Bug Bounty
Ein Bug Bounty ist eine Belohnung, die ein Unternehmen zahlt, wenn jemand von außen einen Sicherheitsfehler in seiner Software findet und ihn vertraulich meldet. Statt Fehler zu verheimlichen, bezahlen Firmen wie Google, Apple oder OpenAI so dafür, dass Fremde ihre Systeme angreifen und Schwachstellen aufdecken.
Jede größere Software enthält Fehler. Manche davon sind harmlos, andere erlauben Fremden den Zugriff auf Passwörter oder Kundendaten. Solche gefährlichen Fehler nennt man Sicherheitslücken. Ein Bug Bounty ist ein öffentliches Versprechen einer Firma: Wer eine solche Lücke findet und sie uns vertraulich meldet, bekommt Geld dafür. Das Wort setzt sich aus « Bug » für Programmfehler und « Bounty » für Kopfgeld zusammen. Der Betrag reicht je nach Schwere von etwa 100 Euro bis zu mehreren Hunderttausend.
Warum Firmen Fremde für Angriffe bezahlen
Ein Unternehmen kann seine eigene Software nie vollständig selbst prüfen. Die eigenen Entwickler kennen ihr Produkt zu gut und suchen dort, wo sie Probleme erwarten. Außenstehende probieren Dinge aus, an die intern niemand gedacht hat. Ein Bug Bounty kauft der Firma also genau diesen fremden Blick ein.
Der zweite Grund ist wirtschaftlich. Eine gefundene Lücke hat auch auf dem Schwarzmarkt einen Preis: Kriminelle und staatliche Stellen zahlen für Zugänge zu fremden Systemen. Wenn eine Firma nichts zahlt, ist der illegale Verkauf für den Finder die einzige Möglichkeit, Geld zu verdienen. Ein Bounty macht den legalen Weg attraktiver. Für das Unternehmen ist das billig: Eine Prämie von 50.000 Euro ist weniger als ein Datenleck mit Millionen betroffenen Kunden.
Dazu kommt eine rechtliche Seite. Ohne Programm bewegt sich jemand, der fremde Systeme testet, in einer Grauzone und riskiert eine Anzeige. Ein Bug-Bounty-Programm legt schriftlich fest, was erlaubt ist. Dieser Schutz ist für viele Finder wichtiger als das Geld.
Vom Fund bis zur Auszahlung
Jedes Programm hat Regeln, den sogenannten Scope. Darin steht, welche Webseiten, Apps oder Server getestet werden dürfen und welche nicht. Verboten ist fast immer alles, was echte Nutzer stört: Server überlasten, fremde Konten ausspähen, Daten löschen. Wer sich außerhalb dieser Regeln bewegt, verliert den rechtlichen Schutz.
Findet jemand eine Lücke, schreibt er einen Report. Darin muss er nicht nur behaupten, dass ein Fehler existiert, sondern ihn nachvollziehbar vorführen. Das Unternehmen prüft den Bericht, bewertet die Schwere und bestimmt daraus die Prämie. Ein Fehler, der eine komplette Datenbank offenlegt, bringt ein Vielfaches von einem, der nur ein falsches Symbol anzeigt.
Bis zur Behebung gilt Stillschweigen. Meist vereinbaren beide Seiten, dass der Finder erst nach etwa 90 Tagen öffentlich darüber sprechen darf. Vermittelt wird das oft über Plattformen wie HackerOne oder Bugcrowd, die Reports sammeln, sortieren und die Zahlung abwickeln. Wichtig ist die Abgrenzung zum Penetrationstest: Dort beauftragt eine Firma eine Agentur für einen festen Zeitraum und zahlt nach Stunden. Beim Bug Bounty darf jeder jederzeit suchen, Geld gibt es aber nur für einen echten Fund.
Von Apple-Prämien bis zu Jailbreaks bei KI-Modellen
Fast alle großen Technologiekonzerne betreiben solche Programme. Apple zahlt für besonders schwere Lücken in iPhones bis in den Millionenbereich, weil genau diese Zugänge bei staatlichen Käufern extrem wertvoll sind. Google hat über die Jahre weit über 50 Millionen Dollar an Finder ausgezahlt. Auch Banken, Autohersteller und Behörden nutzen Bug Bounties inzwischen.
In der KI-Branche ist eine neue Variante entstanden. Dort geht es nicht nur um klassische Programmfehler, sondern um Eingaben, die ein Sprachmodell zu verbotenen Antworten verleiten. Solche Umgehungen nennt man Jailbreaks. Anthropic und OpenAI haben Programme aufgesetzt, die genau dafür Prämien zahlen.
In den Nachrichten tauchen Bug Bounties meist nach einem Vorfall auf. Dann heißt es, eine Lücke sei « im Rahmen eines Bug-Bounty-Programms gemeldet » worden. Das ist für die Firma die günstige Variante der Geschichte. Die teure Variante ist die, in der Kriminelle die Lücke zuerst gefunden haben.