Bug-Bounty-Programme Kopfgeldjagd auf Sicherheitslücken

Warum nur einen Pen-Tester engagieren, wenn man die Intelligenz aller Internetuser nutzen kann? Mit Bug-Bounty-Programmen schreiben Unternehmen Kopfgelder auf Schwachstellen aus, um Hacker zu motivieren für sie zu arbeiten.

Anbieter zum Thema

Arrow ECS GmbH

sysob IT-Distribution GmbH & Co. KG

peoplefone GmbH

Bugcrowd

YesWeHack

mehr weniger

HackerOne Inc.

Microsoft Deutschland GmbH

weniger

Bis zu 40.000 Dollar bezahlt Microsoft an ethische Hacker, die Berichte zu Sicherheitsrisiken in Azure Cloud-Diensten liefern. Bis zu 100.000 Dollar sind dem Software-Giganten Berichte zu Risiken in Identitätsdiensten, wie Microsoft-Konten, Azure Active Directory oder OpenID-Standards, wert. Aufgedeckte Schwachstellen im Zusammenhang mit der Plattform Hyper-V können den Testern sogar bis zu 250.000 Dollar einbringen. Die Ausschreibungen für diese Belohnungen erfolgen im Rahmen des Bug-Bounty-Programms von Microsoft.

Was sind Bug Bounties?

Ein Bug ist ein logischer Fehler im Code einer Software, der dazu führt, dass das Programm nicht richtig funktioniert. Klar, dass Unternehmen möglichst schnell möglichst alle Bugs ausfindig machen und beseitigen wollen. Dafür setzen viele auf Bug Bounties. Bounty bedeutet auf Deutsch Kopfgeld. Also eine Belohnung für denjenigen, der einen Bug findet. Innerhalb von Bug-Bounty-Programmen schreiben Unternehmen die Kopfgelder aus. Die Idee beruht auf dem Prinzip des Crowdsourcings. Das bedeutet, dass Aufgaben an die Internetnutzer, die Crowd, ausgelagert werden. Somit können nicht nur professionelle White Hat Hacker an den öffentlichen Ausschreibungen teilnehmen, sondern die ganze Internetgemeinde. Unternehmen nutzen die Programme oft zusätzlich zu Security Audits und Penetration-Tests, um ihre Sicherheitsstrategie zu verbessern.

Innerhalb der Programme legen die Unternehmen fest, für welche potenziellen Sicherheitslücken sie die Tester bezahlen. Etablierte Plattformen sind unter anderem die von Hackerone, Yes We Hack und Bugcrowd. Wenn sich Tester beispielsweise bei Yes We Hack für eine Ausschreibung registrieren, müssen sie unterschreiben, dass sie sich zur strikten Einhaltung der Regeln des Programms verpflichten. Denn wenn sie versuchen, in die Unternehmensnetzwerke und -systeme zu gelangen, können sie sich Zugriff auf vertrauliche Daten verschaffen. Diese müssen die Anbieter der Programme schützen.

Hackerone führt zudem eine Liste über alle aktiven Bug-Bounty-Programme. Auch Yes We Hack führt eine Bug-Bounty-Liste.

Hören, was die ITK-Branche bewegt – Folge 40

IT-BUSINESS Podcast: Aus der Sicht des Angreifers

Bug Bounty versus Pen-Test

An Pen-Tests wird oftmals kritisiert, dass sie lediglich eine Momentaufnahme des Sicherheitsstatus sind. Stimmt, deswegen sollte man sie ja auch regelmäßig wiederholen. Wenn dies geschieht, was bietet dann noch ein Bug Bounty, was ein Penetration-Test nicht bietet? Während Pen-Tester meist alleine arbeiten, profitieren Unternehmen mit Bug Bounties von der Schwarmintelligenz. Denn die Wahrscheinlichkeit, dass einer der vielen Tester auf eine Sicherheitslücke stößt, ist höher, als bei nur einem Tester.

Ein weiterer Vorteil von Bug-Bounty-Programmen ist, dass die Unternehmen ganz genau festlegen können, für was sie die Tester bezahlen und für was nicht. Dafür legen sie innerhalb der Ausschreibungen konkrete Richtlinien fest. Sie bezahlen also nur für die Ergebnisse und nicht für die Testleistung selbst. Zu guter Letzt zeigt ein Unternehmen mit einem solchen Programm, dass es sich für seine IT-Strategie auch über traditionelle Sicherheitslösungen hinaus engagiert.

(ID:47377425)