Google-Sicherheitslücke gefunden: Österreicher (22) erhielt 90.000 Dollar
Der Vorarlberger Hacker Simon Köck entdeckte eine Schwachstelle und meldete sie an Google. Als Belohnung erhielt der 22-Jährige umgerechnet 80.000 Euro.
Als er mit dem Programmieren begonnen hat, war Simon Köck aus Feldkirch erst 13 Jahre alt. Jetzt hat der heute 22-jährige Vorarlberger eine schwerwiegende Sicherheitslücke bei Google entdeckt und dem US-Techkonzern gemeldet. Google sprach ihm dafür einen Finderlohn in Höhe von 90.000 US-Dollar (rund 80.000 Euro) zu, wie er auf seinem Blog schreibt.
„Durch die Sicherheitslücke wäre man wahrscheinlich relativ sicher in deren interne Systeme gekommen und hätte Zugriff auf sensible Daten von Nutzerinnen und Nutzern oder andere böswillige Dinge ausprobieren können“, erklärt Köck gegenüber dem ORF Vorarlberg. Er versteht sich als ethischer Hacker und hat im sogenannten „Bug Bounty Hunting“ seine Leidenschaft gefunden. Dabei suchen Hacker mit Erlaubnis der betroffenen Unternehmen oder Behörden gezielt nach Schwachstellen in der IT-Sicherheit. „Mit etwas Glück bekommt man Geld – quasi Bounty“, erläutert Köck.
„Es gehört viel Glück dazu“
Google habe die Sicherheitslücke innerhalb von ein bis zwei Tagen nach seiner Meldung geschlossen, „also sehr schnell gehandelt“, sagt der 22-Jährige, der laut seiner Webseite als Sicherheitsforscher und -entwickler agiert. Nach wenigen Wochen habe ihm Google die Belohnung ausgezahlt. Köck erzählt, das sei die bislang höchste Summe gewesen, die er fürs „Bug Hunting“ erhalten habe. Zu seinen bisherigen Funden zählen laut eigenen Angaben etwa auch 15 Sicherheitslücken im IT-System der Stadt Wien.
Der 22-Jährige könne sich selbst nicht genau erklären, warum die Lücke zuvor niemandem bei Google aufgefallen ist. „Es gehört viel Glück dazu“, sagt Köck dem ORF, „und was auch hilft, ist Erfahrung im Programmieren. Man weiß dann, wo die Leute Fehler einbauen.“
Wo Köck die Sicherheitslücke fand
Köck entdeckte die gravierende Schwachstelle auf der Entwicklerplattform „Google for Developers“. Es gelang ihm, über manipulierte Session-Cookies ohne notwendige Authentifizierung einen beliebigen Code auszuführen. Hacker hätten hier aus der Ferne recht einfach einen schädlichen Code ausführen können. Fachleute sprechen von RCE-Angriffen (Remote Code Execution). Wie er genau vorgegangen ist, erläutert Köck auf seiner Webseite.
Laut „eSecurity Planet“ betraf die Schwachstelle spezifisch die Google-DevSite-Implementierung. Köcks Fund mache jedoch deutlich, dass jenes Sicherheitsrisiko auch andere Webanwendungen betreffen könnte.
Big-Bounty-Programme
Big-Bounty-Programme werden von Unternehmen, Vereinen, Behörden oder Privatpersonen gestartet, um Fehler in ihrer Software zu finden. Im Fokus stehen dabei mögliche Sicherheitslücken. Besonders bei älteren Systemen haben Hacker oft leichtes Spiel. Wer die Schwachstellen findet, erhält in der Regel Sach- oder Geldpreise. Das Portal „Medium“ schätzt, dass die besten Bug-Jäger jährlich bis zu 500.000 US-Dollar verdienen können.