Definition Bug-Bounty-Programm Was ist ein Bug-Bounty-Programm?

Ein Bug-Bounty-Programm ist ein von einem Unternehmen oder einer Organisation ausgeschriebenes Programm, dass Prämien wie Geld- oder Sachpreise für das Entdecken von Schwachstellen in Software, Anwendungen oder Web-Diensten auslobt. Es richtet sich an IT-Security-Experten und ist Teil der Sicherheitsstrategie des Unternehmens oder der Organisation. Weltweit existiert eine riesige Zahl an Bug-Bounty-Programmen.

Anbieter zum Thema

TXOne Networks

Outpost24 GmbH

Ins Deutsch übersetzt bedeutet Bug-Bounty-Programm "Kopfgeldprogramm für Softwarefehler". Ein solches Programm wird von Unternehmen oder privaten beziehungsweise staatlichen Organisation und anderen Institutionen ausgeschrieben und bietet Prämien für das Entdecken von Schwachstellen oder Fehlern in Software, Anwendungen oder Web-Services. Als Prämien werden in der Regel Geldpreise oder Sachpreise ausgelobt. Bug-Bounty-Programme sind Teil der Sicherheitsstrategie. Sie ermöglichen es den ausschreibenden Organisationen die entdeckten Schwachstellen und Fehler zu beheben, bevor sie für schädliche oder kriminelle Zwecke ausgenutzt werden.

Bug-Bounty-Programme richten sich an Computer- und IT-Security-Experten wie Hacker und Programmierer oder an wissenschaftlich tätige Akteure wie Sicherheitsforscher. Die ausgelobten Prämien sind teilweise hoch. Sie sind von der Art und der Komplexität der entdeckten Schwachstelle und von der Bedeutung und Größe der ausschreibenden Organisation abhängig. Bug-Bounty-Programme bieten trotz zu zahlender Prämien eine sehr kostengünstige und effiziente Möglichkeit, die Stabilität und Sicherheit von Software und Anwendungen zu verbessern. Die Bug-Bounty-Programme sind in aller Regel so gestaltet, dass dem Unternehmen oder der Organisation der gefundene Fehler oder die Schwachstelle mitgeteilt werden muss und nicht direkt veröffentlicht werden darf. Dadurch lässt sich die Schwachstelle beheben, bevor sie ausgenutzt wird. Bug-Bounty-Programme lassen sich in offene und geschlossen Programme unterteilen. An offenen Programmen kann prinzipiell jeder teilnehmen. Für die Teilnahme an einem geschlossenen Programm ist eine explizite Einladung notwendig.

Anwendungsbereiche von Bug-Bounty-Programmen

Weltweit existiert eine Vielzahl an Bug-Bounty-Programmen. Die ausschreibenden Unternehmen oder Organisationen kommen aus den verschiedensten Bereichen oder Branchen. Es kann sich um Software-Hersteller, Netzbetreiber, Cloud-Anbieter, Betreiber von Web-Anwendungen, Betriebssystemhersteller, Unternehmen in der Finanzbranche oder andere Arten von Unternehmen und Institutionen, die Software einsetzen, handeln. Beispielsweise nutzen die Unternehmen Facebook, Microsoft, Apple, Tesla, Airbnb, eBay, LinkedIn, Pinterest, Symantec, Uber, Lufthansa, Intel und viele mehr Bug-Bounty-Programme. Staatliche oder öffentliche Institutionen mit Bug-Bounty-Programmen sind beispielsweise die EU-FOSSA (Projekt Free and Open Source Software Audit) oder das Pentagon.

Vorteile eines Bug-Bounty-Programms

Die Vorteile eines Bug-Bounty-Programms lassen sich Unterscheiden in Vorteile für die ausschreibende Organisation, für den Programmteilnehmer und für den Endkunden.

Vorteile für die ausschreibende Organisation sind:

• effiziente und kostengünstige Maßnahme zur Verbesserung der Software-, Produkt- und IT-Sicherheit

• ein Vielzahl an Experten beschäftigt sich mit der Sicherheit der Software

• Fehler und Schwachstellen lassen sich beseitigen, bevor sie ausgenutzt werden und zu Schäden führen

• hohes Vertrauen der Kunden in die Produkte des Unternehmens

Vorteile für den Teilnehmer am Programm sind:

• Programm stellt eine interessante Herausforderung dar und kann finanziell lohnend sein

• der IT-Sicherheitsexperte kann seine Fähigkeiten beweisen und verbessert sein Wissen und seine Reputation

• legale Möglichkeit und ethisch korrekte Form des Hackings

• Anerkennung im IT-Sicherheitsumfeld

• Vorteile für den Nutzer der Software

• stabile und sichere Produkte und Services

(ID:47614405)