RHEXA-Lizenzierung

RHEXA ist source-available: Der Quellcode ist einsehbar, ausführbar, veränderbar und weitergebbar. Ob das kostenlos ist oder eine Lizenz braucht, hängt davon ab, wer RHEXA wofür nutzt.

Kurz: privat, in Lehre und Forschung und für gemeinnützige Zwecke kostenlos. Unternehmen, Behörden und bezahlte Arbeit brauchen nach 30 Tagen Evaluierung eine kommerzielle Lizenz.

1. Welche Lizenz gilt für welchen Teil

Die MIT-, Apache- und GPL-Anteile bleiben für alle frei; dieses Dokument schränkt ihre Rechte nicht ein. Die kommerzielle Lizenz betrifft nur den Code, den Martin Janda darüber hinaus geschrieben hat. Gesetzliche Rechte, etwa nach §§ 69d, 69e UrhG, bleiben unberührt. Fassungen des Moduls RhexaBridge, die vor Engine-Build 20261021 mit MIT-Kennzeichnung veröffentlicht wurden, bleiben unter MIT.

2. Kostenlose Nutzung (kein Schlüssel nötig)

Unter der RHEXA Noncommercial License 1.0.0 dürfen Sie RHEXA für nicht-kommerzielle Zwecke kostenlos nutzen, insbesondere:

• privat: Hobbyprojekte, Selbststudium, CTF-Wettbewerbe (auch mit Preisgeld), private Forschung im Interesse des öffentlichen Wissens;
• Lehre und Forschung: Schüler, Studierende, Lehrende; Schulen, Hochschulen und öffentliche Forschungseinrichtungen für Lehre, Studium und Forschung, auch drittmittelfinanziert;
• gemeinnützige und Umweltorganisationen für ihre gemeinnützige Tätigkeit.

Sie dürfen RHEXA ändern und unverändert oder geändert unter denselben Bedingungen weitergeben. Geben Sie dabei den Lizenztext oder seine URL und die Required Notice:-Zeile mit.

3. Lizenzpflichtige Nutzung

Eine kommerzielle Lizenz brauchen Sie, sobald RHEXA für oder im Auftrag eines Unternehmens, einer öffentlichen Stelle oder für bezahlte Arbeit genutzt wird. Dazu gehören:

• Unternehmen und sonstige Organisationen mit wirtschaftlicher Zielsetzung, jeder Größe und in jedem Land, auch bei interner Nutzung (Security-Teams, Red/Blue Teams, Produktsicherheit, QA);
• Freiberufler, Berater, Penetrationstester, Incident-Responder und Auditoren im Kundenauftrag, auch als Einzelunternehmer;
• Schwachstellenforschung für Bug-Bounties oder andere Prämien;
• Behörden und sonstige öffentliche Stellen: Ministerien, Ämter, Gerichte, Polizei, Militär, Nachrichtendienste, öffentliche CERTs und von ihnen beherrschte Unternehmen. Hochschulen und öffentliche Forschungseinrichtungen sind für Lehre und Forschung ausgenommen;
• Dienstleister, die RHEXA im Auftrag dieser Stellen nutzen;
• entgeltliches Anbieten von RHEXA oder eines im Wesentlichen darauf beruhenden Dienstes.

Im Zweifel schreiben Sie an martin@janda.io. Die Antwort ist kostenlos und unverbindlich.

4. 30-Tage-Evaluierung

Unternehmen und öffentliche Stellen dürfen RHEXA nach der PolyForm Free Trial License 1.0.0 weniger als 32 aufeinanderfolgende Kalendertage evaluieren; wir kommunizieren das als 30 Tage. In dieser Zeit dürfen Sie RHEXA nutzen und ändern, um zu entscheiden, ob es passt, aber nicht weitergeben. Danach ist ein Lizenzschlüssel zu erwerben oder die Nutzung zu beenden.

Eine Registrierung ist nicht nötig. RHEXA zeigt beim Start einen kurzen Lizenzhinweis. Ohne Schlüssel arbeitet es unverändert weiter und überträgt keine Daten. Dass RHEXA ohne Schlüssel funktioniert, bedeutet nicht, dass kommerzielle Nutzung ohne Lizenz gestattet ist.

5. Leistungsumfang der kommerziellen Lizenz

• Signierter Offline-Lizenzschlüssel (Ed25519) mit Lizenznehmer, Plan, Nutzerzahl und Laufzeit. Keine Online-Aktivierung, keine Telemetrie.
• Recht zur Nutzung von RHEXA einschließlich des Engine-Moduls RhexaBridge für die geschäftlichen Zwecke des Lizenznehmers und für Leistungen an dessen Kunden, für die Laufzeit der Lizenz.
• Alle Updates, die in der Laufzeit erscheinen.
• Sicherheitsupdates je Hauptversion mindestens fünf Jahre ab deren Erstveröffentlichung. Das ist der Support-Zeitraum nach dem EU Cyber Resilience Act; das Enddatum steht je Version auf der Lizenzseite (siehe Support-Zeiträume).
• E-Mail-Support nach bestem Bemühen (Ziel: Reaktion binnen 2 Werktagen).
• Software-Stückliste (SBOM, CycloneDX) je Release auf Anfrage.
• Rechnung mit korrekter Umsatzsteuerbehandlung (EU/Drittland).

Lizenzen werden nur an Unternehmer und öffentliche Stellen verkauft, nicht an Verbraucher.

Preise (netto, ggf. zzgl. USt; verbindlich ist das Angebot):

Mehrjahresverträge auf Anfrage.

Support-Zeiträume

Bisher ist keine Hauptversion veröffentlicht. Das Enddatum der Sicherheitsupdates wird hier mit der ersten Veröffentlichung je Hauptversion eingetragen.

6. Lizenz anfragen

E-Mail an martin@janda.io mit:

1. Name und Anschrift des Lizenznehmers (Organisation, Land);
2. USt-IdNr. (EU) bzw. Steuer- oder Registernummer;
3. Plan und Nutzerzahl;
4. gewünschter Beginn und Laufzeit (12, 24 oder 36 Monate);
5. technischer Ansprechpartner für den Schlüssel.

Sie erhalten Angebot und Lizenzvertrag. Nach Zahlung kommt der Schlüssel per E-Mail; Installation mit rhexa license --install <datei>. Vor jedem Verkauf prüfen wir Sanktionslisten. An Personen, die EU- oder UN-Sanktionen unterliegen, können wir nicht lizenzieren.

7. Verantwortungsvolle Nutzung

Alle Lizenzen setzen rechtmäßige Nutzung voraus. Analysieren Sie nur Software, zu deren Untersuchung Sie berechtigt sind. Umgehen Sie keine technischen Schutzmaßnahmen und nutzen Sie RHEXA nicht für unbefugte Zugriffe. Siehe DISCLAIMER.md.

8. Beiträge

RHEXA nimmt derzeit keine externen Code-Beiträge an. Fehlerberichte, Vorschläge und Dokumentationshinweise sind willkommen. Beiträge werden später eine Beitragsvereinbarung (CLA) voraussetzen, damit das doppelte Lizenzmodell möglich bleibt.

9. Kontakt und rechtliche Hinweise

Martin Janda · Am Weißen Berg 5, 61476 Kronberg (Taunus) · Deutschland · martin@janda.io · Impressum · Datenschutz · Sicherheit: siehe SECURITY.md

RHEXA ist ein unabhängiges Projekt. Es steht in keiner Verbindung zur National Security Agency, zum Ghidra-Projekt oder zu morluto (REA) und wird von ihnen weder unterstützt noch empfohlen. „Ghidra“ wird nur zur Beschreibung der Herkunft des Engine-Codes verwendet.