Bug Bounty: Bedeutung, Ablauf und Programme für Unternehmen

Was bedeutet Bug Bounty?

„Bug“ ist das englische Wort für einen Programmfehler. „Bounty“ heißt Belohnung oder Kopfgeld. Ein Bug Bounty ist also eine Belohnung für gefundene Fehler, genauer: für Sicherheitslücken.

Die Idee ist einfach. Ein Unternehmen lädt Sicherheitsforscher ein, seine Webseiten, Apps oder Produkte zu prüfen. Wer eine echte Lücke findet und sie vertraulich meldet, wird bezahlt. So erfährt das Unternehmen von der Lücke, bevor Kriminelle sie ausnutzen.

Die Forschenden werden oft „Ethical Hacker“ oder „White Hats“ genannt. Viele machen das nebenberuflich, manche hauptberuflich.

Woher die Idee kommt

Als eines der ersten Programme gilt das „Bugs Bounty“ von Netscape im Jahr 1995. Das Unternehmen zahlte damals für Fehler in seinem Browser. Heute betreiben viele große Technologiekonzerne, Banken und Behörden solche Programme. Auch kleinere Unternehmen steigen ein, oft über spezialisierte Plattformen.

So funktioniert ein Bug-Bounty-Programm

1. Regeln festlegen: Das Unternehmen bestimmt, welche Systeme geprüft werden dürfen (Scope), welche Methoden verboten sind und wie hoch die Prämien sind.
2. Programm starten: Entweder öffentlich für alle oder privat für eine eingeladene Gruppe.
3. Suchen und melden: Forschende testen die Systeme. Finden sie eine Lücke, schicken sie einen Bericht mit einer Beschreibung, den Schritten zum Nachvollziehen und oft einem Machbarkeitsnachweis (Proof of Concept).
4. Prüfen und bewerten: Das Unternehmen oder die Plattform prüft die Meldung (Triage). Ist sie neu und echt? Wie schwer wiegt sie, zum Beispiel nach CVSS?
5. Beheben: Das Entwicklungsteam schließt die Lücke.
6. Belohnen: Der Finder erhält die Prämie. Nach Absprache darf er die Lücke später veröffentlichen.

Ein Beispiel: Eine Forscherin entdeckt, dass sich im Kundenportal eines Online-Händlers fremde Bestellungen abrufen lassen, wenn man eine Nummer in der Adresszeile ändert. Sie meldet das über das Programm. Das Unternehmen bestätigt den Fund, schließt die Lücke innerhalb weniger Tage und zahlt eine Prämie. Ohne das Programm hätte die Lücke womöglich erst ein Datenleck gezeigt.

Bug Bounty, VDP und Penetrationstest

• Vulnerability Disclosure Program (VDP): ein geregelter Meldeweg für Schwachstellen ohne Prämie. Das Unternehmen sagt zu, Meldungen ernst zu nehmen und Finder nicht zu verklagen.
• Bug Bounty: ein VDP mit Prämien. Bezahlt wird nur für bestätigte Funde.
• Penetrationstest: ein beauftragter Test in einem festen Zeitraum. Ein Team prüft einen festen Umfang systematisch und liefert einen vollständigen Bericht.

Der Unterschied liegt in der Abdeckung. Ein Pentest prüft gezielt alles, was im Auftrag steht. Bug Bounty bringt viele unterschiedliche Blickwinkel, aber keine Garantie, dass jeder Bereich angeschaut wird. Viele Unternehmen nutzen daher beides: regelmäßige Pentests und ein dauerhaftes Programm dazwischen.

Öffentliche und private Programme

• Öffentlich: Jeder kann teilnehmen. Das bringt viele Augen, aber auch viele Meldungen, darunter Doppelte und Unbrauchbare.
• Privat: Nur eingeladene, erfahrene Forschende nehmen teil. Das ist ein guter Einstieg, weil die Menge an Meldungen überschaubar bleibt.

Viele Programme laufen über Plattformen wie HackerOne, Bugcrowd, Intigriti oder YesWeHack. Die beiden Letzteren haben ihren Sitz in Europa. Plattformen übernehmen oft die Vorprüfung der Meldungen, die Auszahlung und den Kontakt zu den Forschenden.

Vorteile für Unternehmen

• Mehr Blickwinkel: Viele Forschende mit unterschiedlichem Wissen finden Lücken, die ein einzelnes Team übersieht.
• Laufende Prüfung: Das Programm läuft dauerhaft, nicht nur einmal im Jahr.
• Bezahlung nach Ergebnis: Prämien fallen nur für echte, bestätigte Funde an.
• Geordneter Meldeweg: Wer eine Lücke findet, weiß, wohin damit. Das senkt das Risiko, dass sie öffentlich wird, bevor sie behoben ist.
• Vertrauen: Ein Programm zeigt Kunden und Partnern, dass Sicherheit ernst genommen wird.

Herausforderungen und Risiken

• Viele Meldungen: Gerade öffentliche Programme erzeugen viele doppelte oder wertlose Berichte. Das bindet Personal.
• Reife nötig: Wer noch viele einfache Lücken hat, zahlt teuer für Dinge, die ein Scan oder Pentest günstiger gefunden hätte.
• Unklare Regeln: Ein ungenauer Scope führt zu Streit über Prämien und zu Tests an falschen Systemen.
• Langsame Reaktion: Wer Meldungen wochenlang liegen lässt, verliert das Vertrauen der Forschenden.
• Datenschutz: Forschende können bei Tests auf personenbezogene Daten stoßen. Die Regeln sollten festlegen, wie sie damit umgehen.

Rechtliches und Regulierung

In Deutschland kann es strafbar sein, ohne Erlaubnis in fremde Systeme einzudringen, etwa nach § 202a StGB. Ein Programm gibt diese Erlaubnis, aber nur im festgelegten Rahmen. Gute Programme sagen deshalb ausdrücklich zu, Forschende bei regelkonformem Vorgehen nicht rechtlich zu verfolgen. Das nennt man Safe Harbor.

Auch die EU fördert geordnete Meldewege. Die NIS-2-Richtlinie sieht eine koordinierte Offenlegung von Schwachstellen vor. Dabei vermittelt ein nationales CSIRT zwischen Findern und Herstellern. Der Cyber Resilience Act verpflichtet Hersteller vernetzter Produkte, einen Prozess für die Meldung und Behandlung von Schwachstellen zu betreiben.

Ein Programm starten in sechs Schritten

1. Grundlagen schaffen: Ein funktionierendes Vulnerability Management und ein vorheriger Pentest räumen die einfachen Lücken ab.
2. Meldeweg einrichten: Eine security.txt nach RFC 9116 nennt Kontakt und Regeln. Auch SecTepe veröffentlicht eine unter /.well-known/security.txt.
3. Mit einem VDP beginnen: Erst einen Meldeweg ohne Prämie, dann ein privates Programm, später eventuell ein öffentliches.
4. Scope und Regeln festlegen: Welche Systeme sind erlaubt, welche Tests verboten, etwa Denial of Service oder Phishing gegen Mitarbeitende?
5. Prämien staffeln: nach Schweregrad, transparent und vorab veröffentlicht.
6. Schnell reagieren: Eingang bestätigen, zügig bewerten, Behebung verfolgen und Finder auf dem Laufenden halten.

Fazit

Ein Bug-Bounty-Programm belohnt externe Forschende dafür, Sicherheitslücken zu finden und vertraulich zu melden. Es ergänzt Penetrationstests, ersetzt sie aber nicht. Wer klare Regeln setzt, klein mit einem VDP oder privaten Programm startet und schnell auf Meldungen reagiert, gewinnt einen dauerhaften zusätzlichen Schutz.