Die Entdeckung einer Sicherheitslücke bei Google brachte einem Vorarlberger nun 90.000 Dollar (rund 80.770 Euro) ein. Simon Köck (22) galt schon in seiner Schulzeit als Technik-Affin und ist online als "Bug Bounty Hunter" unterwegs. Dabei handelt es sich um Menschen, die gezielt nach Sicherheitsproblemen in Computerprogrammen und auf Webseiten suchen.
Sobald sie einen Fehler finden, melden sie dies dem betroffenen Unternehmen. Einige bezahlen hohe Summen für Hinweise – so auch Google. Bereits am 6. August meldete Köck dem Internetriesen, dass ihm ein Problem beim Anmeldeverfahren auf mehreren Entwicklerseiten des Konzerns aufgefallen sei.
"Heute" auf Google als bevorzugte Quelle festlegen
Das entdeckte Köck
Wie der 22-Jährige in einem Bericht auf seiner Webseite schreibt, ging es dabei um eine ungewöhnlich große Datei. Diese werde beim Besuchen der Webseite im Browser gespeichert. In ihr sei ein geheimer Schlüssel enthalten, der dazu verwendet wurde, die Echtheit der Sitzungsdaten zu überprüfen.
Köck gelang es manipulierte Daten zu erstellen, die das System dennoch akzeptierte. In Kombination mit einem weiteren Programmierfehler könnten Angreifer so einen eigenen Programmcode auf betroffenen Google-Servern ausführen. Eine vorherige Anmeldung sei dafür nicht notwendig.
Der Vorarlberger konnte dies testen, indem er die Server unterschiedlich lange mit ihrer Antwort warten ließ. Er kam zu dem Ergebnis, das die gemessenen Verzögerungen seinen Angaben entsprachen. Köck hätte allerdings genauso schädliche Befehle ausführen können. Laut dem 22-Jährigen hätten auch Entwicklerseiten von Android und Firebase diese Schwachstelle aufgewiesen.
Die Bilder des Tages
?
Problem behoben
Nur einen Tag nach seiner Meldung wurde der Bericht von Google geprüft und akzeptiert. Zur Belohnung kassierte Köck 90.000 Dollar von Google. Diese teilte sich in eine Grundprämie von 75.000 Dollar und einem Qualitätszuschlag von 20 Prozent auf. Das Problem konnte von Google am 7. Oktober behoben werden.
