Pentagon: Hacker finden 138 Sicherheitslücken

US-Verteidigungsminister Ashton Carter hat die Ergebnisse des Wettbewerbs „Hack the Pentagon“ offiziell bekannt gegeben. Demnach reichten über 250 von 1400 eingeladenen Teilnehmern Berichte über Schwachstellen ein. 138 Sicherheitslücken erwiesen sich als „legitim, einzigartig und qualifiziert für eine Prämie“. Carter erwähnte zugleich, dass alle Lücken inzwischen in Zusammenarbeit mit dem Unternehmen HackerOne aus dem Silicon Valley geschlossen wurden.

Die Auszahlungen beliefen sich von rund 100 Dollar bis zu 15.000 Dollar für einen Teilnehmer mit mehreren Einreichungen. Bei dem zwischen dem 18. April und dem 12. Mai veranstalteten Hackerwettbewerb handelte es sich um ein Pilotprogramm. Es kostete insgesamt 150.000 Dollar. „Das ist keine kleine Summe“, sagte Carter. „Aber wenn wir die übliche Verfahrensweise gewählt und eine Firma von außerhalb mit einer Sicherheitsüberprüfung und der Evaluierung von Schwachstellen beauftragt hätten, hätte uns das weit über eine Million Dollar gekostet.“

Der Minister erklärte das Programm daher zu einer kostengünstigen Methode, um die Mitarbeiter zu unterstützen, die mit der Verteidigung der Computernetzwerke betraut sind. Die Behörde investiere aggressiv in Innovation einschließlich Menschen, Methoden und Technologien. Der Hackerwettbewerb habe all diese Elemente „mit beträchtlichem Erfolg“ kombiniert.

Darüber hinaus habe sein Ministerium „stärkere Brücken zu innovativen Bürgern gebaut, die etwas bewirken wollen für unseren Verteidigungsauftrag“. Laut Carter muss es einen gangbaren Weg für ethische Hacker und Sicherheitsforscher geben, um Sicherheitslücken in den Netzwerken und Systemen des Verteidigungsministeriums zu melden. Die Behörde wolle dafür eine zentrale Anlaufstelle schaffen.

Der Politiker kündigte darüber hinaus eine Ausweitung des Bug-Prämienprogramms auf andere Bereiche des Ministeriums an. Alle Abteilungen sollen prüfen, wo derartige Programme möglich sind. Auch für Auftragnehmer, die mit Systemen des Ministeriums arbeiten, sind Anreize geplant für „innovative Herangehensweisen an Tests der Cybersicherheit“.

Das Pilotprogramm galt nur öffentlich zugänglichen Websites wie Defense.gov und Dodlive.mil, nicht aber einsatzkritischen Systemen. „Obwohl es nur um eine Anzahl von öffentlichen Websites ging, können wir sehr viel daraus lernen“, sagte Chris Lynch, Direktor des Defense Digital Service, der das Programm durchgeführt hatte.

Das Verteidigungsministerium ist wie andere US-Regierungsbehörden ständigen Hackerangriffen ausgesetzt. Im August 2015 soll es beispielsweise russischen Hackern gelungen sein, ein E-Mail-System des Pentagon zu knacken. Die Ermittler verfolgten Berichten zufolge den Spearphishing-Angriff nach Russland zurück. Für eine direkte Beteiligung der Regierung in Moskau fehlten aber Beweise. Das betroffene E-Mail-System wurde erst einmal abgeschaltet.