Immer öfter setzen Unternehmen und Behörden weltweit Bug-Bounty-Programme zur Verbesserung der Sicherheit ihrer IT-Infrastrukturen ein. Nun macht dies auch der Bund, wenn auch vorerst nur in einem eng eingegrenzten und nicht öffentlichen Pilotprojekt. Aufgesetzt und durchgeführt wird der Test von Bug Bounty Switzerland (BBS).  Eingesetzt wird dazu eine Bug-Bounty-Plattform, die BBS in den letzten Monaten mit technischer Hilfe von Microsoft Schweiz entwickelt habe, erklärt das Nationale Zentrum für Cybersicherheit (NCSC), welches die Aufsicht über das Projekt hat. Diese Plattform werde komplett in der Schweiz betrieben.

Ab heute, dem 10. Mai 2021, sucht eine Reihe von ethischen Hackern zwei Wochen lang nach Schwachstellen in zwei IT-Systemen des Eidgenössischen Departements für auswärtige Angelegenheiten (EDA) sowie in einem System der Parlamentsdienste. Um welche Systeme es sich genau handelt, teilt das NCSC nicht mit.

Mitmachen dürfen beim Pilotprojekt nur ethische Hacker, die BBS oder dem NCSC bekannt sind und sich bereits in anderen Projekten bewährt haben. Das NCSC möchte mit dem Projekt abklären, inwiefern Bug-Bounty-Programme einen strategischen Beitrag zur Sicherheit von Infrastrukturen bei Verwaltungen und Unternehmen leisten könnten.

Bug-Bounty-Programme kommen in letzter Zeit immer mehr in Mode. Während früher eigentlich nur Internetriesen wie Google solche Programme auslobten, tun dies mittlerweile auch immer mehr andere IT-Unternehmen und nun auch andere Grossunternehmen und Behörden. 

Der Grund ist einfach: Immer mehr gelangen Organisationen zur Einsicht, dass ihr internes Security-Personal nicht ausreicht, um systematisch und umfassend nach Schwachstellen in ihren IT-Systemen zu suchen. Nach dem Motto "Viele Augen sehen mehr als wenige" sind Bug-Bounty-Programme eine Möglichkeit, deutlich mehr Leute nach Schwachstellen suchen zu lassen. Da nur Geld fliesst, wenn ein Hacker eine Schwachstelle findet und meldet, sind solche Programme relativ kostengünstig. Zudem ist auch das Vertrauen gestiegen, dass an solchen Programmen beteiligte Hacker ihre Erkenntnisse nicht missbrauchen.