OmegaConnect
Teilnahmebedingungen für die verantwortungsvolle Meldung von Sicherheitslücken, technischen Fehlern und Verbesserungsvorschlägen für Omega Connect.
Diese Teilnahmebedingungen regeln die Teilnahme am Bug Bounty & Improvement Programm der C&W Software Labs AG, Bundesplatz 4, 6302 Zug, Schweiz (nachfolgend «Betreiberin») für Omega Connect und die unter omegaconnect.app bereitgestellten Dienste.
Das Programm dient der verantwortungsvollen Offenlegung von Sicherheitslücken, der Meldung technischer Fehler sowie der Einreichung von Verbesserungsvorschlägen. Es richtet sich an natürliche und juristische Personen, welche die hierin festgelegten Regeln vollständig einhalten.
Diese Teilnahmebedingungen gelten für sämtliche Einreichungen, unabhängig vom Kommunikationsweg (E-Mail, Formular, Community-Kanal, Support, Direktnachricht).
Ergänzend gelten die AGB sowie die Datenschutzerklärung. Bei Widersprüchen gehen diese Teilnahmebedingungen für die Programmteilnahme vor.
Die Nutzung von Omega Connect ausserhalb des Programms bleibt den AGB unterstellt. Diese Teilnahmebedingungen gewähren keine weitergehenden Zugriffs- oder Angriffsrechte als ausdrücklich erlaubt.
Teilnahmeberechtigt ist jede natürliche oder juristische Person, die geschäftsfähig ist, nicht auf Sanktionslisten geführt wird und nicht gegen anwendbares Recht verstösst.
Nicht teilnahmeberechtigt sind Personen, die in den letzten 12 Monaten bei der Betreiberin beschäftigt oder beauftragt waren oder Zugang zu nicht öffentlichem Quellcode, Architekturdetails oder internen Systemen hatten.
Zum Programmumfang gehören insbesondere:
omegaconnect.app und ihre Unterseiten;Die Betreiberin kann den Scope jederzeit erweitern oder einschränken.
Ausdrücklich untersagt sind insbesondere:
Teilnehmende müssen in gutem Glauben, verhältnismässig, datensparsam und nicht destruktiv handeln. Verpflichtungen:
Einreichungen sind an security@omegaconnect.app oder über das Bug-Bounty-Formular zu senden.
Ein Report muss enthalten: Titel, betroffene Komponente, Schritte zur Reproduktion, technische Beschreibung, PoC/Screenshots und Kontaktdaten.
Eine Improvement Submission muss hinreichend konkret sein und erkennen lassen, welche Verbesserung vorgeschlagen wird und welches Problem sie adressiert. Allgemeine Wünsche oder reine Meinungsäusserungen können unberücksichtigt bleiben.
Die Betreiberin prüft Einreichungen nach eigenem Ermessen. Keine Prüfungsfrist, Behebungsfrist oder Reaktionszeit wird geschuldet. Bei mehreren Meldungen zum selben Sachverhalt wird grundsätzlich nur die nachweislich erste vollständige Einreichung berücksichtigt.
Duplikate, bereits bekannte Probleme, nicht reproduzierbare Reports, rein theoretische Risiken und ausserhalb des Scopes liegende Einreichungen können ohne Vergütung abgelehnt werden.
Bug-Bounty-Vergütungen sind freiwillige Leistungen. Der folgende Rahmen dient als unverbindliche Orientierung:
| Kategorie | Betrag | Beispiele |
|---|---|---|
| Critical | USD 500–2'000 | Seed/Key-Exposure, Auth-Bypass, RCE, E2E-Kompromittierung |
| High | USD 100–500 | Session-Diebstahl, Verschlüsselungsfehler, Privilege Escalation |
| Medium | USD 25–100 | Reproduzierbare Stabilitätsprobleme, XSS/CSRF mit begrenztem Impact |
| Low | USD 5–25 | UI-Fehler, Tippfehler, geringe Konfigurationsrisiken |
Die tatsächliche Vergütung kann niedriger, höher oder null betragen.
Teilnehmende können Improvement Submissions übermitteln: Feature-Ideen, UI-/UX-Verbesserungen, Onboarding-Verbesserungen, Dokumentationsverbesserungen, Performance- oder Workflow-Ideen, Sicherheitsverbesserungen ohne konkrete Schwachstelle, Produktkonzepte und Designansätze.
Eine Improvement Submission ist nur dann qualifiziert, wenn sie:
Die USD-30-Vergütung ist die vollständige und abschliessende Gegenleistung. Weitere Zahlungen, Umsatzbeteiligungen, Lizenzgebühren oder Namensnennungen sind ausgeschlossen.
Mit der Einreichung überträgt die teilnehmende Person der Betreiberin sämtliche Rechte an der Einreichung — räumlich, zeitlich und inhaltlich unbeschränkt, exklusiv, unwiderruflich, unterlizenzierbar und vergütungsfrei. Die Betreiberin darf Einreichungen ohne Namensnennung, mit Änderungen oder in abgewandelter Form verwenden.
Die teilnehmende Person versichert, zur Einräumung dieser Rechte berechtigt zu sein und keine Rechte Dritter zu verletzen.
Teilnehmende müssen sämtliche Vertraulichen Informationen streng vertraulich behandeln — insbesondere Sicherheitslücken, Exploit-Details, PoCs, geplante Fixes und nicht veröffentlichte Funktionen.
Veröffentlichung oder Weitergabe ist nur mit vorheriger schriftlicher Freigabe der Betreiberin zulässig. Mindest-Vertraulichkeitsfrist: 90 Tage ab Eingang.
Teilnehmende dürfen personenbezogene Daten, Kommunikationsinhalte, Wallet-Daten, Schlüsselmaterial oder sonstige sensible Informationen Dritter nicht erheben, speichern, kopieren oder weitergeben. Bei unbeabsichtigtem Kontakt ist der Test sofort abzubrechen und die Betreiberin zu informieren.
Reports sollen personenbezogene Daten nur enthalten, soweit zwingend erforderlich. Screenshots und Logs sind vor Einreichung zu anonymisieren.
Die Betreiberin beabsichtigt, gegen Teilnehmende, die sämtliche Bedingungen einhalten, ausschliesslich in gutem Glauben handeln, im Scope bleiben und keine Schäden verursachen, keine zivilrechtlichen Ansprüche geltend zu machen.
Der Safe Harbor gilt nicht für Handlungen ausserhalb des Scopes, rechtswidrige Handlungen, Datenschutzverstösse, Erpressung, öffentliche Offenlegung ohne Freigabe, DoS, Datenexfiltration oder sonstige schädliche Aktivitäten.
Der Safe Harbor bindet keine Strafverfolgungsbehörden, Gerichte, Aufsichtsbehörden oder Dritte.
Auszahlungen erfolgen nur nach ausdrücklicher Bestätigung. Die Betreiberin kann Identitäts-, Sanktions- und Compliance-Prüfungen durchführen.
Auszahlungen in USDC erfolgen an eine von der teilnehmenden Person angegebene Wallet-Adresse. Blockchain-Transaktionen sind grundsätzlich endgültig. Fehlüberweisungen gehen zulasten der teilnehmenden Person.
Die Betreiberin kann nach eigenem Ermessen USDC (ERC-20), USD, CHF oder einen anderen Zahlungsweg verwenden. Werden erforderliche Informationen nicht innerhalb von 90 Tagen bereitgestellt, kann der Anspruch als verfallen behandelt werden.
Teilnehmende sind allein verantwortlich für die steuerliche Behandlung und Abführung aller Steuern und Abgaben im Zusammenhang mit Vergütungen aus dem Programm. Die Betreiberin nimmt keine Steuerberatung vor.
Verstösse können zum sofortigen Ausschluss, zur Ablehnung aller Einreichungen, zum Verfall ausstehender Vergütungen und zur Sperrung von Accounts führen. Ausschlussgründe sind insbesondere:
Bereits ausgezahlte Vergütungen können zurückgefordert werden bei nachträglichen Verstössen.
Die Teilnahme erfolgt auf eigenes Risiko. Das Programm wird «as is» bereitgestellt. Die Haftung für leichte Fahrlässigkeit, indirekte Schäden, Folgeschäden, Datenverlust, Kryptowährungsverluste und Drittanbieterfehler ist ausgeschlossen.
Eine allfällige Haftung ist auf den Betrag der bestätigten Vergütung beschränkt (ohne Bestätigung: max. USD 100).
Teilnehmende stellen die Betreiberin von sämtlichen Ansprüchen Dritter frei, die aus Einreichungen, Rechtsverletzungen oder Verstössen entstehen.
Die Betreiberin kann das Programm, den Scope, Vergütungsrahmen und diese Teilnahmebedingungen jederzeit ändern, aussetzen oder beenden. Für bereits bestätigte, aber noch nicht ausgezahlte Vergütungen gelten die Bedingungen zum Zeitpunkt der Bestätigung.
Es gilt ausschliesslich schweizerisches Recht unter Ausschluss des UN-Kaufrechts (CISG) und kollisionsrechtlicher Verweisungsnormen.
Ausschliesslicher Gerichtsstand ist Zug, Schweiz. Zwingende Konsumentengerichtsstände bleiben vorbehalten.
Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Rechte und Pflichten dürfen ohne Zustimmung der Betreiberin nicht übertragen werden.
Bestimmungen, die ihrer Natur nach über das Ende der Teilnahme hinaus fortgelten, bleiben bestehen — insbesondere Rechteübertragung, Vertraulichkeit, Datenschutz, Haftung, Freistellung, Recht und Gerichtsstand.
Verbindlich ist ausschliesslich die deutsche Fassung. Übersetzungen dienen nur der Information.