Soziale Verantwortung

Seiten wie diese führen üblicherweise Grundsätze auf. Grundsätze sind billig, weil niemand sie nachprüfen kann. Diese Seite führt deshalb nur auf, was patchletter tatsächlich tut — jeden Punkt können Sie selbst nachprüfen, von außen, ohne uns zu fragen. Wo es nichts vorzuweisen gibt, sagt das der letzte Abschnitt, statt die Lücke mit einem Wertebekenntnis zu füllen.

Der Radar kostet nichts, und das bleibt so

Der Update-Radar ist kostenlos und bleibt es: Sie wählen aus 1240 Produkten und bekommen eine Mail, sobald der Hersteller ein neues Release veröffentlicht. Am meisten zählt das für die mit dem kleinsten Budget — einen Verein, eine Arztpraxis, eine Schule, die eine Person, die die Server einer Firma nebenher am Laufen hält. Sie bekommen dieselben 1240 Produkte und dieselbe Zustellung wie ein Konzern, und sie zahlen nichts dafür.

Von einem neuen Release zu erfahren, ist der Teil, der nichts kostet, und daran wollen wir nichts ändern: keine Tarifstufe, kein Nutzerlimit, keine Werbung, kein Upselling in den Mails. Verkauft wird die Schwachstellen-Seite — zu wissen, was gerade gefährlich ist, einschließlich der Lücken, für die es noch keinen Patch gibt. Das ist die Arbeit, die wir nicht verschenken können, und unsere Preisseite sagt das in der ersten Zeile, statt es drei Klicks tief zu verstecken.

Und niemand verliert, was er schon hat: Wer die KEV-Warnmails vor dieser Umstellung abonniert hatte, behält sie dauerhaft und kostenlos, an kein Abo gebunden. Diese Zusage steht in unseren Preisen — und sie ist der Grund, warum die Umstellung ein Kommunikationstermin ist und kein Deploy.

Wir sind Gast auf fremden Servern

Um 1240 Produkte zu kennen, muss patchletter jeden Tag Seiten abrufen, die anderen Leuten gehören — Release-Feeds der Hersteller, Repositories, Advisory-Seiten. Keiner dieser Betreiber hat um unseren Verkehr gebeten. Deshalb ist der Crawler bewusst langsamer, als er sein könnte: eine Anfrage je Host alle zwei Sekunden, Conditional Requests (ETag/Last-Modified), sodass eine unveränderte Seite die Gegenseite fast nichts kostet, keine Login-Bereiche, keine übergangene robots.txt.

Wir geben uns außerdem zu erkennen, statt uns zu verstecken. Jede Anfrage trägt patchletterBot/1.0 mit Link auf unsere Crawler-Policy, damit jeder Hersteller uns im eigenen Log findet, drosseln oder aussperren kann. Und wir speichern und verschicken nie den Volltext eines Herstellers: Was wir behalten, ist ein Kurztext von höchstens 300 Zeichen plus Link auf das Original. Der Leser landet auf der Herstellerseite — nicht auf einer Kopie davon.

Fristen, an denen Sicherheitsforscher uns festhalten können

Wer eine Schwachstelle in patchletter meldet, tut uns einen Gefallen, meist unbezahlt. Das Mindeste, was wir schulden, ist, ihn nicht im Dunkeln zu lassen. Deshalb sind die Fristen verbindlich und keine Absichtserklärung: Eingangsbestätigung in 3 Werktagen, eine erste belastbare Einschätzung in 14 Tagen und, solange der Fund offen ist, mindestens alle 14 Tage eine Statusmeldung. Im Gegenzug bitten wir um 90 Tage bis zur Veröffentlichung — und wenn ein Fix wirklich länger braucht, sagen wir das, statt still zu werden. Ein Bug-Bounty gibt es nicht; dafür fehlt das Geld. Schutz für gutgläubige Forschung gibt es — der kostet uns nichts und ist etwas wert. Einzelheiten auf der Responsible-Disclosure-Seite.

Der billigste Datenschutz ist, Daten nicht zu haben

Das einzige Pflichtdatum ist eine E-Mail-Adresse. Kein Name, keine Firma, keine Telefonnummer, nichts, was das Konto für uns wertvoller und für Sie gefährlicher machen würde. Keine Tracking-Pixel in Mails, keine Werbe-Cookies, kein Einwilligungs-Banner — die Reichweitenmessung ist cookielos und läuft auf unserer eigenen Instance. Jede Mail hat einen 1-Klick-Abmeldelink, ein unbestätigtes Konto löschen wir nach 48 Stunden automatisch, und ein bestätigtes können Sie jederzeit samt aller Daten mit einem Klick löschen. Was wir tatsächlich speichern, steht in der Datenschutzerklärung.

Geld und Ökologie

patchletter hat noch keinen Gewinn gemacht, also gibt es nichts zu verteilen. Was es gibt, ist eine Zusage — ein Teil künftiger Gewinne an eine deutsche Aufforstungsinitiative und zwei Bäume im Jahr je bezahltem Abo. Solange kein Geld geflossen ist, ist das ein Versprechen, und wir nennen es auch so. Dieselbe Seite trägt außerdem eine offene Lücke bei Strom- und Klimazahlen für unsere Maschine in Paris, weil wir lieber eine Lücke zeigen, als eine Zahl von woanders zu erben. Beides steht unter Betrieb & Datenschutz, wo es an einer Stelle gepflegt wird statt an zweien.

Was hier nicht steht

Seiten wie diese haben üblicherweise drei Kapitel mehr, und wir lassen alle drei absichtlich leer. Es gibt kein Kapitel über Arbeitsbedingungen, weil patchletter außer dem Geschäftsführer niemanden beschäftigt — ein Maßnahmenkatalog für eine Belegschaft, die es nicht gibt, wäre Dekoration. Es gibt keine Spendenliste, weil noch nichts fließt; die Zusage oben ist alles, was es gibt. Und es gibt keine Sponsorings. Wenn sich daran etwas ändert, steht es hier mit Namen und Betrag — und nicht als Wertebekenntnis.

Wenn Sie meinen, dass etwas auf dieser Seite nicht stimmt, hören wir das gern: Im Impressum steht die Adresse, und jede Aussage oben ist so geschrieben, dass Sie sie ohne uns nachprüfen können.