Sie haben eine E-Mail von uns erhalten

Wir haben ein Sicherheitsproblem in einem System gefunden, das auf Ihre Organisation registriert ist, und haben Sie darüber informiert. Auf dieser Seite lesen Sie, wer wir sind, wie Sie prüfen, ob die Nachricht echt ist, und was Sie jetzt tun können.

Wir bitten Sie niemals um Zahlungen, Zugangsdaten oder Zugriff auf Ihre Systeme. Wenn eine Nachricht, die angeblich von uns stammt, danach fragt, ist sie nicht von uns.

Wie Sie prüfen, ob die E-Mail echt ist

Unsere Meldungen kommen von einer Adresse, die auf @csirt.global endet. Das kann inquiries@csirt.global sein, eine Falladresse wie CG-2024-00001@csirt.global oder die persönliche CSIRT.global-Adresse der Person, die den Fall bearbeitet.

Prüfen Sie die Absenderdomain genau. Achten Sie auf ähnlich aussehende Schreibweisen wie csirt-global.com oder cslrt.global. Lautet die Domain nicht exakt csirt.global, behandeln Sie die Nachricht als verdächtig.

Jeden Fall, den wir eröffnen, veröffentlichen wir in unserem Fallregister, mit Datum, Schwachstelle und beteiligten Forschenden. Nennt unsere E-Mail eine Fallnummer, können Sie sie dort nachschlagen.

Sie können sich auch direkt an uns wenden, über eine Adresse, die Sie hier gefunden haben, und nicht über eine aus der E-Mail: inquiries@csirt.global.

Was wir getan haben

Wir durchsuchen das öffentliche Internet nach Systemen, die von bekannten Schwachstellen betroffen sind, und nach Zugangsdaten, die an öffentlich erreichbaren Orten offenliegen. Finden wir etwas, ermitteln wir die Eigentümer und nehmen Kontakt auf.

Wir haben nicht auf Ihre Daten zugegriffen, die Schwachstelle nicht ausgenutzt und nichts an Ihren Systemen verändert. Wo wir einen Fund bestätigen mussten, haben wir das mit möglichst wenig Interaktion und ohne Angriffscode getan. Unser Verhaltenskodex beschreibt die Grenzen, in denen wir arbeiten, und wir sind daran gebunden.

Wir tun das, weil ungemeldete Schwachstellen früher oder später doch gefunden werden, meist von jemandem mit schlechteren Absichten. Wir sind eine ehrenamtlich geführte, gemeinnützige Stiftung. Niemand bezahlt uns dafür, Sie zu kontaktieren, und wir verkaufen nichts.

Was Sie jetzt tun können

1. Prüfen Sie den Absender, mit den Schritten oben.
2. Lesen Sie den Fund. Die E-Mail beschreibt das betroffene System und das konkrete Problem.
3. Beheben Sie es oder begrenzen Sie das Risiko. Wo es einen Patch oder Workaround gibt, nennen wir ihn.
4. Antworten Sie, wenn nötig. Ist etwas unklar, sind Sie nicht die richtige Ansprechperson oder möchten Sie Hilfe, sagen Sie uns Bescheid. Eine Antwort bestätigt auch, dass die Nachricht die richtige Person erreicht hat.

Die Behebung liegt in Ihrer Verantwortung und bleibt in Ihrer Hand. Wir melden; wir greifen nicht ein.

Wenn wir weiter hinsehen sollen

Manche Organisationen bitten uns, sie regelmäßig zu prüfen, statt zu warten, bis wir etwas finden. Gemeinnützige Organisationen und NGOs können außerdem für ein vollständig finanziertes Bug-Bounty-Programm vorgeschlagen werden. Beides ist kostenlos.