Sicherheitslücken melden
Die Sicherheit unserer Systeme ist uns sehr wichtig. Fällt Ihnen eine Sicherheitslücke in unseren Systemen auf? Helfen Sie uns, indem Sie uns diese Lücke melden. So können wir gemeinsam die Sicherheit und Zuverlässigkeit unserer Systeme verbessern.
Unsere Experten greifen Ihre Meldung sofort auf und Sie erhalten so schnell wie möglich eine Reaktion. Solange die Überprüfung andauert, bitten wir Sie, mit Ihren Erkenntnissen vorsichtig umzugehen.
Welche Sicherheitslücken können Sie uns melden?
Sie können uns zum Beispiel die folgenden Sicherheitslücken melden:
- Remote Code Execution (Ausführung eines entfernten Programmcode): Auftrag, der es einem Angreifer erlaubt, uneingeschränkten Zugang zu einem Netzwerksystem oder Server zu bekommen
- Cross Site Scripting, XSS (webseitenübergreifendes Skripting): das Einfügen von Schadcode auf Websites und in Programmen
- Cross Site Request Forgery, CSRF (Website-übergreifende Anfragenfälschung): der Benutzer wird dazu verleitet, eine Online-Anfrage zuzulassen
- SQL-injection (SQL-Einschleusung): Verändern und Zugänglichmachen von Datenbank-Informationen, die normalerweise für Websitebesucher nicht sichtbar sind
- Sicherheitslücken im Bereich der Verschlüsselung: Daten mit einem Schlüssel oder Code versehen
- Unerlaubter Datenzugriff: das Teilen von Daten ohne Zustimmung
Wie melden Sie uns eine Sicherheitslücke?
Wenn Sie eine Sicherheitslücke gefunden haben, bitten wir Sie, diese nicht weiter zu nutzen und diese Information auch nicht mit anderen zu teilen. Melden Sie die Sicherheitslücke der Sociale Verzekeringsbank (SVB)
Worum bitten wir Sie für die Dauer der Überprüfung?
- Richten Sie keinen Schaden an
- Verursachen Sie keine Unterbrechung unserer Online-Dienstleistungen
- Verzichten Sie auf Social Engineering (wie das Teilen von vertraulichen Daten), um hiermit Zugang zu unseren Systemen zu erhalten
- Machen Sie SVB-Daten oder Kundendaten nicht öffentlich zugänglich
- Bauen Sie keine Backdoor (Hintertür) in ein System ein, auch nicht, um die Sicherheitslücke nachzuweisen
- Bringen Sie keine Änderungen der Daten im System an und löschen Sie keine Daten
- Kopieren Sie niemals mehr Daten als nötig
- Versuchen Sie nicht mehrmals, Zugang zum System zu erhalten
- Teilen Sie den Zugang zu den Systemen nicht mit anderen
- Versuchen Sie nicht mit mehreren Kennwörtern, Zugang zu unseren Systemen zu bekommen (Bruteforce-Angriff)
Wie schützen wir Ihre Daten?
Wir verwenden Ihre personenbezogenen Daten nur für die Prüfung Ihrer Meldung. Wir leiten Ihre Daten nicht ohne Ihre Zustimmung an Dritte weiter. Ihre Daten werden nur dann weitergeleitet, wenn wir gesetzlich dazu verpflichtet sind. Oder wenn wir ein anderes Unternehmen einschalten, um Ihre Meldung genauer zu prüfen. Wir sorgen immer dafür, dass das andere Unternehmen Ihre Daten ebenfalls schützt.
Sicherheitslücken, die Sie uns nicht zu melden brauchen
Die folgenden Sicherheitslücken brauchen Sie uns nicht zu melden:
- alle Meldungen ohne einen deutlichen Bericht mit Nachweis
- Sicherheitslücken die auf Websites von Organisationen gefunden werden, die nicht mehr zur SVB gehören
- unsere Verfahrensweise, die Anwesenheit oder Abwesenheit von Echtheitsmerkmalen von E-Mails zu bestimmen, wie SPF-, DKIM- oder DMARC-Protokolle
- Cross Site Request Forgery (CSRF) auf Standardseiten, nur auf Seiten, auf denen eine Anmeldung erfolgt ist
- Umleitungen von ungesicherten Seiten (HTTP) auf gesicherte Seiten (HTTPS)
- den Verzicht auf die Verwendung von HTTP Strict Transport Security (HSTS), um sich vor Angriffen zu schützen
- Clickjacking: Websitebesucher unbeabsichtigt auf Objekte klicken zu lassen
- X-Frame-Optionen: Der Verzicht auf die Option, Fenster auf Seiten zu laden, die keine Anmeldung erfordern
- eventuell veraltete Versionen eines Servers oder Programms (einer externen Partei) ohne einen Nachweis, dass diese Versionen Sicherheitslücken haben
- Berichte nicht gesicherter SSL-Protokolle oder TLS-Protokolle und anderer falscher Einstellungen
- Distributed Denial of Service (DDoS) Angriffe: Versuche, einen Computer, ein Netzwerk oder eine Dienstleistung für Kunden nicht oder schwieriger erreichbar zu machen
- Spamming, zum Beispiel das Versenden einer großen Anzahl von E-Mails
- Social Engineering, zum Beispiel Personen dazu verleiten, vertrauliche Daten zu erlangen
- Berichte von üblichen Scans, zum Beispiel von Portscannern
Wofür ist diese Meldestelle nicht gedacht?
- die Einreichung von Beschwerden über unsere Dienstleistung oder unsere Produkte
- Fragen oder Beschwerden über die Verfügbarkeit unserer Websites
- die Meldung von Problemen bei unseren Zahlungen
- die Meldung von Betrugsfällen oder der Vermutung eines Betrugs
- die Meldung von gefälschten E-Mails oder Phishing-Mails
Wie hoch ist Ihre Belohnung?
Bitte melden Sie uns gefundene Sicherheitslücken. Dafür können Sie eventuell eine Belohnung bekommen. Der Betrag der Belohnung hängt ab von:
- dem Ernst des Problems
- der Art der betroffenen Website: Handelt es sich um die informative Standardwebsite oder um die Online-SVB-Website?
- der Qualität Ihres Berichts
Wenn der Bericht für unsere Zuverlässigkeit sehr wichtig ist, fällt die Belohnung höher aus. Wenn sich herausstellt, dass Missbrauch erfolgt ist, wird keine Belohnung gezahlt.