White-Hat-Hacker und Bug-Bounty-Plattformen Unternehmen erkennen Potential von Hackern nicht

Anbieter zum Thema

Arvato Systems

TXOne Networks

Outpost24 GmbH

HackerOne Inc.

Deutsche Unternehmen suchen zu selten die Unterstützung professioneller Hacker beim Aufspüren von Sicherheitslücken. Das ist das Ergebnis einer Umfrage, die das Marktforschungs­unternehmen Opinion Matters im Auftrag der weltweit operierenden Bug-Bounty-Plattform HackerOne durchgeführt hat. Die Marktforscher haben dazu mehr als 600 CISOs aus Deutschland, Frankreich und Großbritannien befragt.

Nur etwas mehr als ein Drittel, 36 Prozent, der deutschen Sicherheitsverantwortlichen (CISO, Chief Information Security Officer) erklärten sich dazu bereit, Meldungen aus der Hacker-Community zu Fehlern in der von ihren Unternehmen entwickelten Software zu berücksichtigen. Gleichzeitig schätzten fast neun von zehn deutschen CISOs (88 Prozent), dass Softwareprojekte deswegen nicht umgesetzt werden, weil mit unvermeidlichen Sicherheitsproblemen zu rechnen sei. Diese Befürchtungen stehen im Zusammenhang einer Einschätzung der eigenen Leistungsfähigkeit in Sachen Sicherheit in der Software-Entwicklung, denn 60 Prozent der deutschen Befragten sagten aus, dass die Ressourcen ihrer Sicherheitsteams mit dem Entwicklungstempo des Unternehmens nicht Schritt halten können.

Besonders diese letzte Aussage kollidiert etwas mit der Verweigerung von Hilfe durch Hacker. Dennoch können Unternehmen diese Dienste gefahrlos in Anspruch nehmen. Sogenannte White-Hat-Hacker attackieren die Software des Unternehmens absichtlich und mit dem Ziel, mit möglichst ausgefeilten Methoden Sicherheitslücken zu entdecken. Im Gegensatz zu den Black-Hats, die illegal tätig sind, arbeiten White Hats mit dem Unternehmen zusammen. Da sich letztere selten direkt mit den Hackern austauschen können, weil eben die Hacker den Unternehmen unter anderem ihre Identität nicht preisgeben wollen, bieten sich Plattformen – Bug-Bounty-Plattformen – an, die Unternehmen und White-Hat-Hacker zusammenbringen.

Außerdem unterzeichnen beide Parteien Agreements, dass die Hacker in ihrer Arbeit nicht gefährdet. Das Hacken hat oft eine sportliche Note, da je nach Schwere der Sicherheitslücken durchaus lukrative Prämien auf den Hacker warten. Letztendlich zeigt die Umfrage, dass diese Art der Überprüfung auf Programmierfehler bei den Unternehmen noch nicht bekannt genug ist.

Das Geschäftsmodell der Bug-Bounty-Plattformen wie die von HackerOne sieht vor, dass sich die White-Hat-Hacker dem Unternehmen gegenüber verpflichten, deren Schwachstellen aufzudecken. Die Regularien werden in VDPs (Vulnerability Disclosure Program) festgehalten und sind Bestandteil des Vertrags. Zum einen stellt man das Vertrauensverhältnis klar, die Hacker sind offiziell abgesichert und liefern im Anschluss einen Bericht der Schwachstellen. Sie werden mit einer entsprechenden Geldsumme, sogenannten Bug Bounties belohnt. Besonders kritische Schwachstellen sind Unternehmen sehr viel wert und Hacker können Millionenbeträge verdienen. Kürzlich gab es den siebten Bug-Bounty Millionär mit Sitz in Deutschland, der unter dem Namen Inhibitor181 hackt. Er deckte unter anderem Schwachstellen für Firmen wie Paypal, Uber und Dropbox auf.

Über den Autor: Russell Coleman ist Bug Bounty Advisor bei HackerOne.

(ID:46715753)