Sicherheit

Stand: 3. November 2026

Jonas Lorenz IT-Dienstleistungen stellt AlarmPunkt und den BlackoutX Alarmmonitor her. Hier steht, wie Sie uns eine Sicherheitslücke melden, was Sie dabei tun dürfen und was nicht, was Sie von uns erwarten können und wie lange wir unsere Produkte mit Sicherheitsupdates versorgen.

1. Worum es geht

AlarmPunkt alarmiert Feuerwehren, Hilfsorganisationen, Schulsanitätsdienste und Unternehmen. Wenn Sie eine Sicherheitslücke finden, wollen wir davon erfahren – vor allen anderen, damit wir sie schließen können, bevor jemand sie missbraucht. Wir danken allen, die dabei helfen.

Ein Alarmierungssystem ist kein gewöhnlicher Onlinedienst. Ein Test, der anderswo harmlos wäre, kann hier Einsatzkräfte aus dem Bett holen oder einen echten Alarm verzögern. Bitte lesen Sie Abschnitt 4 deshalb besonders genau.

2. Geltungsbereich

Diese Regeln gelten für alle unsere Produkte:

Nicht im Geltungsbereich

• Server, die andere betreiben. Wer AlarmPunkt auf einem eigenen Server betreibt, ist für diesen Server selbst verantwortlich. Testen Sie dort nur mit Erlaubnis des Betreibers. Lücken in unserer Software, die Sie auf einer eigenen Installation finden, melden Sie gern uns.
• Dienste Dritter, die wir nutzen, etwa die Push-Dienste von Apple und Google, unser Hosting-Anbieter oder Kartendienste. Lücken dort melden Sie bitte dem jeweiligen Anbieter. Eine Fehlkonfiguration solcher Dienste auf unserer Seite gehört aber zu uns.
• Lücken in Bibliotheken und Programmen Dritter, die wir einsetzen: Bitte melden Sie sie dem jeweiligen Projekt. Uns interessiert, ob und wie sie in AlarmPunkt ausnutzbar sind.
• Befunde ohne Sicherheitsfolge, etwa fehlende Kopfzeilen ohne ausnutzbaren Weg, Versionsangaben oder Ergebnisse automatischer Scanner ohne Nachweis. Wir lesen sie, antworten aber unter Umständen nur kurz.

3. So melden Sie eine Lücke

E-Mail: jonas.lorenz@it-werkstatt.online – Betreff bitte mit „Sicherheit:“ beginnen. Schicken Sie keine erbeuteten Daten Dritter mit.

Bitte melden Sie Lücken nicht über öffentliche Kanäle, den Chat in der App, Bewertungen in den App-Stores oder das allgemeine Kontaktformular.

Hilfreich in der Meldung:

1. Produkt und Fassung (App-Version, Monitor-Version, Adresse der Seite oder des Endpunkts).
2. Was die Lücke ermöglicht – und ob sie den Alarmweg berührt: Alarme auslösen, unterdrücken, verzögern, verfälschen oder mitlesen.
3. Schritte zum Nachstellen, gern mit einem Nachweis gegen Ihr eigenes Testkonto.
4. Wann Sie getestet haben und von welchen IP-Adressen. So können wir Ihre Tests in den Protokollen von einem echten Angriff unterscheiden.
5. Ob Sie Hinweise haben, dass andere die Lücke schon ausnutzen.
6. Wie Sie genannt werden möchten: mit Namen, Pseudonym oder gar nicht.

Sie können auch anonym melden. Dann können wir Ihnen allerdings nicht antworten. Wer lieber über eine neutrale Stelle meldet, kann sich an das Bundesamt für Sicherheit in der Informationstechnik (BSI) wenden.

4. Was erlaubt ist – und was nicht

Unsere Zusage

Wenn Sie in gutem Glauben und im Rahmen dieser Regeln handeln,

• sehen wir Ihre Forschung als erwünscht und befugt an,
• erstatten wir keine Strafanzeige und machen keine zivilrechtlichen Ansprüche gegen Sie geltend,
• setzen wir uns, falls Dritte gegen Sie vorgehen wollen, dafür ein, dass Ihr Vorgehen als befugt verstanden wird, soweit es diese Regeln einhält,
• geben wir Ihre Daten nicht ohne Ihre Zustimmung weiter, außer wir sind gesetzlich dazu verpflichtet.

Diese Zusage bindet nur, was wir selbst zusagen können. Rechte Dritter – etwa einer Organisation, deren Daten Sie gesehen haben – können wir nicht wegverhandeln. Halten Sie sich deshalb an die folgenden Grenzen; dann entsteht diese Lage gar nicht erst.

Die Grenzen

1. Lösen Sie keinen echten Alarm aus. Rufen Sie die Alarmannahme, die Alarmschnittstellen (Alarmgeber, Funk- und Monitor-Anbindung) oder den Alarmknopf in Apps und Portal nicht mit Daten auf, die einen Alarm bei echten Einsatzkräften auslösen können – auch nicht „nur einen“ Testalarm. Für Tests am Alarmweg gibt es die Testumgebung (Abschnitt 5).
2. Unterdrücken, verzögern oder verändern Sie keine Alarme – auch nicht kurz, auch nicht zum Nachweis.
3. Keine Überlastung. Keine Last- und Flutungstests (Denial of Service), kein massenhaftes Ausprobieren von Kennwörtern oder Schlüsseln, keine Tests, die den Server merklich verlangsamen. Ein langsamer Server ist bei uns ein später Alarm.
4. Keine Tests gegen fremde Organisationen und Personen. Benutzen Sie nur Konten und Organisationen, die Ihnen gehören oder die wir Ihnen gegeben haben. Melden Sie sich nicht mit fremden Zugangsdaten an, auch nicht mit gefundenen.
5. Keine Daten Dritter. Stoßen Sie auf Daten, die nicht Ihre sind – Personen, Alarme, Standorte, Gesundheitsangaben, Nachrichten –, hören Sie sofort auf: nichts weiter abrufen, nichts speichern, nichts weitergeben. Ein einzelner Datensatz als Nachweis genügt; schwärzen Sie ihn in der Meldung. Löschen Sie, was Sie gespeichert haben, sobald wir die Meldung bestätigt haben.
6. Kein Social Engineering, kein Phishing, keine Anrufe bei Leitstellen, Wehren, Kunden oder bei uns unter falschem Namen.
7. Kein physischer Zugang zu Gerätehäusern, Monitoren, Funkgeräten oder Rechenzentren.
8. Keine Schadsoftware und keine Hintertüren einbringen, keine Daten verändern oder löschen, keine dauerhaften Zugänge anlegen.
9. Keine Funkaussendungen. Der Alarmmonitor kann Funkgeräte steuern. Lösen Sie keine Aussendungen im BOS-Funk aus.

Erlaubt

• Tests mit Ihrem eigenen Konto in Ihrer eigenen Organisation, ohne andere zu beeinträchtigen.
• Untersuchen, was die Apps und der Alarmmonitor auf Ihrem eigenen Gerät tun, etwa ihren Netzverkehr.
• Tests in unserer Testumgebung mit dem Zugang, den wir Ihnen geben.

Wenn Sie unsicher sind, ob ein Test erlaubt ist: Fragen Sie vorher. Wir antworten lieber auf eine Frage als auf einen Vorfall.

5. Testumgebung und Testzugang

Für Tests am Alarmweg, an Rechten und an Organisationsgrenzen geben wir Ihnen auf Anfrage einen Zugang zu unserer Testumgebung: eine eigene Testorganisation und, nach Absprache, einen Zugriffsschlüssel für die Alarmschnittstelle. Anfrage an jonas.lorenz@it-werkstatt.online, Betreff „Sicherheit: Testzugang“.

Die Testumgebung läuft auf demselben Server wie der Echtbetrieb. Die Grenzen aus Abschnitt 4 gelten dort genauso – vor allem das Verbot von Überlastung.

6. Was Sie von uns erwarten können

„Werktage“ meint Montag bis Freitag ohne die gesetzlichen Feiertage in Hessen. Wir sagen Ihnen auch, wenn wir eine Meldung nicht als Sicherheitslücke ansehen, und warum.

7. Veröffentlichung

• Bitte veröffentlichen Sie Einzelheiten erst, wenn ein Update verfügbar ist und die Nutzer Gelegenheit hatten, es einzuspielen – in der Regel 90 Tage nach Ihrer Meldung.
• Ist das Update früher verteilt, kann auch die Veröffentlichung früher kommen. Brauchen wir länger – etwa weil Alarmmonitore vor Ort aktualisiert werden müssen –, sprechen wir mit Ihnen über eine Verlängerung und begründen sie.
• Wird eine Lücke nachweislich bereits ausgenutzt, kann eine frühere Veröffentlichung nötig sein, damit sich Nutzer schützen können. Das stimmen wir mit Ihnen ab.
• Zu jeder behobenen Lücke veröffentlichen wir einen Sicherheitshinweis: betroffene Fassungen, Schweregrad, Abhilfe und – wenn Sie möchten – Ihren Namen. Wo sinnvoll, beantragen wir eine CVE-Kennung.
• Bitte nennen Sie in Ihrer Veröffentlichung keine personenbezogenen Daten und keine Daten unserer Kunden.

8. Supportzeiträume

Im Supportzeitraum beheben wir bekannt gewordene Sicherheitslücken und stellen die Sicherheitsupdates kostenlos bereit – beim Alarmmonitor auch ohne Wartungsvertrag.

Das Ende des Supportzeitraums Ihrer Monitor-Lizenz oder Ihres On-Premise-Pakets (Monat und Jahr) ergibt sich aus dem Kauf- bzw. Überlassungsdatum; auf Anfrage bestätigen wir es Ihnen. Nach dem Ende läuft die Software weiter, kostenlose Sicherheitsupdates sind dann aber nicht mehr zugesagt. Mit einem Wartungsvertrag erhalten Sie beim Alarmmonitor weiterhin jede neue Fassung.

9. Wie Sicherheitsupdates zu Ihnen kommen

• AlarmPunkt Connect: Wir spielen sie zentral ein. Sie müssen nichts tun.
• Apps: über den App Store und Google Play. Ältere Fassungen bessern wir nicht einzeln nach – bitte halten Sie die App aktuell. Ist eine Lücke so schwer, dass ältere Fassungen nicht mehr sicher arbeiten, kann der Server sie abweisen; die App sagt das dann.
• BlackoutX Alarmmonitor: über die Updatefunktion des Monitors. Gibt es für Ihre Fassung (etwa 2.8.x) einen Patch, kommt das Sicherheitsupdate als Patch dieser Fassung. Gibt es keinen, dürfen Sie kostenlos auf die nächste Fassung wechseln, die die Lücke schließt. Beides gilt im Supportzeitraum immer, auch ohne Wartungsvertrag.
• AlarmPunkt On-Premise: über das Updateskript des Pakets auf Ihrem Server, im Supportzeitraum kostenlos.

Zu jedem Sicherheitsupdate sagen wir, welche Lücke es schließt, wie dringend es ist und was Sie tun müssen. Bitte spielen Sie Sicherheitsupdates zeitnah ein.

10. Unsere gesetzlichen Pflichten

Als Hersteller unterliegen wir der Verordnung (EU) 2024/2847 (Cyber Resilience Act).

• Meldepflicht (Art. 14): Erfahren wir, dass eine Lücke in einem unserer Produkte aktiv ausgenutzt wird, oder kommt es zu einem schwerwiegenden Sicherheitsvorfall, melden wir das über die einheitliche Meldeplattform an das BSI als koordinierende Stelle und an die ENISA – mit einer Frühwarnung binnen 24 Stunden, einer Meldung binnen 72 Stunden und einem Abschlussbericht danach. Wir informieren die betroffenen Nutzer.
• Eine Lücke, die nur Sie gefunden und nur an Ihrem eigenen Testkonto nachgewiesen haben, gilt in der Regel nicht als „aktiv ausgenutzt“; Ihre Meldung löst diese Pflicht also nicht von selbst aus. Sehen wir in den Protokollen aber Zugriffe anderer, melden wir – und sagen es Ihnen.
• Supportzeitraum (Art. 13): Für jedes Produkt nennen wir einen Zeitraum, in dem wir Lücken beheben (Abschnitt 8). Meldungen zu Fassungen außerhalb dieses Zeitraums nehmen wir trotzdem entgegen; behoben wird dann in einer unterstützten Fassung.
• Komponenten Dritter: Betrifft eine Lücke eine Bibliothek oder ein Programm, das wir einsetzen, melden wir sie auch dem jeweiligen Projekt – auf Wunsch mit Ihrem Namen.
• Datenschutz: Betrifft eine Lücke personenbezogene Daten, prüfen wir zugleich unsere Pflichten nach der DSGVO und informieren die Organisationen, für die wir Daten im Auftrag verarbeiten.

11. Sicherheitshinweise

Hier veröffentlichen wir Sicherheitshinweise zu behobenen Lücken. Derzeit ist keiner veröffentlicht.

12. Danksagung statt Prämie

Wir zahlen keine Prämien (kein Bug-Bounty); wir sind ein kleiner Betrieb. Wer uns eine Lücke meldet, nennen wir hier und im Sicherheitshinweis – mit Namen, Pseudonym oder Link, wie Sie möchten. Auf Wunsch bestätigen wir Ihre Meldung kurz für Ihre Unterlagen. Bisher ist hier niemand zu nennen.

Wer eine Prämie verlangt, bevor er eine Lücke nennt, fällt nicht unter den Schutz dieser Regeln.

13. Änderungen

Wir passen diese Seite an, wenn sich Produkte, Gesetze oder unsere Erreichbarkeit ändern. Für Ihre Meldung gilt die Fassung, die bei ihrem Eingang veröffentlicht war.

---

Reporting security vulnerabilities – short English version

Jonas Lorenz IT-Dienstleistungen makes AlarmPunkt and BlackoutX Alarmmonitor, which alert fire brigades and emergency responders. Please help us keep them safe.

• Report to jonas.lorenz@it-werkstatt.online, subject starting with “Security:”. German or English.
• Scope: AlarmPunkt Connect at alarmpunkt.de with its APIs, push and chat services; the iOS and Android apps including the watch apps; BlackoutX Alarmmonitor for Windows; the AlarmPunkt on-premise package; our test environment. Not in scope: servers run by others (test only with the operator’s permission) and third-party services.
• Never trigger a real alarm; never suppress, delay or alter alarms; no load or denial-of-service tests and no mass password guessing; do not access accounts, organisations or data that are not yours (stop at the first record and redact it); no social engineering or phishing; do not enter premises; do not trigger radio transmissions.
• Test access to our test environment is available on request.
• Safe harbour: if you act in good faith and within these rules, we consider your research authorised and will not take legal action against you.
• Our timeline: acknowledgement within 3 business days, first assessment within 10 business days, updates at least every 14 days. Coordinated disclosure typically after 90 days or once a fix is available, agreed with you.
• Support periods: AlarmPunkt Connect is maintained for as long as we offer it; the apps receive security updates at least until December 2031, extended every year; BlackoutX Alarmmonitor 5 years from purchase (licences bought before 3 November 2026: at least until December 2032); the on-premise package 5 years from delivery. Security updates are free of charge during the support period, for the monitor also without a maintenance contract.
• Legal duties: under the EU Cyber Resilience Act (Art. 14) we report actively exploited vulnerabilities and severe incidents to the German BSI and to ENISA, and we inform affected users.
• No bug bounty. We are happy to credit you in our acknowledgements.

The German version above is authoritative.