Microsoft will keine Belohnung für Sicherheitslücken zahlen

Microsoft will sich nicht der Praxis von Google und Mozilla anschließen, für entdeckte Sicherheitslücken eine Belohnung zu zahlen. Das erklärte Jerry Bryant, Sicherheitsbeauftragter bei Microsoft, gegenüber dem Blog Threatpost. Die derzeitige Regelung, die Entdecker in den Security-Bulletins zu erwähnen, funktioniere sehr gut.

Mozilla und Google haben hingegen angekündigt, ihre Belohnungen zu erhöhen. Gerüchten zufolge wollen die beiden Unternehmen in Zukunft um die 3000 Dollar (etwa 2320 Euro) pro gefundener Lücke zahlen.

Microsoft und Google führen seit einiger Zeit eine Diskussion darüber, wie mit entdeckten Sicherheitslücken umzugehen ist. Google hält es für richtig, Informationen über eine Sicherheitslücke innerhalb von 60 Tagen zu veröffentlichen. Obwohl jeder Bug einzigartig sei, müssten 60 Tage als angemessene Obergrenze für weitverbreitete Software ausreichen. Das gelte nur für kritische Lücken. Einige Bugs seien fälschlicherweise als kritisch eingestuft.

Microsoft folgte zwei Tage später mit einer Erklärung, dass es seine Strategie im Umgang mit entdeckten Sicherheitslücken ändern werde und kündigte seine „Coordinated Vulnerability Disclosure Policy“ (CVD) an.

Darin gibt Microsoft erstmals zu, dass es erforderlich ist, Details zu einem Bugs zu veröffentlichen, wenn bereits Angriffe erfolgen, unabhängig davon, ob ein Patch verfügbar ist. Von einer Obergrenze für die Veröffentlichung will Microsoft aber nichts wissen. Stattdessen sollten sich Entdecker und Softwarehersteller gemeinsam auf einen Zeitplan einigen.

Ausgelöst wurde die Diskussion dadurch, dass Google-Sicherheitsforscher Tavis Ormandy Details einer Zero-Day-Lücke in der Windows-Funktion „Hilfe und Support“ (Help and Security Center) veröffentlicht hatte, ohne Microsoft Zeit zu geben, einen Patch zu entwickeln.