Bug-Bounty-Programm

Jedes größere Computerprogramm enthält Fehler. Manche davon sind gefährlich: Sie erlauben Fremden, an Daten zu kommen oder ein System zu übernehmen. Solche gefährlichen Fehler nennt man Sicherheitslücken. Bei einem Bug-Bounty-Programm gibt eine Firma öffentlich bekannt, dass sie für Hinweise auf solche Lücken zahlt. Wer eine findet und sie vertraulich an die Firma meldet, statt sie auszunutzen oder zu veröffentlichen, erhält eine Belohnung. Die Höhe hängt davon ab, wie schwer der Schaden wäre. Kleine Funde bringen ein paar hundert Euro, sehr schwere Lücken auch sechsstellige Beträge.

Warum das wichtig ist

Eine Firma kann ihre eigene Software nie vollständig selbst prüfen. Die Entwickler kennen ihr System zu gut und übersehen deshalb genau die Wege, an die niemand gedacht hat. Außerdem stehen einer Sicherheitsabteilung mit dreißig Leuten weltweit Tausende neugierige Fachkundige gegenüber.

Bug Bounties nutzen diesen Größenunterschied aus. Sie machen das Meldenwollen zur attraktiveren Option. Wer eine Lücke findet, hat zwei Möglichkeiten: sie an Kriminelle oder Geheimdienste verkaufen, oder sie legal melden. Je besser die Prämien und je fairer der Umgang, desto häufiger fällt die Entscheidung auf den legalen Weg.

Für die Firma ist die Rechnung meist günstig. Eine Prämie von 50.000 Euro ist billiger als ein Datenleck, das Millionen an Bußgeldern und Vertrauensverlust kostet.

Wie es funktioniert

Am Anfang steht ein Regelwerk, der sogenannte Scope. Darin steht, welche Systeme untersucht werden dürfen und welche nicht. Auch verbotene Methoden werden festgelegt, etwa Angriffe, die einen Dienst lahmlegen würden. Wer sich an diese Regeln hält, wird nicht verklagt. Wer sie bricht, verliert diesen Schutz.

Wer eine Lücke entdeckt, schreibt einen Bericht mit einer Anleitung zum Nachvollziehen. Die Firma prüft, ob der Fehler echt und neu ist. Dann wird er eingestuft und bewertet, danach behoben. Erst wenn die Reparatur ausgeliefert ist, darf der Fund meist öffentlich beschrieben werden. Diese Frist heißt Offenlegungsfrist und liegt oft bei 90 Tagen.

Viele Firmen organisieren das nicht selbst, sondern über Plattformen wie HackerOne oder Bugcrowd. Diese Vermittler stellen das Meldeformular, prüfen Berichte vor und zahlen die Prämien aus. Ein Vergleich: Die Plattform funktioniert wie eine Ausschreibungsstelle, die Angebote sammelt und sortiert, bevor sie beim Auftraggeber landen.

Wo man dem Begriff begegnet

Fast jeder große Technologiekonzern hat ein solches Programm: Google, Apple, Microsoft, Meta. Apple zahlt für besonders schwere iPhone-Lücken bis in den Millionenbereich. Auch Banken, Behörden und die Bundeswehr betreiben inzwischen eigene Programme.

In den Nachrichten tauchen Bug Bounties oft nach einem Sicherheitsvorfall auf. Dann steht dort, ob die Lücke über ein Bounty-Programm gemeldet oder erst durch einen Angriff bemerkt wurde. Bei KI-Anbietern gibt es eine neue Variante: Prämien nicht nur für technische Fehler, sondern auch für Wege, die Sicherheitsregeln eines Chatbots zu umgehen.

Für Einzelpersonen ist das ein realer Nebenverdienst geworden. Manche leben ausschließlich von Bug Bounties. Die meisten Programme haben keine Altersgrenze nach oben oder unten, verlangen aber bei Minderjährigen die Zustimmung der Eltern für die Auszahlung.