Bug Bounty

Ein Bug Bounty ist das dauerhafte Angebot eines Unternehmens, unabhängige Sicherheitsforscher zu bezahlen, die Schwachstellen in seinen Produkten finden und vertraulich melden. Das Programm veröffentlicht seine Regeln: welche Produkte dazugehören, wie gemeldet wird, wie viel Zeit der Hersteller für die Behebung hat, bevor Details öffentlich werden, und wie die Prämien mit dem Schweregrad steigen.

Bei Hardware-Wallets umfasst der Geltungsbereich meist die Firmware, die Begleit-App und manchmal die Hardware selbst. Ledger, Trezor und BitBox gehören zu den Herstellern mit öffentlichen Programmen. Forscher, die sich an die Regeln halten, werden bezahlt und namentlich genannt; der Hersteller gewinnt Zeit, eine Korrektur auszuliefern, bevor Angreifer von der Lücke erfahren. Dieses Vorgehen heißt Coordinated oder Responsible Disclosure.

Ein Bounty-Programm gibt Außenstehenden einen Grund hinzusehen und einen sicheren Meldeweg. Eine Historie veröffentlichter Berichte und Korrekturen sagt mehr über einen Hersteller aus als das Fehlen bekannter Probleme.

Andere Maßnahmen ersetzt es nicht. Ein Bounty findet nur, wonach jemand suchen will; Closed-Source-Code ist für Außenstehende schwerer zu untersuchen, und Prämien, die klein sind im Vergleich zu dem, was eine Lücke anderswo einbrächte, wecken wenig Interesse. Sicherheitsaudits, quelloffene Firmware und ein internes Sicherheitsteam decken ab, was ein Bounty allein nicht leistet.