Soziale Verantwortung

Seiten wie diese führen üblicherweise Grundsätze auf. Grundsätze sind billig, weil niemand sie nachprüfen kann. Hier steht deshalb nur, was patchletter tatsächlich tut, und jeden Punkt kannst du von außen nachprüfen, ohne uns zu fragen. Wo es nichts vorzuweisen gibt, bleibt die Lücke offen.

Der Update-Radar kostet nichts

Du hakst aus 1286 Produkten an, was du betreust, und bekommst eine Mail, sobald der Hersteller ein neues Release veröffentlicht. Am meisten zählt das für die mit dem kleinsten Budget: einen Verein, eine Arztpraxis, eine Schule, die eine Person, die die Server einer Firma nebenher am Laufen hält. Die bekommen dieselben 1286 Produkte und dieselbe Update-Mail wie ein Konzern, und sie zahlen nichts dafür.

Von einem neuen Release zu erfahren, ist der Teil, der nichts kostet: Die Mail nennt die neue Version, und in ihr steht weder Werbung noch ein Angebot für etwas Teureres. Verkauft wird alles, was daraus eine Sicherheitsmeldung macht — die Kennzeichnung, dass ein Release eine Lücke schließt, die Warnung vor einer aktiv ausgenutzten Schwachstelle, die Meldung von BSI und CERT-Bund, der Hinweis, bevor ein Produkt aus dem Support läuft, und die Zustellung dieser Warnungen im Minutentakt statt im Tageslauf. Nachlesen kostet trotzdem nichts: Was wir über Sicherheitslücken und Support-Enden wissen, steht für jeden auf der Website, ohne Konto. Bezahlt wird, geweckt zu werden, und unsere Preisseite sagt das in der ersten Zeile, statt es drei Klicks tief zu verstecken.

Wir sind Gast auf fremden Servern

Um 1286 Produkte zu kennen, muss patchletter jeden Tag Seiten abrufen, die anderen Leuten gehören — Release-Feeds der Hersteller, Repositories, Advisory-Seiten. Keiner dieser Betreiber hat um unseren Verkehr gebeten. Deshalb ist der Crawler bewusst langsamer, als er sein könnte: eine Anfrage je Host alle zwei Sekunden, Conditional Requests (ETag/Last-Modified), sodass eine unveränderte Seite die Gegenseite fast nichts kostet, keine Login-Bereiche, keine übergangene robots.txt.

Wir geben uns außerdem zu erkennen, statt uns zu verstecken. Jede Anfrage trägt patchletterBot/1.0 mit Link auf unsere Crawler-Policy, damit jeder Hersteller uns im eigenen Log findet, drosseln oder aussperren kann. Und wir speichern und verschicken nie den Volltext eines Herstellers: Was wir behalten, ist ein Kurztext von höchstens 300 Zeichen plus Link auf das Original. Der Leser landet auf der Herstellerseite — nicht auf einer Kopie davon.

Fristen, an denen Sicherheitsforscher uns festhalten können

Wer eine Schwachstelle in patchletter meldet, tut uns einen Gefallen, meist unbezahlt. Das Mindeste, was wir schulden, ist, ihn nicht im Dunkeln zu lassen. Deshalb sind die Fristen verbindlich und keine Absichtserklärung: Eingangsbestätigung in 3 Werktagen, eine erste belastbare Einschätzung in 14 Tagen und, solange der Fund offen ist, mindestens alle 14 Tage eine Statusmeldung. Im Gegenzug bitten wir um 90 Tage bis zur Veröffentlichung — und wenn ein Fix wirklich länger braucht, sagen wir das, statt still zu werden. Ein Bug-Bounty gibt es nicht; dafür fehlt das Geld. Schutz für gutgläubige Forschung gibt es — der kostet uns nichts und ist etwas wert. Einzelheiten auf der Responsible-Disclosure-Seite.

Der billigste Datenschutz ist, Daten nicht zu haben

Das einzige Pflichtdatum ist eine E-Mail-Adresse. Kein Name, keine Firma, keine Telefonnummer, nichts, was das Konto für uns wertvoller und für dich gefährlicher machen würde. In den Mails steckt kein Zählpixel, Werbe-Cookies setzen wir keine, und die Reichweitenmessung läuft cookielos auf unserer eigenen Instance; ein Einwilligungs-Banner braucht es deshalb nicht. Jede Mail hat einen 1-Klick-Abmeldelink, ein unbestätigtes Konto löschen wir nach 48 Stunden automatisch, ein bestätigtes kannst du jederzeit samt aller Daten mit einem Klick löschen. Was wir tatsächlich speichern, steht in der Datenschutzerklärung.

Geld und Ökologie

patchletter hat noch keinen Gewinn gemacht, also gibt es nichts zu verteilen. Was es gibt, ist eine Zusage — ein Teil künftiger Gewinne an eine deutsche Aufforstungsinitiative und zwei Bäume im Jahr je bezahltem Abo. Solange kein Geld geflossen ist, ist das ein Versprechen, und wir nennen es auch so. Dieselbe Seite trägt außerdem eine offene Lücke bei Strom- und Klimazahlen für unseren Server in Nürnberg, weil wir lieber eine Lücke zeigen, als eine Zahl von woanders zu erben. Beides steht unter Betrieb & Datenschutz, wo es an einer Stelle gepflegt wird statt an zweien.

Was hier nicht steht

Üblich wären hier noch ein paar Kapitel mehr; die bleiben absichtlich leer. Über Arbeitsbedingungen steht nichts, weil patchletter außer dem Geschäftsführer niemanden beschäftigt; ein Maßnahmenkatalog für eine Belegschaft, die es nicht gibt, wäre Dekoration. Sponsorings gibt es keine, und eine Spendenliste fehlt, weil noch nichts fließt; die Zusage oben ist alles. Ändert sich daran etwas, steht es hier mit Namen und Betrag — und nicht als Wertebekenntnis.

Und es steht hier nicht, dass wir Sicherheit verschenken. Kostenlos ist die Nachricht, dass es eine neue Version gibt — nicht die Kennzeichnung, dass ein Release eine Lücke schließt, nicht die Warnung vor einer aktiv ausgenutzten Schwachstelle und nicht der Hinweis, bevor ein Produkt aus dem Support läuft. Dafür wird bezahlt. Fürs Nachlesen nicht: Die Daten stehen für jeden auf der Website, ohne Konto.

Wenn du meinst, dass etwas auf dieser Seite nicht stimmt, hören wir das gern: Im Impressum steht die Adresse, und jede Aussage oben ist so geschrieben, dass du sie ohne uns nachprüfen kannst.