Sicherheitslücken melden
Sie haben eine mögliche Schwachstelle in einer OMAG-Maschine, ihrer Steuerungs-, HMI-, Bildverarbeitungs- oder Fernwartungssoftware oder einem zugehörigen Dienst entdeckt? Wir danken Ihnen für jeden Hinweis und bearbeiten ihn vertraulich – auch wenn Ihre Angaben noch unvollständig sind oder Sie anonym bleiben möchten.
Meldungen nehmen wir per E-Mail und telefonisch entgegen. Ein Online-Formular bieten wir bewusst nicht an.
security@omag.de
Bevorzugter Weg für technische Details. Rund um die Uhr erreichbar; Bearbeitung an Arbeitstagen.
+49 4921 805 0
Bürozeiten 06:30–17:00 Uhr. Bitte nennen Sie das Stichwort „Sicherheitsmeldung“ – wir verbinden Sie mit der zuständigen Stelle.
Dringende Fälle
Hinweise auf eine laufende Ausnutzung oder eine mögliche Gefahr für Personen und Anlagen bitte telefonisch melden und zusätzlich per E-Mail mit „DRINGEND“ im Betreff.
Bei unmittelbarer Gefahr für Menschen wählen Sie den Notruf 112 und informieren den Anlagenbetreiber. Unser Sicherheitskontakt ersetzt keinen Notruf und keine 24/7-Servicehotline.
Was Ihre Meldung enthalten sollte
Nennen Sie uns, was Ihnen vorliegt. Fehlende Angaben sind kein Hindernis – wir fragen bei Bedarf nach.
-
01
Produkt oder Anlage
Maschinentyp, ggf. Seriennummer -
02
Version und Komponente
Software, Firmware, Build, betroffenes Modul -
03
Beschreibung und Auswirkungen
Was ist möglich, unter welchen Voraussetzungen? -
04
Schritte zur Reproduktion
inklusive Testumgebung -
05
Hinweise auf Ausnutzung
Beobachtete Angriffe oder öffentlicher Exploit? -
06
Bekannte Kennungen
CVE, Hinweise von Zulieferern oder Herstellern -
07
Kontakt für Rückfragen
optional – ohne Rückkanal keine persönliche Rückmeldung -
08
Nachweise
erst nach Absprache übermitteln – siehe unten
E-Mail oder Telefon?
Meldung per E-Mail
- An security@omag.de, Betreff z. B. „Sicherheitsmeldung – [Produkt]“.
- Zunächst eine Beschreibung senden, keine Exploits, Zugangsdaten oder personenbezogenen Daten als Anhang.
- Für verschlüsselte Kommunikation nutzen Sie unseren öffentlichen Schlüssel: [PGP-SCHLÜSSEL-LINK UND FINGERPRINT].
Meldung per Telefon
- Unter +49 4921 805 0 das Stichwort „Sicherheitsmeldung“ nennen.
- Wir nehmen Ihre Angaben auf und nennen Ihnen direkt eine Vorgangsnummer. Ein Rückruf- oder E-Mail-Kontakt ist freiwillig.
- Bitte keine Passwörter oder Exploit-Code am Telefon durchgeben – technische Nachweise übermitteln Sie anschließend über einen vereinbarten sicheren Weg.
So bearbeiten wir Ihre Meldung
Eingang bestätigen
Sie erhalten eine Bestätigung mit Vorgangsnummer (VUL-JJJJ-NNNN) und ggf. Rückfragen.
Prüfen und bewerten
Unsere Fachleute reproduzieren den Befund in einer Testumgebung, ermitteln betroffene Produkte und Versionen und bewerten Risiken – auch für die Maschinensicherheit.
Beheben und informieren
Wir entwickeln Updates oder Schutzmaßnahmen, informieren betroffene Kunden und halten Sie über den Stand auf dem Laufenden.
Koordiniert veröffentlichen
Den Zeitpunkt der Bekanntgabe stimmen wir mit Ihnen und ggf. weiteren Herstellern ab. Namensnennung nur mit Ihrer Zustimmung.
Gesetzlich vorgeschriebene Meldungen an Behörden und notwendige Warnungen an Nutzer erfolgen unabhängig von einer geplanten Veröffentlichung. Bei komplexen Fällen teilen wir Ihnen mit, welche Informationen fehlen oder warum sich die Bearbeitung verzögert.
Bitte schützen Sie Menschen, Anlagen und Daten
Diese Richtlinie ist keine Erlaubnis für Sicherheitsprüfungen an fremden Systemen oder produktiven Maschinen.
Bitte so
- Nur in Umgebungen prüfen, für die Sie eine ausdrückliche Berechtigung besitzen.
- Prüfungen sofort beenden, sobald Risiken für Personen, Anlagen oder Daten erkennbar werden.
- Nachweise auf das minimal Erforderliche beschränken.
- Veröffentlichung mit uns abstimmen, damit Nutzer zuerst geschützt werden.
Bitte nicht
- Produktionsabläufe verändern oder die Verfügbarkeit beeinträchtigen.
- Schutz- und Sicherheitsfunktionen der Maschine umgehen.
- Auf fremde Daten zugreifen oder sensible Daten weitergeben.
- Schwachstellen vor Abstimmung öffentlich machen.
Diese Richtlinie sagt keine Vergütung (Bug Bounty) zu.
Cyber Resilience Act (CRA)
Die Verordnung (EU) 2024/2847 verpflichtet Hersteller von Produkten mit digitalen Elementen, Schwachstellen koordiniert zu behandeln und eine Kontaktstelle für Meldungen bereitzustellen. Diese Seite ist die Kontaktstelle der OMAG Maschinenbau GmbH.
Unsere Meldepflichten
Seit 11. September 2026 melden wir aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle in unseren Produkten über die Single Reporting Platform an das zuständige CSIRT und die ENISA – Frühwarnung binnen 24 Stunden, Folgemeldung binnen 72 Stunden.
Warnung der Nutzer
Sicherheitsupdates
Behördliche Meldestelle
Sicherheitshinweise
Informationen zu behobenen Schwachstellen veröffentlichen wir als Security Advisory (OMAG-SA-JJJJ-NNN) mit betroffenen Versionen, Behebung und Zwischenmaßnahmen.
Gültigkeit
- Stand
- [DATUM DER FREIGABE]
- Kontakt
- security@omag.de · +49 4921 805 0
- Maschinenlesbar
- /.well-known/security.txt
Diese Richtlinie wird bei Änderungen des Meldewegs oder des Verfahrens aktualisiert.
