Bug Bounty: Google schüttet 2019 insgesamt 6,5 Millionen Dollar aus

Google hat aktuelle Zahlen zu seinem Bug-Bounty-Programm veröffentlicht. 2019 schüttete das Unternehmen 6,5 Millionen Dollar an Sicherheitsforscher aus, die Schwachstellen in Produkten und Diensten des Unternehmen gefunden und gemeldet haben. Gegenüber dem Vorjahr verdoppelte sich der Betrag nahezu.

Das Vulnerability Rewards Program bietet Google seit 2010 an. Seitdem gab das Unternehmen mehr als 21 Millionen Dollar für Sicherheitsprämien aus. Der Rekordbetrag des vergangenen Jahres verteilt sich auf 461 Sicherheitsforscher. Die Höchste Belohnung ging mit 201.337 Dollar an Guang Gong von Alpha Lab, der eine Exploit-Kette entdeckte, um mit nur einem Klick aus der Ferne Schadcode auf einem Google Pixel 3 auszuführen.

Einige Forscher spenden laut Google die ihnen zustehenden Zahlungen. 2019 kam so ein Betrag von 507.000 Dollar für gute Zwecke zusammen. „Das ist fünfmal mehr als wir jemals zuvor in einem Jahr gespendet haben. Vielen Dank für Ihre harte Arbeit und die großzügigen Spenden“, schreiben Natasha Pabrai, Jan Keller, Jessica Lin, Anna Huga und Adam Bacchus vom Vulnerability Rewards Program in einem Blogeintrag.

Der Anstieg der Prämienzahlungen ist auch einer Erhöhung Belohnungen geschuldet, die Google pro gemeldeter Schwachstelle verteilt. Die maximale Basisprämie beläuft sich beispielsweise seit 2019 auf 15.000 statt 5000 Dollar. Besonders hochwertige Fehlerberichte belohnt Google seit vergangenem Jahr zudem mit bis zu 30.000 statt 15.000 Dollar. Selbst Forscher, die automatische Fuzzing-Tools für das Aufspüren von Bugs verwenden, erhalten nun mindestens 1000 statt nur 500 Dollar für ihre Arbeit.

Ausgeweitet wurde auch das Prämienprogramm für Android. Eine Exploit-Kette, die eine Remotecodeausführung erlaubt und dauerhaft den Sicherheitschip Titan M der Pixel-Smartphones kompromittiert, würde einem Forscher eine Million Dollar einbringen. Wir ein solches Bug in einer Preview einer kommenden Android-Version entdeckt, legt Google eines Bonus von 50 Prozent drauf, was einem Preisgeld von 1,5 Millionen Dollar entspricht.

Prämien zahlt Google seit Mitte 2019 sogar für Anfälligkeiten in Apps von Drittanbietern. Ziel ist es, den Play Store sicherer zu machen. Allerdings ist das Programm auf Anwendungen mit mehr als 100 Millionen Installationen beschränkt. Trotzdem wurden im zweiten Halbjahr 2019 bereits 65.000 Dollar an Sicherheitsforscher überwiesen.