Bedingungen des kostenlosen Audits

Dies ist eine deutschsprachige Übersetzung des ursprünglichen lettischen Dokuments, die nicht lettischsprachigen Nutzern als Hilfestellung dient. Bei Widersprüchen oder Abweichungen zwischen dieser Übersetzung und dem lettischsprachigen Original ist ausschließlich die lettische Fassung maßgeblich und rechtsverbindlich.

1. Allgemeine Bestimmungen

1.1. Diese Bedingungen regeln das Verfahren, nach dem die SIA SAM MARTIN GROUP, Reg.-Nr. 40203520646, eingetragene Anschrift: Matīsa iela 16-2, Rīga, LV-1001, Lettland (nachfolgend – EvoEX), ein kostenloses Website-Sicherheitsaudit (nachfolgend – das Audit) für Kunden durchführt, die den Dienst auf der EvoEX-Website beantragen.

1.2. Das Audit ist eine informative Dienstleistung mit begrenztem Umfang, die kostenlos erbracht wird und deren Zweck darin besteht, dem Kunden zu helfen, potenzielle Schwachstellen in einer Website oder Anwendung zu identifizieren; es ist jedoch kein vollständiger Penetrationstest und kein zertifiziertes Sicherheitsaudit und stellt auch keinerlei Sicherheitsgarantie dar.

1.3. Mit der Beantragung des kostenlosen Audits auf der EvoEX-Website https://evoex.eu/de/bezmaksas-audits sowie durch das Ausfüllen und Absenden des Antragsformulars bestätigt der Kunde, dass er diese Bedingungen gelesen hat, sie versteht und ihnen zustimmt.

1.4. Die Zustimmung zu diesen Bedingungen gilt in dem Moment als erteilt, in dem der Antrag erfolgreich abgesendet und im Kundenbeziehungsmanagementsystem (CRM) von EvoEX registriert wurde. Der im EvoEX-CRM-System gespeicherte Antragseintrag dient als hinreichender Nachweis dafür, dass der Kunde die Bedingungen zur Kenntnis genommen und ihnen zugestimmt hat, sofern der Kunde nicht das Gegenteil nachweist.

1.5. Stimmt der Kunde diesen Bedingungen nicht zu, darf er keinen Antrag auf das kostenlose Audit stellen, und EvoEX ist nicht verpflichtet, einem solchen Kunden das Audit zu erbringen.

1.6. Diese Bedingungen sind eine allgemeine Richtlinie und werden nicht individuell mit jedem Kunden gesondert vereinbart; sie gelten für alle Anträge auf ein kostenloses Audit.

2. Beschreibung der Dienstleistung und Art der Prüfung

2.1. Das Audit wird mit dem OWASP Zed Attack Proxy (OWASP ZAP) und/oder anderen Werkzeugen für dynamische Anwendungssicherheitsprüfungen (DAST) durchgeführt, die zur Identifizierung von Schwachstellen in Webanwendungen bestimmt sind.

2.2. OWASP ZAP ist ein Open-Source-Werkzeug, das eine Kartierung der Website, ein passives Scannen und ein aktives Scannen durchführt, indem es HTTP-Anfragen und -Antworten analysiert und bekannte Angriffsvektoren verwendet, um Schwachstellen zu identifizieren.

2.3. Die Entwickler und die Gemeinschaft von OWASP ZAP weisen darauf hin, dass aktives Scannen potenziell gefährlich ist und je nach Anwendung die Erstellung, Änderung oder Löschung von Daten sowie Störungen des Systembetriebs verursachen kann und daher nicht ohne die Erlaubnis des Eigentümers und ohne angemessene Vorbereitung verwendet werden darf.

2.4. Während des Audits kann EvoEX nach eigenem Ermessen den Umfang der von OWASP ZAP und anderen Werkzeugen durchgeführten Tests einschränken, um Risiken zu verringern; die Möglichkeit einer Auswirkung lässt sich jedoch nicht vollständig ausschließen, da aktive Tests ihrem Wesen nach Angriffsszenarien simulieren.

2.5. Das Ergebnis des Audits ist eine Zusammenfassung / ein Kurzbericht über die festgestellten Probleme und allgemeine Empfehlungen zu deren Behebung; EvoEX verpflichtet sich nicht, eine vollständige Liste aller möglichen Schwachstellen bereitzustellen, und garantiert nicht, dass keine weiteren unentdeckten Schwachstellen oder Sicherheitsprobleme bestehen bleiben.

2.6. EvoEX ist nicht verpflichtet, alle Teile des Systems, Benutzerrollen, API-Endpunkte, Integrationen von Drittanbietern, Zahlungssysteme, interne Netzwerke oder den Quellcode zu testen, sofern dies nicht ausdrücklich angegeben und technisch möglich ist.

3. Zustimmung und Ermächtigung des Kunden

3.1. Mit der Beantragung des Audits und der Einreichung eines Antrags auf der EvoEX-Website bestätigt der Kunde, dass ihm das zu testende System gehört oder dass er dieses System rechtmäßig kontrolliert und befugt ist, dessen Sicherheitsprüfung zu gestatten.

3.2. Der Kunde bestätigt, dass das Audit nicht ohne deren Zustimmung gegen Systeme Dritter beantragt wird und dass die im Antrag angegebenen Domains, URLs und Systeme unter seiner Kontrolle stehen.

3.3. Der Kunde verpflichtet sich sicherzustellen, dass die während des Audits verwendeten Domains, URLs, Testkonten, Konfigurationen und sonstigen Ressourcen unter der Kontrolle des Kunden stehen und dass deren Prüfung keine Gesetze, Verträge oder Rechte Dritter verletzt.

3.4. Stellt sich später heraus, dass der Kunde ein Audit für ein System beantragt hat, für das er keine Rechte hat, erklärt sich der Kunde damit einverstanden, allein die volle rechtliche und finanzielle Verantwortung zu übernehmen und EvoEX für jegliche infolge einer solchen Situation entstandenen Schäden oder Ansprüche zu entschädigen.

3.5. Der Kunde stellt sicher, dass er alle erforderlichen internen Genehmigungen (von der Geschäftsführung, den Gesellschaftern, der IT-Abteilung usw.) eingeholt hat, sofern solche Genehmigungen erforderlich sind, und EvoEX haftet nicht, wenn der Kunde dies unterlassen hat.

4. Prüfungsrisiken und “kein Hacking”

4.1. Das Audit verwendet Sicherheitsprüfungsmethoden, die technisch Angriffshandlungen ähneln können (zum Beispiel Injektionstests, Fehlerauslösung, Eingabemanipulationen, Simulation unbefugter Zugriffsversuche usw.).

4.2. Das Audit wird stets nur mit vorheriger Zustimmung und Ermächtigung des Kunden durchgeführt, mit dem Ziel, die Sicherheit des Systems des Kunden zu verbessern, und nicht, um Schaden anzurichten oder einen unrechtmäßigen Vorteil zu erlangen; folglich ist das Audit nicht als “Hacking” oder unbefugter Zugriff anzusehen.

4.3. Der Kunde erkennt ausdrücklich an und stimmt zu, dass während des Audits technisch Angriffsprüfwerkzeuge und -methoden eingesetzt werden, ist jedoch, da diese Tests mit Erlaubnis des Kunden und im Interesse des Kunden durchgeführt werden, nicht berechtigt, dieses Audit später als unbefugten Angriff oder als Versuch, das System zu hacken, auszulegen.

4.4. Sehen die internen oder externen Vorschriften des Kunden vor, dass derartige Tests gesondert zu genehmigen sind (zum Beispiel durch die IT-Abteilung, den Vorstand, den Eigentümer usw.), verpflichtet sich der Kunde, diese Genehmigungen vor der Einreichung des Audit-Antrags einzuholen, und EvoEX haftet nicht, wenn der Kunde dies unterlassen hat.

4.5. Der Kunde ist sich bewusst, dass Sicherheitsprüfungen für die Minderung der Risiken von Cyberangriffen wesentlich sind und dass das Audit als Sicherheitsmaßnahme und nicht als böswillige Handlung durchgeführt wird.

5. Haftungsausschluss und -beschränkung

5.1. EvoEX warnt ausdrücklich, dass aktives Scannen Störungen des Systembetriebs, Verlangsamungen, Fehler, Änderung oder Löschung von Daten sowie Datenbankausfälle verursachen kann, insbesondere wenn der Test in einer Produktionsumgebung oder gegen eine Live-Datenbank durchgeführt wird.

5.2. Der Kunde stimmt zu, dass alle derartigen Folgen vollständig als vom Kunden übernommene Risikofolgen gelten und dass EvoEX nicht für einen “Absturz” des Servers, Systemausfallzeiten, Ressourcenüberlastung, Datenbeschädigung, Datenverlust, Nichtausführung von Transaktionen, Störungen von Geschäftsprozessen oder Reputationsschäden haftet.

5.3. EvoEX bietet und übernimmt keinerlei Garantien (weder ausdrücklich noch stillschweigend) hinsichtlich des Ergebnisses des Audits, einschließlich dessen, dass:

• das Audit möglicherweise nicht alle Schwachstellen aufdeckt;
• die festgestellten Probleme möglicherweise nicht die einzigen oder die schwerwiegendsten sind;
• das System nach der Durchführung des Audits nicht als “sicher” oder “vollständig geschützt” anzusehen ist.

5.4. Das Audit wird “wie besehen” und “wie verfügbar” (as-is, as-available) bereitgestellt, und EvoEX haftet nicht für Fehler, Mängel, Ungenauigkeiten oder Auslassungen in den Audit-Ergebnissen.

5.5. Da das Audit eine kostenlose Dienstleistung ist, ist jede etwaige materielle Verpflichtung von EvoEX gegenüber dem Kunden auf 0,00 EUR begrenzt, und der Kunde verzichtet unmissverständlich auf das Recht, von EvoEX Entschädigung oder Schadensersatz für jeglichen infolge oder während des Audits entstandenen Schaden zu verlangen.

5.6. Der Kunde stimmt zu, dass EvoEX weder straf- noch zivilrechtlich für die während des Audits durchgeführten technischen Handlungen verantwortlich gemacht werden kann, da diese auf Grundlage der Ermächtigung des Kunden mit dem Ziel durchgeführt werden, die Sicherheit der Systeme des Kunden zu verbessern, und der Kunde selbst das volle rechtliche und kommerzielle Risiko übernimmt.

6. Vorbereitungspflichten des Kunden

6.1. Der Kunde stellt so weit wie möglich sicher, dass das Audit in einer Testumgebung oder einer gesonderten Umgebung durchgeführt wird, die der Produktion möglichst nahekommt, aber kein unmittelbares Risiko für die Live-Produktionsdatenbank darstellt.

6.2. Wird das Audit in einer Produktionsumgebung durchgeführt, ist sich der Kunde bewusst, dass dies ein erhöhtes Risiko darstellt, und stimmt zu, dass EvoEX nicht für die Folgen einer solchen Wahl haftet.

6.3. Der Kunde sorgt für Backups, Monitoring, Incident-Management-Prozesse und andere Maßnahmen, die erforderlich sind, um den Systembetrieb während oder nach dem Audit umgehend wiederherzustellen, falls dies notwendig wird.

6.4. Der Kunde erkennt an, dass weder OWASP ZAP noch andere Testwerkzeuge noch das EvoEX-Team die vollständige Unbedenklichkeit der Tests garantieren können und dass die sicherste Lösung stets eine gesonderte Testumgebung ist.

7. Datenverarbeitung und Vertraulichkeit

7.1. Während des Audits verarbeitet EvoEX technische Daten, darunter URLs, HTTP-Anfragen und -Antworten, Fehlermeldungen, Header und sonstige technische Informationen, die zur Durchführung des Audits erforderlich sind.

7.2. Diese Daten werden ausschließlich zur Durchführung des Audits, zur Aufbereitung der Ergebnisse und zur Kommunikation mit dem Kunden verwendet, außer in Fällen, in denen Rechtsvorschriften eine andere Verwendung oder Offenlegung vorsehen oder verlangen.

7.3. EvoEX gewährleistet die Vertraulichkeit der während des Audits gewonnenen Daten und gibt sie ohne Zustimmung des Kunden nicht an Dritte weiter, außer in den gesetzlich vorgesehenen Fällen.

7.4. Der Kunde bestätigt, dass er eine Rechtsgrundlage hat, EvoEX die Verarbeitung der zur Durchführung des Audits erforderlichen technischen Daten zu gestatten.

8. Anwendung der Bedingungen und Änderungen

8.1. Diese Bedingungen gelten für alle Kunden, die ein kostenloses Audit beantragen, und sind ab dem Moment verbindlich, in dem der Kunde das Antragsformular einreicht und es im EvoEX-CRM-System registriert wird.

8.2. EvoEX behält sich das Recht vor, diese Bedingungen jederzeit einseitig zu ändern, indem es die aktualisierte Fassung auf seiner Website veröffentlicht; für bereits eingegangene Anträge gilt die Fassung der Bedingungen, die zum Zeitpunkt der Einreichung des Antrags in Kraft war.

8.3. Wird eine dieser Bedingungen ungültig oder undurchsetzbar, so berührt dies nicht die Gültigkeit der übrigen Bedingungen.