Bug Bounty

Was ist ein Bug Bounty?

Ein Bug Bounty ist ein Programm, in dem eine Organisation Sicherheitsforscher einlädt, Schwachstellen in einem definierten Scope zu finden, und sie für gültige Meldungen bezahlt. Das Programm veröffentlicht den Scope (welche Domains, Apps oder Produkte), die Regeln (was erlaubt ist, was tabu, wie gemeldet wird), die Schweregradskala und die Prämientabelle. Forscher testen auf eigene Initiative und in eigener Zeit; die Organisation triagiert die Meldungen, bezahlt die neuen und gültigen, behebt sie und erlaubt meist nach dem Fix die Veröffentlichung.

Programme sind öffentlich (jeder darf teilnehmen) oder privat (nur eingeladene Forscher), laufen auf Plattformen wie HackerOne, Bugcrowd, Intigriti oder YesWeHack oder selbst verwaltet, und können als “Live Hacking Event” zeitlich begrenzt oder dauerhaft sein.

Wo ist es definiert?

Bug Bounties sind eine Marktpraxis, kein Standard. Die Prozesse drumherum sind standardisiert: ISO/IEC 29147 beschreibt Vulnerability Disclosure, also wie eine Organisation Meldungen von außen entgegennimmt und darüber kommuniziert, und ISO/IEC 30111 den internen Behandlungsprozess vom Eingang bis zur Behebung. RFC 9116 definiert security.txt, die Datei unter /.well-known/security.txt, die Forschern sagt, wohin sie melden. In der EU verlangt der Cyber Resilience Act von Herstellern von Produkten mit digitalen Elementen eine Richtlinie zur koordinierten Offenlegung und einen Behandlungsprozess (Anhang I Teil II) sowie die Meldung aktiv ausgenutzter Schwachstellen (Artikel 14). Nichts davon verlangt Prämien. In Deutschland hängt die rechtliche Position der Forscher von der Erlaubnis des Programms ab, weshalb klare Regeln zählen: Testen ohne Autorisierung kann unter § 202a ff. StGB fallen.

Was es in der Praxis bedeutet

Ein Bounty ist nur so gut wie das Team dahinter. Vor der ersten Auszahlung brauchst du Leute, die Meldungen binnen Tagen triagieren, einen Weg, sie zu reproduzieren und zu bewerten, Entwickler, die sie beheben, und eine Richtlinie für Duplikate, Meldungen außerhalb des Scopes und Forscher, die zu weit gehen. Unternehmen, die ohne das ein öffentliches Programm starten, ertrinken in Meldungen geringer Qualität und verspielen den Goodwill der guten Forscher.

Für Produkt- und Gerätehersteller ist die Scope-Frage schwieriger als für Web-Unternehmen. Forscher brauchen ein Gerät zum Testen, Testgeräte kosten Geld, und Findings in Firmware brauchen oft die Werkzeuge des Herstellers zur Reproduktion. Hardware-Bounties gibt es, aber sie sind seltener und meist nur auf Einladung. Ein Penetrationstest mit autorisierter Firmware-Extraktion und Debug-Zugang kommt schneller an dieselben Stellen.

Wir betreiben keine Bounty-Programme und nehmen für Kunden nicht daran teil; unsere Tests sind beauftragt, autorisiert und abgegrenzt. Wir helfen bei den zwei Dingen, die ein Bounty zuerst braucht: beim Prozess zur Schwachstellenbehandlung (Triage-Kriterien, Schweregradbewertung mit CVSS, Fix- und Offenlegungsfristen, CRA-Meldung) und bei der Disclosure-Richtlinie mit ihrer security.txt.

Häufige Missverständnisse

Ein Bug Bounty ist kein kostenloses Testen. Es kostet Prämien, Plattformgebühren und vor allem Personalzeit, und die Kosten sind unvorhersehbar. Es ist auch kein Maß für Sicherheit: Ein Programm mit wenigen Meldungen kann ein sicheres Ziel bedeuten oder ein unattraktives. Und es ist kein Ersatz für eine Disclosure-Richtlinie. Die Richtlinie kommt zuerst; das Bounty ist ein optionaler Anreiz obendrauf.