Kurz erklärt: Ein Bug Bounty (auch Bug-Bounty-Programm) ist ein von einer Organisation ausgelobtes Vorhaben, bei dem externen Sicherheitsforschern eine Prämie für das verantwortungsvolle Melden von Schwachstellen in Software, Diensten oder Smart Contracts gezahlt wird. Es ist ein etabliertes Instrument der IT-Sicherheit und im Krypto-Bereich eng mit Audits verzahnt.
Grundprinzip und Geschichte
Die Idee, das Melden von Fehlern finanziell zu belohnen, reicht bis in die 1990er-Jahre zurück; ein oft genanntes frühes Beispiel ist ein Programm des Browser-Herstellers Netscape im Jahr 1995. Seither haben zahlreiche Technologieunternehmen eigene Programme aufgelegt, um von der Expertise externer Forscher zu profitieren.
Das Grundprinzip lautet: Statt Schwachstellen unbemerkt oder auf Schwarzmärkten zu verwerten, sollen Finder einen legalen und vergütenden Kanal erhalten, um Probleme direkt an die betroffene Organisation zu melden. Dieses Vorgehen wird als „Responsible Disclosure“ oder koordinierte Offenlegung bezeichnet.
Ablauf und Vergütung
Ein typisches Bug-Bounty-Programm definiert einen Geltungsbereich (Scope), Regeln und eine Prämienstruktur:
- Scope: Festlegung, welche Systeme, Verträge oder Anwendungen getestet werden dürfen und welche ausgeschlossen sind.
- Schweregrade: Einstufung der Funde, häufig anhand von Skalen wie CVSS, in Kategorien von niedrig bis kritisch.
- Prämien: Gestaffelte Auszahlungen, die mit dem Schweregrad steigen. Im DeFi-Bereich können kritische Funde sehr hohe Summen erreichen.
Vermittelt werden solche Programme oft über spezialisierte Plattformen. Im Blockchain-Umfeld ist etwa Immunefi verbreitet, in der klassischen IT-Sicherheit Plattformen wie HackerOne oder Bugcrowd.
Abgrenzung und Grenzen
Ein Bug Bounty ist von einem Audit zu unterscheiden. Ein Audit ist eine strukturierte, zeitlich begrenzte Prüfung durch beauftragte Fachleute mit definiertem Umfang. Ein Bug Bounty läuft demgegenüber meist dauerhaft und ist offen für eine unbestimmte Zahl von Teilnehmern.
Auch von Audit Contests wie bei Sherlock unterscheidet es sich: Contests sind befristet und wettbewerbsorientiert, während ein Bug Bounty fortlaufend Anreize für die Meldung neuer Funde setzt. Bug Bounties ergänzen andere Massnahmen, garantieren aber keine Fehlerfreiheit, da sie auf freiwillige Beteiligung angewiesen sind.
Häufige Fragen
Was ist ein Bug Bounty in einfachen Worten?
Eine Belohnung, die eine Organisation an externe Forscher zahlt, wenn diese eine Sicherheitslücke finden und verantwortungsvoll melden, statt sie auszunutzen.
Wer betreibt Bug-Bounty-Programme?
Softwarefirmen, Online-Dienste, Behörden und im Krypto-Bereich Blockchain-Protokolle. Die Programme werden oft über Plattformen wie Immunefi, HackerOne oder Bugcrowd organisiert.
Wie hoch sind die Prämien?
Sie richten sich nach dem Schweregrad. Kritische Schwachstellen in großen DeFi-Protokollen können sehr hohe Auszahlungen erreichen, während geringfügige Funde nur kleine Beträge bringen.
Ist ein Bug Bounty dasselbe wie ein Audit?
Nein. Ein Audit ist eine beauftragte, zeitlich begrenzte Prüfung durch Fachleute mit festem Umfang. Ein Bug Bounty läuft meist dauerhaft und ist für beliebig viele Teilnehmer offen.
Ersetzt ein Bug Bounty andere Sicherheitsmassnahmen?
Nein. Es ist eine Ergänzung. Da es auf freiwillige Meldungen angewiesen ist, bietet es keine Garantie, dass alle Schwachstellen gefunden werden.
Zusammenfassung
Ein Bug Bounty ist ein Programm, bei dem Organisationen externen Forschern Prämien für das verantwortungsvolle Melden von Schwachstellen zahlen. Das Konzept reicht bis in die 1990er-Jahre zurück und wird über Plattformen wie Immunefi oder HackerOne organisiert. Bug Bounties ergänzen Audits und Audit Contests, können aber keine vollständige Fehlerfreiheit garantieren.
Weiterführende Quellen
- Bug-Bounty-Programm - Wikipedia (DE): de.wikipedia.org
- Immunefi - Bug-Bounty-Plattform für Web3: immunefi.com