US-Start-up will Patches patentieren

Kreative Nutzung von Sicherheitslücken

Das US-Start-up "Intellectual Weapons" hat angekündigt, maßgeschneiderte Patches für "Schwachstellen, technische Fehler oder Sicherheitslücken" entwickeln und patentieren zu wollen. Das Geschäftsmodell sieht vor, von "Softwareherstellern, Sicherheitsanbietern und Wettbewerbern des Softwareherstellers" Lizenzen für die Nutzung der patentierten Patches zu kassieren. Ein Teil der Profite - "typischerweise 50 Prozent" - sollen an den Entdecker der Sicherheitslücke ausgezahlt werden.

Der Plan klingt einfach: Wer eine noch nicht veröffentlichte Schwachstelle in einer Software entdeckt, wendet sich im Geheimen an die Firma mit dem sprechenden Namen "Intellectual Weapons". Zuerst wird die Schwachstelle verifiziert. Das Unternehmen prüft anschließend, ob die Entwicklung eines Patches und die Patentierung der dabei genutzten Verfahren möglich erscheint und ein geeignetes Mittel darstellt, Lizenzgebühren in nennenswerter Höhe zu kassieren. Innerhalb von zwei Wochen wird der "Forscher", der die Schwachstelle gefunden hat, darüber informiert, ob seine Entdeckung "angenommen" und weiter verfolgt wird.

Eine Erfolgschance besteht laut Aussage von "Intellectual Weapons" dann, wenn vier Kriterien erfüllt werden: Entweder der Forscher oder "Intellectual Weapons" selbst ist in der Lage, die Schwachstelle zu beheben, die Lösung ist schwer zu umgehen, kann patentiert oder anderweitig als geistiges Eigentum geschützt werden und es muss leicht fallen, festzustellen, "ob die Lösung eingesetzt wurde".

Der "Forscher" muss "Intellectual Weapons" dabei die kompletten Rechte an der Lösung abtreten, damit das Geschäft zustande kommt. Die Patentierung übernimmt "Intellectual Weapons" selbst. Mit dem Patent in der Hand will das Unternehmen dann Kunden dazu "ermutigen", seine Lösung "zu lizenzieren und zu nutzen". Ein Haken bei der Sache ist, aus Sicht der Forscher, dass "alle zusätzlichen Ausgaben [...] um das geistige Eigentum zu entwickeln und durchzusetzen [...] abgezogen werden, bevor der Forscher seinen Anteil erhält".

Die Idee, mit Sicherheitslücken Geld zu verdienen, ist nicht wirklich neu. Hersteller von Antiviren- und Firewall-Produkten verdienen seit Jahren Milliarden damit, Schwachstellen in der Software großer Anbieter, wenn nicht zu schließen, so doch wenigstens zu schützen. Und immer mehr Softwarehersteller gehen selbst dazu über, Patches nur noch auf der Basis kostenpflichtiger Service-Verträge anzubieten. [von Robert A. Gehring]