Open Bug Bounty
# Open Bug Bounty

Open Bug Bounty ist eine nicht kommerzielle, offene Plattform für unabhängige Sicherheitsforscher zur verantwortungsbewussten Offenlegung von Sicherheitslücken, wie Cross-Site-Scripting und ähnlichem, die von den Experten auf Websites mithilfe nicht eindringender Sicherheitstesttechniken entdeckt wurden. Die Sicherheitsspezialisten können je nach gefundener Sicherheitslücke und betroffener Website selbst entscheiden, ob sie die Details der Sicherheitsanfälligkeit innerhalb von 90 Tagen nach Einreichung der Sicherheitsanfälligkeit veröffentlichen oder ob sie diese nur den Betreibern der Website mitzuteilen. Es wird erwartet, dass die Betreiber der betroffenen Website die Entdecker für die Erstellung ihrer Berichte belohnen.

## Ziel der Plattform

Im Gegensatz zu kommerziellen Bug-Bounty-Programmen ist Open Bug Bounty ein nicht kommerzielles Projekt und muss weder von den Sicherheitsexperten noch von den Website-Betreibern bezahlt werden. Jede Prämie ist eine Frage der Vereinbarung zwischen dem Entdecker und den Betreibern der Website. Heise.de sieht in dem Projekt das Potenzial, die Website als Mittel zur Erpressung von Website-Betreibern zu nutzen. Die Drohung könnte sein, dass wenn keine Prämie (Kopfgeld) gezahlt wird, die Schwachstelle öffentlich gemacht wird. Heise.de berichtete jedoch auch, dass Open Bug Bounty dies verbietet.

Open Bug Bounty wurde 2014 von privaten Personen ins Leben gerufen und hatte bis Februar 2017 bereits 100.000 Sicherheitslücken registriert, von denen 35.000 behoben wurden. Das Projekt entstand aus der Website XSSPosed, einem Archiv von Cross-Site-Scripting-Schwachstellen.

Im Februar 2018 informierte die Plattform darüber, dass 100.000 Schwachstellen mithilfe des koordinierten Offenlegungsprogramms auf der Grundlage der ISO-29147-Richtlinien behoben werden konnten.

Bis Ende 2019 meldete die Plattform 272.020 behobene Sicherheitslücken mithilfe des koordinierten Offenlegungsprogramms auf der Grundlage der ISO 29147-Richtlinien.

Am 10. September 2020 steht der gleiche Zähler bereits auf über 369.000 behobenen Sicherheitslücken.

