Coordinated Vulnerability Disclosure (CVD) Policy
Die Sicherheit der IT-Systeme des Bundesministeriums für Inneres (BMI) sowie der Direktion Staatsschutz und Nachrichtendienst (DSN) hat für uns höchste Priorität. Wir wissen die Arbeit unabhängiger Security-Researcherinnen und -Researcher sowie der Sicherheits-Community sehr zu schätzen. Wenn Sie eine Schwachstelle in einem unserer Systeme festgestellt haben, bitten wir Sie, diese im Rahmen der Coordinated Vulnerability Disclosure (CVD) vertraulich an uns zu melden.
Safe Harbor (Rechtssicherheit)
Wir betrachten Security-Research, der in gutem Glauben und in Übereinstimmung mit dieser Richtlinie (insbesondere den Vorgaben zum Scope) durchgeführt wird, als autorisiert. Das Bundesministerium für Inneres wird gegen ethische Hacker, die sich strikt an diese Vereinbarungen halten, keine rechtlichen Schritte (Zivil- oder Strafrecht) einleiten und keine Anzeige erstatten.
Bug-Bounty-Disclaimer
Wir weisen ausdrücklich darauf hin, dass das BMI derzeit kein kommerzielles Bug-Bounty-Programm unterhält. Es besteht kein Rechtsanspruch auf finanzielle Entschädigungen, Belohnungen oder Aufwandsentschädigungen für die Meldung von Schwachstellen. Wir bedanken uns jedoch für Ihren essenziellen Beitrag zur Cybersicherheit der Republik Österreich.
Scope: Geltungsbereich und Erlaubte Handlungen
Um die Stabilität und Sicherheit unserer laufenden Systeme zu gewährleisten, ist der Untersuchungsrahmen klar begrenzt.
In Scope (Erlaubte Ziele)
Folgende Domains und Systeme dürfen auf Schwachstellen untersucht werden:
*.bak.gv.at*.bfa.gv.at*.bmi.gv.at*.bundeskriminalamt.at*.dsn.gv.at*.polizei.gv.at- weitere, dem Bundesministerium für Inneres (BMI) eindeutig zugeordnete und öffentlich erreichbare Web-Infrastrukturen.
Out of Scope (Strikt verbotene Handlungen und Ziele)
Jegliche Tests außerhalb der In-Scope-Systeme sind untersagt. Strikt verboten sind insbesondere folgende Angriffsarten:
- Denial of Service (DoS / DDoS): Jegliche Angriffe, die die Verfügbarkeit unserer Dienste beeinträchtigen.
- Social Engineering & Phishing: Versuche, Mitarbeiterinnen und Mitarbeiter oder externe Dienstleister des BMI zu manipulieren.
- Physische Angriffe: Zutrittsversuche zu Gebäuden, Rechenzentren oder physischer Infrastruktur.
- Destruktive Handlungen: Löschen, Verändern oder Verschlüsseln von Daten. Greifen Sie nur auf jene Daten zu, die für den Proof of Concept (PoC) zwingend erforderlich sind (Exfiltration ist untersagt).
- Drittanbieter-Systeme: Systeme von externen Dienstleistern oder Partnerbehörden, die nicht unter unserer direkten Kontrolle stehen.
Reporting-Format
Damit unser CERT die gemeldete Schwachstelle effizient analysieren, reproduzieren und beheben kann, bitten wir um eine klare und strukturierte Dokumentation in Ihrem Bericht. Ein vollständiger Report sollte folgende Elemente enthalten:
| Element |
Beschreibung |
| Art der Schwachstelle |
Genaue Bezeichnung (z.B. Cross-Site Scripting (XSS), SQL-Injection, Insecure Direct Object Reference). |
| Betroffenes System |
Die genaue URL, IP-Adresse oder Endpunkt, wo die Schwachstelle gefunden wurde. |
| Reproduktionsschritte |
Eine detaillierte, Schritt-für-Schritt-Anleitung, wie die Schwachstelle ausgelöst werden kann (inklusive benötigter Parameter oder Payloads). |
| Beweismaterial |
Proof of Concept (PoC) Code, Screenshots, Videoaufzeichnungen oder relevante Log-Auszüge (bitte sensible Daten maskieren). |
| Risikoeinschätzung |
(Optional) Ihre Einschätzung der Auswirkungen, falls die Schwachstelle ausgenutzt wird. |
Kontakt und Übermittlung
Bitte senden Sie Ihren vollständigen Report (vorzugsweise in Deutsch oder Englisch) an unser zuständiges Computer Emergency Response Team (CERT):
Verschlüsselte Kommunikation
Für sensible Schwachstellenberichte empfehlen wir dringend eine Ende-zu-Ende-verschlüsselte Übermittlung. Verwenden Sie ausschließlich offiziell veröffentlichte und dem jeweiligen Empfänger zugeordnete Schlüssel.
Hinweis zum CVD-Postfach
Für die auf dieser Seite angeführte Adresse cert@dsn.gv.at konnte in der öffentlich verfügbaren DSN-Schlüsselliste mit Stand 11. August 2026 kein eigener PGP- oder S/MIME-Schlüssel verifiziert werden. Verwenden Sie daher keinen nicht verifizierten oder aus Drittquellen bezogenen Schlüssel. Falls dieses Postfach für verschlüsselte CVD-Meldungen vorgesehen ist, sollte der zugehörige öffentliche Schlüssel ausdrücklich auf einer offiziellen BMI-/DSN-Seite veröffentlicht werden.
Cyber Security Center der DSN
Die DSN veröffentlicht für das Postfach csc@dsn.gv.at (Cyber Security Center) sowohl einen PGP- als auch einen S/MIME-Schlüssel. Für besonders sensible technische Informationen kann dieses offiziell dokumentierte Postfach verwendet werden, sofern es für den konkreten Meldezweck geeignet ist.
BMI SecureMail
Das Bundesministerium für Inneres unterstützt verschlüsselte E-Mail-Kommunikation für Empfänger unter @bmi.gv.at sowie @polizei.gv.at. Die öffentlichen Schlüssel bzw. Zertifikate werden empfängerspezifisch über das BMI-SecureMail-Verzeichnis bereitgestellt.
Schlüssel/Zertifikate suchen: https://securemail.bmi.gv.at/web.app?op=search-keys
Alternative: BMI Cryptshare
Als Alternative zur E-Mail-Verschlüsselung stellt das BMI Cryptshare für die verschlüsselte Übertragung von Nachrichten und Dateien bereit. Dies ist insbesondere dann sinnvoll, wenn kein geeigneter Empfängerschlüssel vorliegt oder größere bzw. sensible Anhänge übermittelt werden sollen.
BMI Cryptshare: https://cryptshare.bmi.gv.at/
Schlüsselprüfung
Prüfen Sie vor der Übermittlung, ob E-Mail-Adresse, Schlüsselinhaber und Fingerprint zum vorgesehenen Empfänger passen. Beziehen Sie Schlüssel ausschließlich aus offiziellen BMI-/DSN-Quellen. Ein einzelner, ministeriumsweiter „BMI-Master-PGP-Key“ ist für diese Kommunikation nicht vorgesehen; maßgeblich ist der jeweilige Empfängerschlüssel.
Offizielle Referenzen: BMI E-Mail-Richtlinien, BMI SecureMail, DSN Kontakt und Bundesamt für Cybersicherheit (BCS).
Karriere bei der DSN / im BMI
Sie haben eine Leidenschaft für IT-Sicherheit und möchten einen aktiven Beitrag zur Sicherheit Österreichs leisten? Wir sind laufend auf der Suche nach engagierten Talenten.
Informieren Sie sich über unsere aktuellen Stellenangebote:
Letzte Aktualisierung: 6. Oktober 2026