Android-Apps: Google belohnt Fehlersuche im Play Store

Um die Sicherheit im Play Store zu erhöhen, führt Google ein Bug-Bounty-Programm für Android-Apps ein. Wer bei teilnehmenden App-Entwicklern einen sicherheitsrelevanten Bug findet, soll 1.000 US-Dollar erhalten. Aktuell nehmen Google selbst sowie acht weitere App-Anbieter teil.

Artikel veröffentlicht am 20. Oktober 2017, 15:50 Uhr, Tobias Költzsch

Google bietet für den Play Store ein Bug-Bounty-Programm an. (Bild: Screenshot: Golem.de)

Google hat in Zusammenarbeit mit dem Portal Hackerone ein Bug-Bounty-Programm für seinen Play Store gestartet. Sicherheitsforscher können Entwicklern Bugs melden, die sicherheitsrelevant sind, und erhalten daraufhin eine Belohnung. Das Programm nennt sich Google Play Security Reward Program.

1.000 US-Dollar für erfolgreich beseitigten Bug

Hackerone zufolge solle es für einen gemeldeten Bug, der erfolgreich beseitigt wurde, einen Betrag von 1.000 US-Dollar geben. Die erfolgreiche Beseitigung ist Voraussetzung dafür, dass der Betrag ausgezahlt wird.

Sicherheitsforscher können allerdings nicht einfach jede Android-App im Play Store untersuchen und für gefundene Fehler Geld einheimsen: Die Aktion ist auf Entwickler beschränkt, die eingewilligt haben, am Programm teilzunehmen. Aktuell sind das Google mit seinen Android-Apps sowie Alibaba, Dropbox, Duolingo, Headspace, Line, Mail.ru, Snapchat und Tinder.

Aktuell ist das Programm nur auf RCE-Schwachstellen (Remote Code Execution) limitiert. Wer bei den teilnehmenden Entwicklern und deren Apps eine derartige Schwachstelle gefunden hat, muss sie den App-Herstellern melden. Ist das Problem gelöst, können sich die Entdecker an Google und das Play Store Security Reward Program wenden.

Belohnung nur bei ausgewählten Entwicklern

Ist der Hergang nachvollziehbar, sollen die Entdecker den Betrag ausgezahlt bekommen. Google selbst nennt keinen Betrag, auf der Erklärungsseite von Hackerone werden aber die erwähnten 1.000 US-Dollar genannt. Für entdeckte Bugs bei Entwicklern, die nicht offiziell am Bounty-Programm teilnehmen, gibt es keine Belohnung.

Mit den aktuell teilnehmenden Entwicklern will Google das Programm testen und wartet auf Nutzerfeedback. Mit der Zeit sollen noch weitere Android-Entwickler am Bug-Bounty-Programm von Google teilnehmen.