Tamedia startet öffentliches Bug-Bounty-Programm

Öffentliche Bug-Bounty-Programme erfreuen sich zunehmender Beliebtheit. Im Rahmen eines solchen Programmes können ethische Hacker sich bei Firmen auf die Suche nach Sicherheitslücken begeben und erhalten für gefundene Bugs je nach Schwere eine Belohnung.

Nach der Schweizerischen Post (PCtipp berichtete) hat nun auch Tamedia sein bisheriges Bug-Bounty-Programm geöffnet. Bislang wurden die insgesamt 1000 teilnehmenden Sicherheitsexperten und Hacker nur auf Einladung zur Schwachstellen-Jagd zugelassen.

«Durch die Öffnung soll die Zahl der Teilnehmenden noch einmal deutlich gesteigert werden», hofft Reto Matter, Chief Technology Officer von Tamedia. Ziel sei es, Schwachstellen auf den Newssites, in den Apps und den Backend-Systemen von Tamedia zu finden, die es einem Angreifer ermöglichen würden, die Systeme zu überlasten, auf Daten zuzugreifen oder schädliche Codes in die Systeme einzuschleusen, ergänzt Matter.

Tamedia und TX Group bauen bei der öffentlichen Schwachstellenjagd auf die Partnerschaft mit BugCrowd, einem Anbieter von Bug-Bounty-Programmen. Gemäss Angaben auf dessen Webseite dürfen ethische Hacker zwischen 150 und 2500 Dollar pro gefundene Verwundbarkeit erwarten.

«Unsere Bug-Bounty-Programme gehören bereits seit längerem zu den wirksamsten Massnahmen unserer Product-Security-Strategie», erklärt Andreas Schneider, Chief Information Security Officer der TX Group. «Dieses Programm öffentlich anzubieten, ist die Krönung unserer Anstrengungen, die sicherste News-Plattform der Schweiz zu bauen», ist Schneider daher überzeugt.

Es bleibt aber nicht nur bei der Jagd auf Sicherheitslücken und Programmierfehler. «Die Erkenntnisse aus unseren Bug-Bounty-Programmen nutzen wir auch, um unsere Entwicklerinnen und Entwickler entsprechend zu schulen», berichtet Schneider. «So können wir Schwachstellen beseitigen, bevor sie überhaupt aufreten», ergänzt er.

Plattformen zu hacken, ist normalerweise eine Straftat. Bei einem Bug-Bounty-Programm handelt es sich um ethisches Hacking, bei dem Hacker bewusst in Systeme eindringen und gezielt nach Schwachstellen suchen. Da sie sich an bestimmte Regeln halten, werden sie rechtlich nicht belangt.