Für vertrauliche Anfragen bezüglich NIS-2-Compliance, OT-Sicherheitsarchitekturen und Zero-Trust-Migrationen steht ein direkter technischer Kommunikationskanal zur Verfügung.
Das CERT-Postfach ist für die Entgegennahme sicherheitsrelevanter Meldungen, Schwachstellenberichte (Vulnerabilities) und Vorfallsanalysen (Incidents) eingerichtet.
Nutzen Sie für strukturierte Anfragen zur Bestandsaufnahme Ihrer OT-Infrastruktur ebenfalls gern die direkte Kontaktaufnahme über einen der folgenden Kommunikationskanäle.
Kommunikationskanäle
- E-Mail allgemein: kontakt@okit.de
- Sicherheitsvorfälle (CERT): Meldungen über kritische Schwachstellen via cert@okit.de. PGP-Public-Key: Download (Fingerprint: 777A 9971 2D0B B292 26FD BB11 1484 6611 EDAB 194C)
- Online-Meeting: Buchen Sie direkt ein vertrauliches Oline-Meeting mit Ende zu Ende verschlüsseltem Austausch.
- Kontaktformular: Das Kontaktformular derWorkgroup überträgt Ihre Daten sicher und direkt in das Postfach der Working Group.
PGP
Zum Schutz sensibler Informationen auf dem gesamten Übertragungsweg sowie auf dem Ziel-Mailserver wird empfohlen, Nachrichten an das CERT mittels PGP zu verschlüsseln.
- Verwendung des offiziellen öffentlichen Schlüssels des CERTs für die Verschlüsselung.
- Vorab-Prüfung des Schlüsselfingerprints über einen unabhängigen Kommunikationskanal zur Validierung der Authentizität.
- Berücksichtigung, dass sowohl der Nachrichtentext als auch übermittelte Anhänge verschlüsselt werden sollten.
Inhalt der Sicherheitsmeldungen
Inhalte einer Sicherheitsmeldung
Um eine effiziente Analyse und Bearbeitung durch das CERT zu ermöglichen, sollten Meldungen strukturierte und technische Informationen enthalten:
- Präzise Beschreibung des Sicherheitsvorfalls oder der identifizierten Schwachstelle. Sollverhalten wie auch Istverhalten. Auch Kontext und Einordnung ist hifreich, wenn vorhanden.
- Angabe der betroffenen Systeme, IP-Adressen/Netzwerkadressen, Hostnamen oder Software-Versionen.
- Zeitstempel (UTC) des Auftretens und/oder der Beobachtung.
- Relevante Logdateien, Fehlermeldungen oder Code-Fragmente zur technischen Verifikation.
- Kontaktdaten für eventuelle Rückfragen sowie Angaben zur sicheren Rückkanal-Erreichbarkeit (z. B. ein eigener PGP-Schlüssel).
Coordinated Vulnerability Disclosure (CVD)
Für den Umgang mit sensiblen Sicherheitsdaten und Schwachstellenmeldungen gilt der Grundsatz der verantwortungsvollen Offenlegung:
- Vertrauliche Behandlung aller übermittelten Details bis zur Bereitstellung von Korrekturen oder Updates durch die betroffenen Hersteller oder Betreiber.
- Vermeidung einer vorzeitigen öffentlichen Verbreitung (Public Disclosure) von ungepatchten Schwachstellen zur Minimierung von Risiken für Dritte.
- Kooperativer Austausch zur technischen Verifikation, Analyse und Validierung des gemeldeten Sachverhalts.