Ethische Hacker greifen an

Zumbühl: Wir sind überzeugt, dass ein solches Programm ein zusätzlicher Gewinn in Sachen Informationssicherheit sein kann. Hier wird nämlich eine Dienstleistung nicht nur von innen betrachtet, sondern auch von aussen. Wir arbeiten hier mit sogenannten «ethischen Hackern» zusammen, also mit Leuten, die sich wirklich für die IT-Security engagieren wollen. Diese für die eigene Sicherheit einzuspannen und als Partner zu gewinnen, war uns wichtig. Allerdings wussten wir zunächst nicht, wie gut das Ganze funktionieren würde. Daher haben wir die Idee erst einmal getestet. Mittlerweile kann ich aber sagen, dass das Programm sehr erfolgreich ist und dass wir es weiter ausbauen werden.

Zumbühl: Es gibt hier mehrere Unterschiede. So kommen Pentester und Bug-Bounty-Hunter auf unterschiedlichen Entwicklungsstufen zum Einsatz. Ein Pentester klopft unsere Entwicklungen in einem früheren Stadium ab. Er kommt etwa schon in einer Testphase oder innerhalb der Entwicklungsumgebung zum Einsatz. Pentester sollen bewusst eine externe Sicht auf die Entwicklungen werfen. Dadurch vermeiden wir es einerseits, betriebsblind zu werden, andererseits erhalten wir auf diese Weise auch zusätz­liches Know-how bereits in der Entwicklungsphase. Es ist immer wieder interessant zu sehen, wie Pentester an ihre Aufgabe herangehen. Der Pentester kommt mit eigenen Tools und er besitzt Unterlagen von uns über den Aufbau der Systeme. Über all dies verfügt der Bug-Bounty-Hunter nicht. Denn beim Bug-Bounty-Programm wird ein fertiges Produkt angegriffen, das von aussen so auch für die Kunden erreichbar ist, wie beispielsweise der Online-Postshop. Für den Bug-Bounty-Hunter ist unser System eine «Black Box». Er sieht nur das Login oder eine Ein­gabemaske im Web – genauso wie jeder Kunde der Post. Wir informieren ihn auch bewusst nicht näher darüber.

Es ist somit viel Kreativität seitens des Angreifers gefragt. Sinn und Zweck ist schliesslich, dass er wie ein
Hacker an die Aufgabe herangehen muss. Das heisst, dass er nicht nur ins Produkt einbrechen kann, sondern dass er bei der ganzen Aktion auch noch unerkannt bleibt. Daher finden Bug-Bounty-Hunter auch andere Schwachstellen he­raus als Pentester und wir sehen gleichzeitig, ob wir den Angriff auch rechtzeitig als solchen erkennen.