Sicherheitslücken melden

Diese Seite ist der Meldeweg für Schwachstellen in Truffle und auf dieser Website — im Sinne der EU-Verordnung über Cyberresilienz. Sie sagt, wohin eine Meldung geht, was hilft, und was Sie danach von uns erwarten können.

Was in einer Meldung hilft

• Was passiert, und was Sie stattdessen erwartet hätten
• Die Schritte, mit denen es sich wiederholen lässt
• Truffle-Version und macOS-Version
• Ob Sie mit Apple Music, mit lokalen Ordnern oder mit einer rekordbox-Sammlung gearbeitet haben

Ein Nachweis, dass sich der Fehler ausnutzen lässt, ist willkommen, aber keine Voraussetzung. Lieber eine Meldung mit Lücken als keine.

Was Sie erwarten können

• Empfangsbestätigung innerhalb von fünf Werktagen.
• Erste Einschätzung innerhalb von zehn Werktagen — ob es reproduzierbar ist und wie schwer es wiegt.
• Korrigierte Fassung nach Schwere; bei aktiv ausnutzbaren Fehlern so schnell, wie ein Bau und eine Beglaubigung durch Apple dauern.
• Rückmeldung in jedem Fall — auch wenn wir den Fund nicht als Schwachstelle einstufen, dann mit Begründung.

Wer eine Schwachstelle meldet und uns Zeit zur Behebung lässt, wird auf Wunsch in den Versionshinweisen genannt. Wer lieber ungenannt bleibt, bleibt ungenannt.

Wie eine Korrektur zu Ihnen kommt

Eine korrigierte, signierte und von Apple beglaubigte Fassung wird auf download.truffle-app.com bereitgestellt; wer gemeldet hat, wird benachrichtigt. Truffle erfährt auf zwei Wegen davon: Es prüft beim Start und einmal täglich über das Aktualisierungs-Modul Sparkle, ob eine neue Fassung vorliegt, und der Lizenzserver nennt freigeschalteten Installationen bei jeder Bestätigung die aktuelle Fassung. In beiden Fällen zeigt Truffle die Aktualisierung an — heruntergeladen und installiert wird sie erst, wenn Sie das bestätigen. Bis dahin läuft die alte Fassung weiter. Bei einem aktiv ausgenutzten Fehler kann der Lizenzserver ältere Fassungen zusätzlich als Mindestfassung ablösen; freigeschaltete Installationen sehen den Hinweis dann mindestens 30 Tage vorher (siehe Lizenzvertrag, Abschnitt 4).

Unterstützungszeitraum

Der Unterstützungszeitraum im Sinne der EU-Verordnung über Cyberresilienz beträgt fünf Jahre ab dem Tag, an dem eine Fassung zuletzt zum Herunterladen angeboten wurde, und gilt ab Fassung 1.0. In diesem Zeitraum werden gemeldete Schwachstellen nach den oben genannten Fristen bearbeitet und behobene Fassungen zum Herunterladen bereitgestellt. Truffle wird als eine Linie gepflegt: Sicherheitskorrekturen gibt es für die jeweils aktuelle Fassung, ältere Stände bekommen keine Rückportierung — die aktuelle Fassung läuft auf denselben Systemen wie die, die sie ablöst.

Was Truffle tut — und was nicht

Das gehört hierher, weil es die Angriffsfläche beschreibt:

• Kein Konto, aber ein Lizenzserver. Es gibt nichts, wo sich jemand anmelden könnte. Freigeschaltete Installationen sprechen regelmäßig mit lizenz.truffle-app.com (Freischalten, Bestätigung etwa alle 30 Minuten, Gerätegrenze); übertragen werden der Hash des Lizenzschlüssels, ein von Truffle erzeugter Geräteschlüssel, der Rechnername, Fassung, Bau, Architektur, der Hash des laufenden Programmcodes und ein Integritätsstatus — nichts über Ihre Musik. Vollständig steht das in der Datenschutzerklärung, Abschnitt 4. Der Server ist Bestandteil des Produkts und dieser Richtlinie — Meldungen zu ihm nehmen wir über denselben Weg entgegen. Die Demo-Fassung nimmt keinen Kontakt zum Lizenzserver auf.
• Abgefragt werden öffentliche Kataloge und Apples Klang-Erkennung — ohne Schlüssel, ohne Anmeldung. Übermittelt wird, wonach gesucht wird: Titel, Interpret, Album.
• Geschrieben wird ausschließlich in Ihre Mediathek — in Music.app über AppleScript, in lokale Dateien über TagLib. Jede Änderung geht durch ein Sicherheitsnetz, aus dem sie sich zurückholen lässt.
• Truffle führt keinen Code aus, den Sie nicht bestätigt haben. Die Aktualisierungsprüfung lädt nur eine kleine, signierte Beschreibungsdatei; eine Aktualisierung selbst wird erst nach Ihrer Bestätigung geladen, ist von uns signiert und von Apple beglaubigt und wird vor der Installation zweifach geprüft. Bei einem Ausfall des Lizenzservers holt Truffle außerdem ein von uns signiertes Notfalldokument (Kulanzverlängerung, Zertifikats-Pins) — nie Code.
• Die App läuft nicht in der Sandbox, weil sie auf Ordner Ihrer Wahl und auf Music.app zugreifen muss. Beides fragt macOS bei Ihnen ab.

Eine Stückliste der enthaltenen Fremdbestandteile (Software Bill of Materials) liegt vor und wird auf Anfrage an dieselbe Adresse herausgegeben.

Stand: 29. August 2026