Exploits dringend gesucht:
Apple zahlt erfolgreichen Hackern Millionen

Apple verdoppelt die Belohnungen seines Bug-Bounty-Programms: Wer kritische Sicherheitslücken findet, kann bis zu zwei Millionen Dollar kassieren. Das Unternehmen will damit unter anderem hoch entwickelte Spionagesoftware bekämpfen.

Apple setzt neue Maßstäbe bei Bug-Belohnungen

Apple hat eine umfassende Überarbeitung seines Security-Bounty-Programms angekündigt und verdoppelt dabei die Höchstprämie von einer auf satte zwei Millionen Dollar. Die neue Belohnung gilt für Exploit-Ketten, die ähnliche Ziele wie hoch entwickelte Spionagesoftware erreichen können und dabei keine Benutzerinteraktion erfordern. Dank eines Bonussystems kann die maximale Auszahlung sogar auf über fünf Millionen Dollar steigen.

Die Ankündigung erfolgt zu einem Zeitpunkt, zu dem staatlich unterstützte Angriffe und kommerzielle Spionagesoftware zunehmend in den Fokus der Öffentlichkeit geraten. Unternehmen wie NSO Group mit ihrer Pegasus-Software haben gezeigt, wie wertvoll Zero-Day-Exploits für iOS-Geräte auf dem Schwarzmarkt sind. Laut Apple stammen die einzigen systemweiten iOS-Angriffe, die das Unternehmen in freier Wildbahn beobachtet hat, von Spionagesoftware, die historisch mit staatlichen Akteuren verbunden ist.


Seit der Einführung des öffentlichen Programms im Jahr 2020 hat Apple nach eigenen Angaben über 35 Millionen Dollar an mehr als 800 Sicherheitsforscher ausgezahlt. Das ursprünglich 2016 gestartete Programm war zunächst nur für ausgewählte Experten zugänglich und wurde erst mit Verzögerung für alle geöffnet. Die Initiative war eine Reaktion auf die wachsende Bedrohung durch kommerzielle Exploit-Anbieter, die Millionen für iOS-Schwachstellen zahlen.

Deutliche Erhöhung der Belohnungskategorien

Die Neuerungen gehen weit über die Verdopplung der Höchstprämie hinaus. Exploit-Ketten mit Ein-Klick-Benutzerinteraktion werden nun mit bis zu einer Million Dollar statt der bisherigen 250.000 Dollar belohnt. Auch Angriffe, die physische Nähe zum Gerät erfordern, können jetzt eine Million Dollar einbringen, was eine Vervierfachung der vorherigen Summe darstellt.

Weitere Kategorien wurden ebenfalls aufgestockt:

Angriffsart	Aktuelles Maximum	Neues Maximum
Remote-Angriff ohne Benutzerinteraktion	1 Million $	2 Millionen $
Remote-Angriff mit einmaliger Benutzerinteraktion	250.000 $	1 Million $
Angriff erfordert physische Nähe zum Gerät	250.000 $	1 Million $
Angriff erfordert physischen Zugriff auf gesperrtes Gerät	250.000 $	500.000 $
Angriff von App-Sandbox auf SPTM-Umgehung	150.000 $	500.000 $

Diese Erhöhungen spiegeln die Realität des Schwarzmarkts wider, auf dem Zero-Day-Exploits für iOS-Geräte regelmäßig für Millionenbeträge gehandelt werden. Das Unternehmen Zerodium, ein bekannter Exploit-Broker, bietet Hackern beispielsweise bis zu 2,5 Millionen Dollar für das Aufspüren persistenter iOS-Zero-Day-Lücken an.

Neue Target-Flags beschleunigen Belohnungen

Apple führt zudem sogenannte Target-Flags ein. Dabei handelt es sich um ein neues System, mit dem Forscher objektiv die Ausnutzbarkeit ihrer Entdeckungen demonstrieren können. Diese von Capture-the-Flag-Wettbewerben inspirierte Methode ermöglicht es, Belohnungen sofort nach Verifikation zu bearbeiten, noch bevor ein Fix verfügbar wird. Das System soll die oft monatelangen Wartezeiten zwischen Meldung und Auszahlung verkürzen.

Besondere Initiativen

Um besonders gefährdete Nutzer wie Aktivisten, Journalisten oder Politiker zu schützen, plant Apple eine spezielle Initiative. So wird das Unternehmen tausend iPhone-17-Geräte mit Memory Integrity Enforcement an Bür­ger­rechts­or­ga­ni­sa­tio­nen liefern, die sie an gefährdete Nutzer weiterleiten können. Diese neue Sicherheitsfunktion soll die bedeutendste Verbesserung der Speichersicherheit in der Geschichte von Verbraucherbetriebssystemen darstellen und hardwarebasierte Schutzmaßnahmen gegen Speicher-Corruption-Angriffe bieten.

Die aktualisierten Bestimmungen für das Bounty-Programm treten im November 2025 in Kraft. Bis dahin bewertet Apple alle neuen Berichte sowohl nach den alten als auch den neuen Richtlinien und zahlt jeweils den höheren Betrag aus.

Was haltet ihr von Apples neuer Bug-Bounty-Strategie? Glaubt ihr, dass die höheren Belohnungen wirklich mehr Sicherheitsforscher anlocken werden? Teilt eure Einschätzung in den Kommentaren mit.


Siehe auch: