Verantwortungsvolle Offenlegung (Responsible Disclosure)

Bei der Oesterreichischen Nationalbank schätzen wir die Unterstützung von IT-Sicherheitsforscherinnen und -forschern sowie von Mitgliedern der Cybersicherheits-Communitys, die uns helfen, unsere hohen IT-Sicherheitsstandards aufrechtzuerhalten.

Wenn Sie eine IT-Sicherheitslücke im Zusammenhang mit einer unserer Websites entdecken, informieren Sie uns bitte umgehend, bevor Sie die Schwachstelle gegenüber Dritten offenlegen, damit wir die erforderlichen Maßnahmen ergreifen können. Bitte halten Sie alle Informationen zu der entdeckten Schwachstelle für einen Zeitraum von mindestens 90 Tagen gegenüber sämtlichen Dritten geheim.

Geltungsbereich:

Andere Websites sowie Subdomains der oben genannten Seiten fallen derzeit nicht in diesen Geltungsbereich.

Wie benachrichtigen Sie uns?
Senden Sie Ihre Meldung so bald wie möglich per E-Mail an disclosure@oenb.at. Bitte verwenden Sie den bereitgestellten PGP-Schlüssel, um die Informationen zu schützen.
Bitte geben Sie an:

  • Ihre Kontaktdaten (Name, E-Mail-Adresse und PGP-Schlüssel);
  • die Art der festgestellten Schwachstelle;
  • den betroffenen Dienst / das betroffene Gerät / die betroffene Anwendung;
  • eine detaillierte Beschreibung des Problems;
  • die IP-Adresse(n), von der/denen aus die Schwachstelle festgestellt wurde, samt Datum und Uhrzeit der Entdeckung;
  • ein komprimiertes Archiv (ZIP) mit Dateien zur Reproduktion des Fehlers (z. B. Screenshots, PoC, Quellcode, Skripte, PCAP-Traces, Logs).

Verantwortungsvolles Vorgehen – keine Erlaubnis zum Angriff
Bitte gehen Sie verantwortungsvoll mit Ihrer Entdeckung um. Ergreifen Sie keine Maßnahmen, die über das zur Identifizierung und Überprüfung des Problems erforderliche Maß hinausgehen. Nutzen Sie die Schwachstelle nicht zu Ihrem eigenen Vorteil und speichern Sie keine vertraulichen Daten, die infolge des Problems erlangt wurden.

Diese Richtlinie stellt keine Erlaubnis zum Angriff („Permission to Attack") dar. Sie berechtigt nicht zu aktiven Sicherheits- oder Penetrationstests, Angriffen oder sonstigen Eingriffen gegen unsere Systeme, Websites oder Infrastruktur. Insbesondere sind Handlungen, die die Verfügbarkeit, Integrität oder Vertraulichkeit unserer Dienste beeinträchtigen könnten, wie etwa Denial-of-Service-Angriffe, das automatisierte Ausnutzen von Schwachstellen oder der Zugriff auf, die Veränderung bzw. das Löschen von Daten, nicht gestattet. Die Richtlinie begründet keine rechtliche Zusicherung, von einer straf- oder zivilrechtlichen Verfolgung abzusehen, und entbindet Sie nicht von der Einhaltung der geltenden Gesetze.

Schwachstellen, die wir berücksichtigen
Injection- und Deserialisierungs-Schwachstellen (SQL-/NoSQL-/LDAP-Injection, Command Injection, Objekt-Deserialisierung); fehlerhafte Authentifizierung und Zugriffskontrolle; Offenlegung sensibler Daten; Cross-Site-Scripting; Cross-Site-Request-Forgery; XML External Entities (XXE); Server-Side-Request-Forgery (SSRF); Weiterleitungs-Schwachstellen; unzureichend geschützte APIs; bekannte und Zero-Day-Schwachstellen.

Schwachstellen, die wir nicht berücksichtigen
Sofern sie nicht zu einer tatsächlichen Ausnutzung führen: schwache TLS-Konfigurationen; Nichteinhaltung von Best Practices (z. B. SPF/DKIM/DMARC, Content Security Policy, TLS-Fehlkonfigurationen); Ausgaben gängiger automatisierter Tools.

Wie reagieren wir?
Wir bestätigen den Eingang Ihrer Meldung innerhalb von zwei Geschäftstagen und senden innerhalb von fünf Geschäftstagen nach der Eingangsbestätigung unsere Einschätzung samt voraussichtlichem Behebungsdatum. Wir behandeln Ihre Meldung vertraulich und geben Ihre Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind. Ein Belohnungsprogramm besteht derzeit nicht.