Ein Bug Bounty ist eine ausgelobte Prämie für gemeldete Sicherheitslücken. Wer eine Lücke findet und sie nach den Regeln des Programms meldet, bekommt Geld und Anerkennung statt Ärger.
- Bug Bounty
Eine ausgelobte Prämie für gemeldete Sicherheitslücken.
Beispiel: „Das Bug Bounty brachte dem Finder vier Stellen ein, der Firma einen geschlossenen Zugang.“Auch: Das Regelwerk dahinter heißt Bug-Bounty-Programm; die Regeln für eine Meldung ohne Prämie heißen Responsible Disclosure oder Coordinated Vulnerability Disclosure.
Abgrenzung zum Penetrationstest: Der Test ist beauftragt, zeitlich begrenzt und wird bezahlt, ob er etwas findet oder nicht. Beim Bug Bounty zahlt nur, wer einen Fund bekommt.
Wie ein Bug-Bounty-Programm arbeitet
Über eine veröffentlichte Erlaubnis. Das Programm legt fest, welche Systeme untersucht werden dürfen, welche Methoden verboten sind, wohin gemeldet wird und wie viel welche Art von Fund einbringt. Diese Erlaubnis ist der Kern: Ohne sie ist das Suchen nach Lücken in fremden Systemen in Deutschland strafbar, siehe Hacker.
Was eine Meldung wert ist
Zwischen einer kleinen Anerkennung und einem Jahresgehalt, je nach Schwere und Verbreitung. Große Anbieter zahlen für eine Lücke, über die sich fremde Konten übernehmen lassen, fünfstellige Beträge; für eine Kleinigkeit gibt es einen Eintrag in einer Dankesliste. Diese Spanne hat einen Zweck: Sie soll den Weg über die Meldung attraktiver machen als den Verkauf an einen Händler.
Was ein Programm voraussetzt
Die Fähigkeit, Meldungen zu beantworten. Ein Programm ohne jemanden, der prüft, einordnet und zurückmeldet, erzeugt binnen Wochen eine Warteschlange und verärgerte Finder, die irgendwann an die Öffentlichkeit gehen. Für kleinere Häuser ist deshalb die schlichtere Variante der bessere Einstieg: eine Adresse für Sicherheitsmeldungen, eine Zusage, nicht juristisch gegen ehrliche Finder vorzugehen, und eine feste Zuständigkeit.