlegung: Meldungen entgegennehmen, sich mit denen abstimmen, die das Problem beheben können, Kennungen reservieren und veröffentlichen, Advisories publizieren. Es lässt sich als Arbeitssystem einer CNA und als Registry von Datensätzen betreiben.

Diese Bedingungen regeln die Nutzung. Sie gelten ergänzend zu den allgemeinen Nutzungsbedingungen, in denen Haftung, anwendbares Recht und alles Weitere stehen, das nicht speziell dieses Produkt betrifft.

Die zwei Wege

Sie betreiben es. GAdvisory steht unter der Elastic License 2.0, ergänzt um eine zusätzliche Beschränkung unsererseits: Kommerzielle Nutzung erfordert eine Business-Lizenz.

Diese Ergänzung steht gesondert, weil die ELv2 sie nicht enthält. Die Beschränkungen der ELv2 sind drei (Sie dürfen die Software nicht als gehosteten oder verwalteten Dienst für Dritte bereitstellen, die Lizenzschlüsselfunktion nicht umgehen und Lizenz-, Urheber- oder sonstige Hinweise nicht entfernen oder ändern), und im Übrigen erlaubt sie einem Unternehmen den kommerziellen Betrieb für eigene interne Zwecke. Unsere zusätzliche Bedingung nimmt diese Erlaubnis zurück.

Nicht-kommerzielle Nutzung auf eigener Infrastruktur ist kostenfrei. Jede kommerzielle Nutzung, auch die interne innerhalb eines Unternehmens, erfordert eine Business-Lizenz von uns.

Ein Teil der Funktionen ist an eine Lizenz gebunden. Das ist Teil des Entwurfs und keine Verpackungsfrage, und die Software setzt es durch.

Betreiben Sie es selbst, betreiben Sie den Dienst. Wir haben keinen Zugriff auf Ihre Instanz, keinen Einblick und keinen Anteil an dem, was Sie damit tun.

Ihre eigene Instanz unterliegt ihrer Lizenz. Das Nutzungsrecht an den gehosteten Diensten aus den allgemeinen Nutzungsbedingungen ersetzt sie nicht, und nichts in diesen oder den allgemeinen Nutzungsbedingungen schränkt diese Lizenz oder Ihre Rechte aus §§ 69d, 69e UrhG ein.

Wir betreiben es. Nutzen Sie eine gehostete Instanz, betreiben wir sie, und es gelten die Vereinbarung zur Auftragsverarbeitung samt GAdvisory-Anhang.

gadvisory.org steht jedem zur Registrierung offen. Das gehostete GAdvisory zieht von dort nach advisory.gplatform.org um; dort erfolgt die Registrierung auf Einladung. Konten unter beiden Adressen werden ohne Service Level bereitgestellt.

Wie dieser Umzug erfolgt. Er ist ein Umzug Ihres Kontos nach den allgemeinen Nutzungsbedingungen. Wir informieren Sie mindestens 30 Tage, bevor die Registrierung schließt, und mindestens 30 Tage vor jeder Migration, die Ihre Daten betrifft, per E-Mail an die Adresse in Ihrem Konto und sagen, was umzieht. Bestehende Konten und die Advisories, Meldungen und Kennungen darin werden übernommen; der Umzug ändert die Adresse und wer sich registrieren kann, er setzt nichts zurück. Kann ein Konto nicht übernommen werden, sagen wir Ihnen, warum, mit Zeit für einen Export vorher, und der Export bleibt durchgehend möglich. Erschwert der Umzug Ihren Zugang wesentlich, können Sie den Vertrag innerhalb von 30 Tagen kostenfrei beenden.

Berechtigungen bewegen sich mit dem Plan

Funktionen werden einem Geltungsbereich (einer Organisation, einem Projekt) durch Zuweisung eines Plans oder durch direkte Freigabe gewährt. Ein Plan wird live referenziert, nicht bei der Zuweisung kopiert.

Das heißt: die Änderung eines Plans ändert sofort jeden ihm zugewiesenen Geltungsbereich. So lässt sich eine Stufe anpassen, ohne einen Vormittag zu klicken, und das ist zugleich der volle Preis dafür: es gibt keine Momentaufnahme je Geltungsbereich, auf die man zurückfällt. Jede solche Änderung wird im Prüfprotokoll festgehalten.

Ein Plan außer Dienst zu stellen entzieht ihn niemandem. Ein archivierter Plan verweigert neue Zuweisungen und bedient die bestehenden weiter.

Eine Planzuweisung wirkt auf die darunterliegenden Geltungsbereiche. Ein Nachfolger mit eigenem Plan oder eigener Freigabe geht dem Vererbten vor.

Im von uns gehosteten GAdvisory bearbeiten wir die Pläne. Was ein Plan Ihnen gibt, verringern wir nur so, wie die allgemeinen Nutzungsbedingungen die Änderung eines Dienstes erlauben: aus einem genannten Grund, ohne Mehrkosten und mit Ankündigung; wird Ihre Nutzung wesentlich beeinträchtigt, können Sie den Vertrag kostenfrei beenden. Eine niedrigere Obergrenze entfernt nichts Bestehendes; sie verweigert das Nächste.

Eine Schwachstelle melden

Wenn Sie über GAdvisory melden, an uns oder an andere, die es betreiben:

Senden Sie, was zum Verstehen und Nachvollziehen nötig ist. Proof-of-Concept-Code gehört zu einer ernsthaften Meldung und wird erwartet; einen Offenlegungskanal zur Verbreitung von Schadsoftware oder zum Angriff auf die empfangende Stelle zu nutzen, gehört nicht dazu.

Ihre Meldung wird so aufbewahrt, wie sie gesendet wurde. Die unverarbeitete Eingangsnachricht bleibt neben der ausgewerteten Fassung erhalten, denn eine falsch ausgewertete Meldung muss so lesbar sein, wie sie geschrieben wurde. Kommt sie per E-Mail, werden die Kopfzeilen mit aufbewahrt.

Ein Embargo nehmen Sie an, es gilt nicht stillschweigend. Steht ein Advisory unter Embargo, sind die Beteiligten namentlich erfasst, und jede Annahme wird festgehalten. Werden Sie hinzugefügt, haben Sie zugesagt, vor dem Datum nicht offenzulegen; haben Sie nicht angenommen, unterliegen Sie ihm nicht.

Ein nicht angenommenes Embargo ist keine Erlaubnis zur Veröffentlichung. Es bedeutet nur, dass die Bedingungen des Embargos selbst Sie nicht binden; von allem anderen befreit es Sie nicht. Eine Vertraulichkeit, die Sie ohnehin schulden, eine Pflicht aus der Art, wie das Material zu Ihnen gelangt ist, und der Schutz von Geschäftsgeheimnissen nach dem GeschGehG gelten jeweils nach ihren eigenen Regeln fort, und eine Plattform kann und will Sie davon nicht befreien. Erhalten Sie Material unter Embargo, ohne ein Embargo darüber angenommen zu haben, und wollen Sie nicht gebunden sein, sagen Sie es der koordinierenden Stelle und hören Sie auf, es zu lesen.

Namensnennung ist freiwillig und sie ist eine Einwilligung. Bitten Sie darum, veröffentlichen wir den Namen und Kontakt, um den Sie gebeten haben. Sie können die Einwilligung widerrufen, und wir entfernen die Nennung aus unserer Fassung.

Veröffentlichung ist endgültig. Ein veröffentlichtes Advisory wird gespiegelt, indexiert und in Schwachstellendatenbanken übernommen, zu denen wir keine Beziehung haben. Unsere Fassung können wir ändern. Deren Fassung nicht. Ausführlich steht das im Datenschutzhinweis, und es ist das Eine, was man verstanden haben sollte, bevor man um Namensnennung bittet.

Ein Offenlegungsprogramm betreiben

Wenn Sie GAdvisory nutzen, um Meldungen zu erhalten:

Den Umgang mit den Meldungen bestimmen Sie. Sie entscheiden, was Sie bearbeiten, was Sie veröffentlichen, wen Sie nennen und wann. Wir sichten nicht für Sie, prüfen nicht, was bei Ihnen eingeht, und nehmen für Sie keinen Kontakt zu Meldenden auf.

Sie sind verantwortlich für das, was Sie veröffentlichen, auch für Advisories über fremde Produkte. Erhebt ein Datensatz eine Behauptung in einem Container, der einer anderen Partei gehört, kann diese widersprechen. GAdvisory hält den Widerspruch fest und stellt ihn als offene Referenz dar, statt ihn zu verwerfen; wer recht hat, entscheidet es nicht. Das klären Sie und die andere Partei, und weder die Software noch wir entscheiden darüber.

Betreiben Sie über GAdvisory eine CNA, gelten für Sie zusätzlich die Regeln des CVE-Programms, und die kommen vom CVE-Programm, nicht von uns. Nichts hier verleiht CNA-Befugnisse, einen CNA-Geltungsbereich oder das Recht, eine Kennung zu vergeben.

Künstliche Intelligenz

Die KI-Funktionen sind aus, bis jemand sie einschaltet, werden je Geltungsbereich konfiguriert und laufen über einen von Ihnen bereitgestellten API-Schlüssel. GAdvisory bringt keinen Modellanbieter mit. Schalten Sie sie ein, kann der Inhalt einer Meldung an denjenigen Anbieter gehen, zu dem dieser Schlüssel gehört, zu dessen Bedingungen, und zu jedem gespeicherten Zugang wird festgehalten, ob dieser Anbieter mit dem Übermittelten trainiert.

Auf gadvisory.org und im gehosteten Dienst sind sie für die Scopes von Gelhaus Solutions und Postiz aktiviert, beschränkt auf das Team von Gelhaus Solutions als die Personen, die sie ausführen dürfen, und nicht beschränkt darin, was sie lesen dürfen. Innerhalb dieser Scopes erfasst das Offenlegungsberichte, Warteschlangen und Streitfälle. Anbieter ist OpenRouter mit Weiterleitung an Google Gemini.

Auf Ihren Scope erstreckt sich das nicht. Wir führen keine KI-Aufgaben über den Scope eines Kunden aus. Die KI-Konfiguration Ihres Scopes gehört Ihnen, der Schlüssel gehört Ihnen, und Anbieter ist derjenige, zu dem Ihr Schlüssel gehört. Siehe die Datenschutzerklärung und den Auftragsverarbeitungs-Anhang, die dasselbe ausführlicher sagen.

Zulässige Nutzung

Über die allgemeinen Bedingungen hinaus: Nutzen Sie eine Offenlegungsplattform nicht, um einen Angriff abzustimmen, jemanden zu bedrohen oder zu erpressen. Reichen Sie keine Meldungen ein, an die Sie nicht in gutem Glauben glauben, um fremde Warteschlangen zu belegen. Nutzen Sie ein Embargo, zu dem Sie zugelassen wurden, nicht als Handelsvorteil.

Wir können ein Konto, das dies tut, einschränken oder sperren. Den Grund nennen wir spätestens, wenn die Maßnahme wirkt, und bevor wir ein Konto sperren oder beenden, hören wir Sie an, außer in den dringenden Fällen, die die allgemeinen Nutzungsbedingungen nennen, etwa bei einem Angriff auf andere.

Verfügbarkeit

Für gehostetes GAdvisory wird kein Service Level zugesagt, sofern nicht eine gesonderte unterzeichnete Vereinbarung eines nennt. Siehe die allgemeinen Bedingungen.

Wenn es endet

Wird das gehostete GAdvisory eingestellt oder endet Ihr Vertrag darüber, gelten die Fristen der allgemeinen Nutzungsbedingungen, und Sie können Ihre Daten bis 30 Tage nach dem Ende exportieren. Danach werden sie gelöscht, außer was wir von Gesetzes wegen aufbewahren müssen und den dauerhaften Aufzeichnungen unten; für personenbezogene Daten, die wir in Ihrem Auftrag verarbeiten, gelten die Löschregelungen der Vereinbarung zur Auftragsverarbeitung.

Bereits veröffentlichte Advisories bleiben veröffentlicht. Genau das hieß veröffentlichen.

Ihre Inhalte, Ihr Konto und diese Klauseln

Die allgemeinen Nutzungsbedingungen enthalten diese Klauseln vollständig: das Nutzungsrecht an Ihren Inhalten, dauerhafte Aufzeichnungen, den Umzug von Konten, neue Bedingungen, Einschränkungen und Sperren sowie das Ende eines Dienstes. Dieser Abschnitt nennt nur, was für das gehostete GAdvisory gilt. Für eine Instanz, die Sie selbst betreiben, gilt nichts davon.

Das Nutzungsrecht umfasst, was Sie einreichen. Die Meldungen, Advisories, Kommentare und Anhänge, die Sie im von uns gehosteten GAdvisory einreichen. Alle Rechte daran bleiben bei Ihnen, und wir nutzen sie nur, um das gehostete GAdvisory so zu betreiben und bereitzustellen, wie diese Bedingungen es beschreiben. Sie erlauben uns außerdem, eine Meldung zu bearbeiten, zusammenzufassen und zu übersetzen, um daraus ein Advisory zu veröffentlichen, und Sie dabei so zu nennen, wie Sie es wählen; der betroffene Hersteller oder Maintainer, an dessen Programm Sie melden, darf dasselbe.

Wer es erhält. Nur diese, und nur zu diesem Zweck:

• die Dienstleister, die das gehostete GAdvisory für uns betreiben, für die unter Künstliche Intelligenz genannten Scopes auch die dort genannten KI-Anbieter, die Inhalte nur erhalten, um die jeweilige Anfrage zu beantworten, und unsere anderen Produkte, in denen Ihre Inhalte zu demselben Zweck angezeigt oder genutzt werden;
• die Empfänger eines Advisories: das CVE-Programm, GCVE (gcve.eu), GitHub Security Advisories, GitLab (über den GitLab-Adapter von GAdvisory), OSV sowie die betroffenen Hersteller und Maintainer;
• ein Nachfolger, der den Dienst nach der Übertragungsklausel übernimmt, und mit Gelhaus Solutions verbundene Unternehmen, nur um den Dienst zu betreiben und bereitzustellen.

Niemand erhält ein Nutzungsrecht an Ihren Inhalten für eigene Zwecke.

Dauerhafte Aufzeichnungen. Veröffentlichte Advisories und die daraus veröffentlichten CVE-Datensätze. Ein veröffentlichtes Advisory kann zurückgezogen und ein CVE-Datensatz zurückgewiesen werden, gelöscht werden kann keines von beiden, und seine Kennung wird nie an etwas anderes vergeben. Für diese Aufzeichnungen räumen Sie uns und allen, die sie spiegeln oder prüfen, ein zeitlich unbegrenztes Nutzungsrecht ein, sie als Teil dieser Aufzeichnung zu vervielfältigen und zu veröffentlichen. Das meint der Absatz zur endgültigen Veröffentlichung oben, und Sie erfahren es hier, bevor Sie etwas einreichen.

Ihr Konto. Für das gehostete GAdvisory gelten zwei Umzüge, beide nach den Regeln der allgemeinen Nutzungsbedingungen für den Umzug von Konten: der oben beschriebene Umzug von gadvisory.org nach advisory.gplatform.org und der Umzug der Anmeldung zu GPlatform SSO, dem Anmeldedienst, den wir für unsere Produkte betreiben. Für jeden informieren wir Sie mindestens 30 Tage vorher per E-Mail und sagen, was umzieht, und wir übertragen nur die Daten, die nötig sind, um Sie anzumelden und zu erhalten, was Sie halten. Erschwert ein Umzug Ihren Zugang wesentlich, können Sie den Vertrag innerhalb von 30 Tagen kostenfrei beenden. Beide Dienste betreibt Gelhaus Solutions, Ihr Konto bleibt also bei uns.

Kostenfrei oder bezahlt. Das gehostete GAdvisory ist kostenfrei, sofern Sie nicht für einen Plan darin bezahlen. Haben Sie bei einem kostenfreien Konto neue Bedingungen nach Ablauf der sechs Wochen, die die allgemeinen Nutzungsbedingungen vorsehen, nicht angenommen, wird das Konto eingeschränkt, bis Sie annehmen: Sie können sich weiter anmelden, lesen, Ihre Daten exportieren, Ihre Datenschutzrechte ausüben, das Konto schließen und annehmen, sonst nichts. Ein bezahlter Plan wird nie eingeschränkt: Er läuft zu den bisherigen Bedingungen weiter, bis wir den Vertrag zum nächsten ordentlichen Beendigungstermin beenden.

Einschränkungen. Wogegen wir vorgehen, steht oben unter Zulässige Nutzung; wie wir vorgehen (mit Begründung und, bevor ein Konto gesperrt oder beendet wird, nach Anhörung, außer in den dort genannten dringenden Fällen), steht in den allgemeinen Nutzungsbedingungen. Um eine Entscheidung anzufechten, antworten Sie auf die Begründung oder schreiben Sie an die Adresse im Impressum; ein Mensch prüft sie erneut und antwortet mit Begründung.

Keine Gewährleistung, kein Service-Level, begrenzte Haftung

Dieses Produkt wird so bereitgestellt, wie es ist und wie es gerade erreichbar ist, ohne Gewährleistung jeder Art; die Nutzung erfolgt auf eigenes Risiko. Verfügbarkeit, Reaktions- und Wiederherstellungszeiten werden nicht geschuldet, sofern nicht eine gesonderte unterzeichnete Vereinbarung sie benennt. Bei unentgeltlicher Überlassung ist die Haftung auf Vorsatz und grobe Fahrlässigkeit beschränkt (§ 521 BGB).

Soweit das Gesetz es zulässt, haften wir nicht für Schäden aus der Nutzung, der Nichtverfügbarkeit oder dem Verlust von Daten; eigene Sicherungen anzulegen ist Ihre Obliegenheit. Die zwingend gebotenen Haftungsgrenzen, die innerhalb dieser Grenzen geltenden Ausschlüsse und die zusätzliche Begrenzung gegenüber Unternehmern stehen vollständig in den allgemeinen Nutzungsbedingungen, die für dieses Produkt gelten und hier nicht wiederholt werden.