Bug Tracking als Geschäftsmodell

VDA Labs (VDA) deckt Fehler in Applikationen auf, um die Informationen an die jeweiligen Hersteller zu verkaufen. Damit ist das von Jared DeMott gegründete Unternehmen in kürzester Zeit zu einem Synonym für ein neues und zweifelhaftes Geschäftsmodell geworden.

Für die Entdeckung verlangt VDA eine Gebühr oder auch einen “Beratungsauftrag”. Andernfalls würde der Bug an Dritte weiterverkauft oder der Fehler öffentlich aufgedeckt. “Unser Business-Modell hat schon ein paar Ecken und Kanten”, sagte DeMott – andere nennen es schlicht Erpressung.

Vor zwei Wochen bekam es die Social-Network-Plattform Linkedin mit VDA zu tun. Die Firma spürte eine Lücke in der ‘Linkedin Internet Explorer Toolbar’ auf und bot dem Unternehmen genauere Informationen sowie weitere Beraterdienste zum Pauschalpreis von 5000 Dollar an. Gleichzeitig wurde Linkedin ein Ultimatum gesetzt.

Nachdem Linkedin auf die Forderungen nicht reagierte, setzte VDA am Abend vor dem Ablauf des Ultimatums weitere E-Mails ab. Darin wurde an die Deadline erinnert und die Forderung auf 10.000 Dollar erhöht. Als auch diese Drohung unbeantwortet blieb, bot DeMott zwei Tage später nur noch die Beratungsdienste an. Linkedin hat sich zu diesem Vorfall nicht geäußert und den betreffenden Bug mittlerweile selbst bereinigt.

DeMott verteidigte derweil seine Praktiken. Diese seien nur dazu gedacht, den betroffenen Unternehmen zu helfen und eindringlich auf Sicherheitslücken hinzuweisen. “Wir haben unsere Maßnahmen niemals als Erpressung angesehen. Wir wollten Firmen lediglich auf Bugs hinweisen und unsere Hilfe anbieten”, so DeMott.

Als Begründung nannte er die Verfahrensweise einiger Softwarefirmen, niemals mit Sicherheitsfirmen zu kooperieren, sondern lediglich auf durch Kunden aufgedeckte Fehler zu reagieren. “Wir haben mit unserem Geschäftsmodell durchaus Erfolg. In den vergangen vier Monaten hat die Hälfte der angesprochenen Firmen für die Bug-Beseitigung und für unsere Dienste gezahlt.”

“Das ist eindeutig Erpressung. Niemand sollte mit der Veröffentlichung eines Bugs drohen und Geld fordern”, sagte dagegen Johannes Ullrich, Forschungsleiter beim Sans Institute.

“VDA ist nicht die einzige Firma mit dieser Geschäftspraktik. Da große Firmen wie Microsoft aber im Einklang mit ihren Unternehmenswerten niemals für aufgedeckte Fehler bezahlen, sehen sie diese Vorgehensweise als schlichte Erpressung an”, betonte Terri Forslof, Sicherheitsmanager bei Tipping Point, einer Tochterfirma von 3Com.