S-Communication Services
By S-Communication Services GmbH Bug bounty on Self-hosted s-communication.de
- Top reward
- Not published
- Top severity paid
- Not published
- Assets in scope
- 4
- Public CVEs
- 0
- Last change
- No changes yet
At a glance
What to know before you start testing.
- Pays cash
- Amounts are not published; ask before you invest time.
- Report by email
- [email protected]
- Payment
- Proof of identity needed to get paid.
- Publish after a fix
- Coordinate the timing with the company.
Rewards
What the company's own policy page says it pays.
The policy page has no reward table. Here is what it says, in its own words.
- Pays cash
-
Yes
Die Belohnung, das sogenannte "Bounty", variiert auf der Grundlage der Schwere und der Art des aufgedeckten Fehlers.
Summarised with AI from the company's policy, read 12 Nov 2026, and checked word for word against it. Read the original
Scope
4 assets you may test, 1 excluded.
Domains 3
- s-communication.de
- sparkasse.de
- sparkassen-finanzportal.de
Products and areas 1
- alle weiteren Domains und Webseiten bei denen die S-Communication Services im Impressum als Herausgeber gekennzeichnet ist und bei denen sich in der security.txt ein Verweis auf diese Webseite findet.
Out of scope (1)
- nicht in der obigen Liste enthalte digitale Services
Rules
What the policy asks of you, and the bug types it won't reward, quoted from S-Communication Services's policy.
While testing
-
Beim Suchen nach Schwachstellen dürfen Verfügbarkeit, Vertraulichkeit und Integrität der Daten und Prozesse der S-Communication Services nicht beeinträchtigt werden.
-
Bitte führen Sie daher keine Phishing-Mail-, DDoS-, Brute-Force-Tests o. ä. durch. Ändern Sie keine Daten.
-
Es dürfen keine Backdoors o.ä. eingebaut werden, die dauerhaften Zugriff ermöglichen.
-
Gefundene Schwachstellen werden erst veröffentlicht, wenn diese von der S-Communication Services geschlossen wurden.
-
Nur die erstmalige Meldung einer Schwachstelle kommt für eine Bug Bounty-Auszahlung in Frage.
-
Aktuelle und ehemalige Mitarbeiter der S-Communication Services sowie Dienstleister und Zulieferer können nicht am BugBounty-Programm teilnehmen.
Not accepted
-
Sämtliche Sicherheitslücken, ohne eine detaillierte Beschreibung der Angriffsmethodik oder einem Nachweis der Ausnutzbarkeit
-
Schwachstellen mit einem CVSS-Score kleiner als 7
-
Schwachstellen, welche nur Nutzer mit veralteten Browsern und reduzierten Sicherheitseinstellungen betreffen
-
Unsere Policies bzgl. SPF/DKIM/DMARC Records
-
HTML-Character-Set-Fehlermeldungen wie bspw. “does not specify charset” oder “unrecognized charset”
-
Das Fehlen von Secure/HTTP Only Flags bei nicht sensitiven Cookies
-
Das Fehlen von HTTP Strict Transport Security (HSTS)
-
Clickjacking oder das Fehlen von X-Frame-Options
-
Cachebare HTTPS-Response-Pages auf unkritischen Seiten
-
Einsatz von unsicheren SSL/TLS Ciphers
-
Nicht eingesetzte Best-Practices in Headern
-
Bekannte CVEs in Anwendungen von Drittanbietern
-
Beschwerden über Services oder Dienste
-
Fragen und Beschwerden bzgl. der Erreichbarkeit unserer Webservices
-
Phishing-Mails oder Betrugsfälle
Summarised with AI from the company's policy, read 12 Nov 2026, and checked word for word against it. Read the original
Changes
Tracked since 11 Nov 2026. Last checked 5 hours ago.
No changes yet. When the rewards or scope move, you will see it here and in the RSS feed.
Public CVEs
Published vulnerabilities in this vendor's products, from the NVD.
No CVEs matched yet. We match NVD records by vendor name, so products sold under another name can be missing.