Sicherheitslücken melden
Diese Seite ist der Meldeweg für Schwachstellen in Truffle und auf dieser Website — im Sinne der EU-Verordnung über Cyberresilienz. Sie sagt, wohin eine Meldung geht, was hilft, und was Sie danach von uns erwarten können.
Kontakt: security@truffle-app.com
Bitte keine öffentlichen Fehlerberichte für sicherheitsrelevante Funde. Ein öffentlich beschriebener Fehler ist ab dem Moment der Veröffentlichung für jeden nutzbar — auch für die, die ihn nicht melden wollten.
Was in einer Meldung hilft
- Was passiert, und was Sie stattdessen erwartet hätten
- Die Schritte, mit denen es sich wiederholen lässt
- Truffle-Version und macOS-Version
- Ob Sie mit Apple Music, mit lokalen Ordnern oder mit der Sammlung eines DJ-Programms (rekordbox, Serato, Traktor) gearbeitet haben
Ein Nachweis, dass sich der Fehler ausnutzen lässt, ist willkommen, aber keine Voraussetzung. Lieber eine Meldung mit Lücken als keine.
Was Sie erwarten können
- Empfangsbestätigung innerhalb von fünf Werktagen.
- Erste Einschätzung innerhalb von zehn Werktagen — ob es reproduzierbar ist und wie schwer es wiegt.
- Korrigierte Fassung nach Schwere; bei aktiv ausnutzbaren Fehlern so schnell, wie ein Bau und die Prüfung durch Apple (App Review) dauern.
- Rückmeldung in jedem Fall — auch wenn wir den Fund nicht als Schwachstelle einstufen, dann mit Begründung.
Wer eine Schwachstelle meldet und uns Zeit zur Behebung lässt, wird auf Wunsch in den Versionshinweisen genannt. Wer lieber ungenannt bleibt, bleibt ungenannt.
Wie eine Korrektur zu Ihnen kommt
Eine korrigierte Fassung wird im Mac App Store veröffentlicht; wer gemeldet hat, wird benachrichtigt. Ihr Mac installiert sie automatisch oder nach Ihrer Bestätigung — je nach Ihren Einstellungen für App-Aktualisierungen in macOS. Bis dahin läuft die alte Fassung weiter.
Unterstützungszeitraum
Der Unterstützungszeitraum im Sinne der EU-Verordnung über Cyberresilienz beträgt fünf Jahre ab dem Tag, an dem eine Fassung zuletzt zum Herunterladen angeboten wurde, und gilt ab der ersten im Mac App Store veröffentlichten Fassung. In diesem Zeitraum werden gemeldete Schwachstellen nach den oben genannten Fristen bearbeitet und behobene Fassungen zum Herunterladen bereitgestellt. Truffle wird als eine Linie gepflegt: Sicherheitskorrekturen gibt es für die jeweils aktuelle Fassung, ältere Stände bekommen keine Rückportierung — die aktuelle Fassung läuft auf denselben Systemen wie die, die sie ablöst.
Was Truffle tut — und was nicht
Das gehört hierher, weil es die Angriffsfläche beschreibt:
- Kein Konto, kein Server. Es gibt nichts, wo sich jemand anmelden könnte, und keinen Server von uns: Kauf, Kaufbestätigung und Aktualisierungen laufen über Apples Mac App Store. Truffle spricht mit uns an keiner Stelle.
- Abgefragt werden öffentliche Kataloge und Apples Klang-Erkennung — ohne Schlüssel, ohne Anmeldung. Übermittelt wird, wonach gesucht wird: Titel, Interpret, Album.
- Geschrieben wird ausschließlich in Ihre Mediathek — in Music.app über AppleScript, in lokale Dateien über TagLib. Jede Änderung geht durch ein Sicherheitsnetz, aus dem sie sich zurückholen lässt.
- Truffle führt keinen Code aus, den Sie nicht bestätigt haben. Aktualisierungen kommen ausschließlich über den Mac App Store, von Apple signiert und geprüft; Truffle selbst lädt nichts nach.
- Die App läuft in der App Sandbox. Zugriff auf Ordner Ihrer Wahl und auf Music.app fragt macOS bei Ihnen ab; ohne Ihre Freigabe kommt Truffle an keine Datei.
Eine Stückliste der enthaltenen Fremdbestandteile (Software Bill of Materials) liegt vor und wird auf Anfrage an dieselbe Adresse herausgegeben.
Stand: 15. September 2026