Bug-Bounty-Programm

Definition

Ein Bug-Bounty-Programm ist ein von Unternehmen initiiertes Angebot, bei dem externe Sicherheitsforscherinnen und -forscher gezielt für das verantwortungsvolle Auffinden und Melden von Sicherheitslücken in Systemen oder Software finanziell belohnt werden.

Erklärung / Hintergrund

Im Rahmen eines Bug-Bounty-Programms legt ein Unternehmen fest, welche Systeme getestet werden dürfen, welche Methoden erlaubt sind und welche Belohnung je nach Schweregrad einer gefundenen Schwachstelle gezahlt wird. Gemeldete Schwachstellen werden anschließend intern geprüft, priorisiert und behoben, bevor sie öffentlich bekannt werden.

Für Unternehmen ist dieser Ansatz relevant, weil er zusätzliches externes Fachwissen nutzt, um Sicherheitslücken zu finden, die interne Teams möglicherweise übersehen haben. Im Vergleich zu den potenziellen Kosten eines erfolgreichen Cyberangriffs sind die gezahlten Belohnungen für gemeldete Schwachstellen meist deutlich geringer.

Für Architektur- und Ingenieurbüros ist ein eigenes Bug-Bounty-Programm meist zu aufwendig und eher größeren Unternehmen oder Softwareherstellern vorbehalten, deren Produkte jedoch häufig auch in Planungsbüros zum Einsatz kommen. Relevant ist für Sie eher, dass genutzte Software von seriösen Anbietern durch solche Programme kontinuierlich zusätzlich abgesichert wird.

Abzugrenzen ist das Bug-Bounty-Programm vom unerlaubten Exploit, bei dem eine Schwachstelle ohne Zustimmung des Unternehmens und mit schädigender Absicht ausgenutzt wird, sowie vom Advanced Persistent Threat als organisiertem, böswilligem Angriffsmuster. Ein Attack tree kann intern genutzt werden, um Ergebnisse eines Bug-Bounty-Programms systematisch einzuordnen.

Praxisrelevanz

Für Sie als Geschäftsführerin oder Geschäftsführer eines Planungsbüros ist ein eigenes Bug-Bounty-Programm meist keine praktikable Option, da es erheblichen organisatorischen und finanziellen Aufwand erfordert, der für die meisten kleineren und mittleren Büros unverhältnismäßig wäre. Relevanter ist für Sie, bei der Auswahl von Software, Projektplattformen und Cloud-Diensten gezielt darauf zu achten, ob der jeweilige Anbieter selbst ein aktives Bug-Bounty-Programm betreibt, da dies auf ein besonders sorgfältiges, kontinuierliches Sicherheitsmanagement hindeutet. Anbieter, die aktiv externe Sicherheitsforscherinnen und -forscher einbeziehen, entdecken und beheben Schwachstellen häufig schneller als solche, die ausschließlich auf interne Prüfungen setzen, was Ihnen als Kundin oder Kunde eines solchen Anbieters indirekt zugutekommt.

Praxisbeispiel

Ein Architekturbüro plant den Wechsel zu einer neuen, cloudbasierten Projektplattform und vergleicht mehrere Anbieter hinsichtlich ihrer IT-Sicherheit. Bei der Recherche stellt die Geschäftsführung fest, dass einer der Anbieter seit Jahren ein aktives, gut dokumentiertes Bug-Bounty-Programm betreibt, über das regelmäßig Schwachstellen von externen Sicherheitsforschern gemeldet und zeitnah behoben werden. Ein anderer, günstigerer Anbieter verfügt über kein vergleichbares Programm und kann auf Nachfrage kaum Auskunft über sein Vorgehen bei Sicherheitslücken geben. Die Geschäftsführung entscheidet sich daraufhin bewusst für den Anbieter mit dem etablierten Bug-Bounty-Programm, trotz etwas höherer Kosten. Diese Entscheidung wird intern ausführlich dokumentiert und dient künftig als Grundlage für weitere Software-Auswahlprozesse im Büro.

FAQ

Was ist ein Bug-Bounty-Programm?

Ein Bug-Bounty-Programm ist ein Angebot von Unternehmen, bei dem externe Sicherheitsforscherinnen und -forscher für das verantwortungsvolle Melden von Sicherheitslücken finanziell belohnt werden.

Warum betreiben Unternehmen Bug-Bounty-Programme?

Sie nutzen zusätzliches externes Fachwissen, um Sicherheitslücken zu finden, die interne Teams möglicherweise übersehen haben, oft zu geringeren Kosten als bei einem erfolgreichen Angriff.

Sollten Architektur- und Ingenieurbüros ein eigenes Bug-Bounty-Programm einrichten?

Für die meisten Planungsbüros ist ein eigenes Programm meist zu aufwendig, relevanter ist die Auswahl von Software-Anbietern, die selbst ein aktives Programm betreiben.

Wie erkennt man, ob ein Software-Anbieter ein Bug-Bounty-Programm betreibt?

Seriöse Anbieter veröffentlichen entsprechende Informationen meist transparent auf ihrer Webseite oder können auf konkrete Nachfrage detailliert Auskunft über ihr Vorgehen geben.

Ist die Nutzung eines Bug-Bounty-Programms legal?

Ja, im Rahmen der vom Unternehmen festgelegten Bedingungen ist das Testen ausdrücklich erlaubt und erwünscht, weshalb es sich klar von unerlaubtem Hacking unterscheidet.

Verwandte Begriffe

• Exploit – wird im Rahmen eines Bug-Bounty-Programms kontrolliert und mit Zustimmung des Unternehmens demonstriert.

• Attack tree – kann genutzt werden, um über ein Bug-Bounty-Programm gemeldete Schwachstellen systematisch einzuordnen.

• Advanced Persistent Threat (APT) – beschreibt im Gegensatz zum Bug-Bounty-Programm ein böswilliges, unerlaubtes Angriffsmuster.

• Cyberversicherung – die Nutzung von Software mit aktivem Bug-Bounty-Programm kann das Risikoprofil eines Unternehmens positiv beeinflussen.