Ein Blick von außen
Mit dem öffentlichen Bug-Bounty-Programm ergänzt das Bundesministerium für Digitales und Staatsmodernisierung (BMDS) die bestehenden Sicherheitsmaßnahmen für d-you und das EUDI-Wallet-Ökosystem. Der offene Prüfprozess stärkt die Transparenz und ermöglicht es, zusätzlich zur internen Prüfung unabhängige Expertise einzubeziehen.
Dr. Markus Richter, Staatssekretär im Bundesministerium für Digitales und Staatsmodernisierung, erklärt dazu:
„Sicherheit ist eine Voraussetzung für Vertrauen in digitale Identitäten und Nachweise. Deshalb öffnen wir die staatliche EUDI-Wallet d-you und das EUDI-Wallet-Ökosystem zusätzlich aktiv für die unabhängige Sicherheitsforschung. Mit dem öffentlichen Bug-Bounty-Programm schaffen wir einen strukturierten Weg, um potenzielle Schwachstellen frühzeitig zu erkennen, verantwortungsvoll zu melden und vor dem geplanten Start von d-you gemeinsam zu beheben.“
Das Prinzip des Bug-Bounty-Programms ist einfach: Sicherheitsforschende suchen unter festgelegten Bedingungen nach Schwachstellen und melden ihre Funde. Für bestätigte Sicherheitslücken können sie eine Prämie erhalten. So ergänzt der Blick von außen die interne Prüfung und stärkt die Transparenz.
Testen unter klaren Bedingungen
Die Prüfungen beginnen in der Testumgebung des Ökosystems mit virtuellen Testidentitäten. Der aktuelle Prüfumfang umfasst zentrale Komponenten von d-you: die App und die zugehörigen Dienste im Hintergrund.
Das Programm wird in den kommenden Wochen schrittweise auf alle Komponenten des Ökosystems ausgeweitet. Dazu gehören unter anderem der PID-Provider, der EUDI Hub DE, die EUDI Check DE App und die Wallet Revocation Website. Der verbindliche Prüfumfang wird vom nationalen EUDI-Wallet-Projekt auf HackerOne fortlaufend aktualisiert.
Auch Fehler in der Produktivumgebung, die mit dem Start von d-you bereitgestellt wird, können im Rahmen des Programms gemeldet werden.
Von der Meldung zur Behebung
HackerOne übernimmt den strukturierten Meldeweg, die erste technische Prüfung, die Kommunikation mit den Sicherheitsforschenden und die Abwicklung der Prämien.
Common Codes – Wallet Provider und zentraler Orchestrator des Ökosystems – bewertet die gemeldeten Sicherheitslücken abschließend, legt die jeweilige Prämienhöhe fest und koordiniert die Behebung. Die Prämien richten sich nach Schwere und Auswirkung einer bestätigten Sicherheitslücke. Für außergewöhnlich schwerwiegende Schwachstellen liegt die Prämienhöhe derzeit zwischen 15.000 und 40.000 US-Dollar.
Informationen und Teilnahme
Details zu Prüfumfang, Teilnahmebedingungen, Meldeverfahren und Prämien sind auf der Programmseite bei HackerOne verfügbar.