Schwachstelle melden (CVD)

In unserer zunehmend digitalen Welt nutzen wir eine Vielzahl an Diensten und Anwendungen, die auf komplexen technischen Strukturen basieren. Bleiben Schwachstellen in Unternehmen oder Behörden unentdeckt, kann das schwerwiegende Folgen haben. Denn potenzielle Angreifer könnten dadurch Zugang zu wichtigen oder sensiblen Daten erhalten. Um solche Schwachstellen möglichst schnell schließen zu können, gibt es die Coordinated Vulnerability Disclosure Policy (CVD). Ihr Ziel ist es, entdeckte Sicherheitslücken vertraulich an Anbieterinnen und Anbieter zu melden, bevor sie öffentlich gemacht werden. So können Risiken minimiert und wertvolle Zeit gewonnen werden, um eine Lücke sicher zu beheben. Das BMI hat gemeinsam mit anderen Stakeholdern eine nationale CVD-Policy veröffentlicht.

Nationale CVD Policy

Wie melde ich eine Schwachstelle?

Für Meldungen nach dem Cyber Resilience Act (CRA) benutzen Sie bitte die dafür vorgesehene "Single Reporting Plattform" (SRP) der ENISA, die mit 11. September 2026 in Betrieb gehen wird (siehe dazu auch unsere Information zu NISG 2026/CRA).

Sollten Sie eine andere Schwachstelle an uns melden wollen oder falls Sie Unterstützung bei der Meldung einer Schwachstelle an einen Hardware- oder Softwarehersteller benötigen, kontaktieren Sie uns bitte unter team@cert.at oder +43 1 5056416 78.

Ihre Meldung sollte möglichst enthalten:

  • eine Beschreibung der Schwachstelle und der betroffenen Systeme oder Produkte
  • die zur Nachvollziehbarkeit notwendigen Informationen (z. B. Schritte zur Reproduktion)
  • eine Einschätzung der Kritikalität, sofern möglich

 Sie können eine Schwachstelle auf Wunsch auch anonym an uns melden. Wir wahren die Anonymität der meldenden Person; bitte beachten Sie jedoch, dass eine vollständige Bearbeitung der Meldung dadurch eingeschränkt sein kann, wenn keine Kontaktmöglichkeit angegeben wird. Bei hochsensiblen Schwachstellen empfehlen wir eine Ende-zu-Ende-Verschlüsselung (PGP/S-MIME).

Wir nehmen bei Bedarf eine vermittelnde Rolle zwischen Ihnen und der oder dem betroffenen Anbieter ein, unterstützen bei der Abstimmung von Zeitplänen für die Offenlegung und behandeln eingehende Meldungen vertraulich.

Weiterführende Informationen zum Ablauf des CVD-Prozesses finden Sie in der Nationalen CVD-Policy.