Bug-Bounty-Programm

Jede größere Software enthält Fehler. Manche dieser Fehler sind gefährlich, weil Fremde damit an Passwörter oder Kontodaten kommen. Ein Bug-Bounty-Programm ist das öffentliche Versprechen einer Firma, für gemeldete Fehler dieser Art Geld zu zahlen. „Bug“ ist das englische Wort für Wanze und im Computerbereich der übliche Ausdruck für einen Programmfehler. „Bounty“ bedeutet Kopfgeld oder Belohnung. Wer einen Fehler findet, darf ihn also nicht ausnutzen und nicht öffentlich machen, sondern meldet ihn dem Hersteller und kassiert dafür eine Prämie.

Warum Firmen Fremde einladen, ihre Systeme anzugreifen

Eine Firma kann ihre eigene Software nie vollständig selbst prüfen. Die Entwickler kennen ihr Programm zu gut und denken deshalb in den gleichen Bahnen wie beim Bauen. Außenstehende probieren dagegen genau die schrägen Wege aus, an die intern niemand gedacht hat. Ein Bounty-Programm vervielfacht die Zahl der Augenpaare, ohne dass man tausend Leute einstellen muss.

Dahinter steckt außerdem eine schlichte Rechnung. Eine Prämie kostet oft ein paar tausend Euro. Ein Datenleck mit Millionen Kundendaten kostet Bußgelder, Anwälte und Vertrauen, und liegt schnell im Millionenbereich. Solange die Prämie deutlich billiger ist als der Schaden, lohnt sich das Programm.

Der zweite Grund ist ein Wettlauf. Für schwere Sicherheitslücken gibt es auch einen Schwarzmarkt, auf dem Kriminelle und Geheimdienste zahlen. Wer selbst nichts bietet, überlässt Finder automatisch dieser Seite. Ein offizielles Programm gibt ihnen einen legalen und bequemeren Weg.

Von der Meldung bis zur Auszahlung

Am Anfang steht ein klares Regelwerk, im Englischen Scope genannt. Darin steht, welche Webseiten, Apps und Server geprüft werden dürfen und welche Angriffe verboten bleiben. Ein Test, der die Server der Firma lahmlegt, ist zum Beispiel fast immer untersagt. Wer sich an die Regeln hält, wird nicht angezeigt. Wer sie verlässt, macht sich strafbar.

Findet jemand eine Lücke, schickt er einen Bericht mit einer Anleitung zum Nachstellen. Ein Sicherheitsteam prüft, ob der Fehler echt ist und wie schwer er wiegt. Danach richtet sich die Prämie. Ein kosmetisches Problem bringt vielleicht 100 Euro, eine Lücke mit vollem Zugriff auf fremde Konten mehrere zehntausend. Google und Apple haben in Einzelfällen sechsstellige Summen gezahlt.

Bekannt gemacht wird der Fehler erst, wenn er behoben ist. Diese Reihenfolge heißt verantwortungsvolle Offenlegung. Sie unterscheidet ein Bug-Bounty-Programm von einem Penetrationstest, bei dem eine Firma eine Sicherheitsfirma für einen festen Zeitraum bezahlt. Beim Bounty zahlt man nicht für die Arbeitszeit, sondern nur für Ergebnisse.

Bounties in den Nachrichten und im Netz

Fast alle großen Technologiefirmen betreiben solche Programme, darunter Google, Microsoft, Apple und Meta. Vermittelt wird oft über Plattformen wie HackerOne oder Bugcrowd, die Meldungen sammeln und Zahlungen abwickeln. Dort haben sich Ranglisten gebildet, und einzelne Finder verdienen damit ihren Lebensunterhalt.

In der Kryptowelt sind die Summen besonders hoch. Dort verwalten Programme direkt Geld, und ein Fehler kann sofort Millionen kosten. Prämien von einer Million Dollar und mehr sind dort schon vorgekommen.

Neu ist der Bereich künstliche Intelligenz. Anbieter von Chatbots zahlen inzwischen auch dafür, dass Leute Wege finden, die Sicherheitsregeln der Modelle zu umgehen. In Nachrichten liest man von Bounties meist im Rückblick: Eine Firma erklärt, eine Lücke sei durch einen externen Forscher gemeldet und bereits geschlossen worden. Das ist in der Regel ein gutes Zeichen, denn die Alternative wäre gewesen, dass ein Angreifer sie zuerst gefunden hätte.