Eine Wette voller Gewinner: Sherpany besteht Hacker-Test

Der Züricher Hersteller von Meeting-Management-Software Sherpany hat seine gleichnamige Software von Bug Bounty Switzerland auf Sicherheitslücken prüfen lassen. Während eines Testlaufs vom 8. bis zum 29. Juni 2021 konnten die aufgebotenen Hacker trotz eines Preisgelds von bis zu 15 000 CHF pro gefundene kritische Schwachstelle keine relevanten Lücken finden. Um die Sicherheit der Plattform auch weiterhin zu garantieren, wird das Bug-Bounty-Programm in den laufenden Betrieb überführt.

Sherpany ist eine Lösung für die Vorbereitung, Durchführung und Nachbearbeitung von Geschäftsmeetings. Die Software unterstützt Führungskräfte bei der Strukturierung von Sitzungen, um die Produktivität von Meetings zu erhöhen und damit den Geschäftserfolg zu steigern. Da Sherpany als Software-as-a-Service-Lösung in geschäftsrelevanten Bereichen eingesetzt wird, ist ein hoher Grad an Sicherheit vor Cyberattacken unerlässlich. Im Rahmen von Bug-Bounty-Programmen werden «ethische Hacker» – also Hacker, die komplett legal arbeiten – dazu aufgerufen, Schwachstellen in den produktiven Systemen einer Organisation aufzuspüren. Für jede gefundene und bestätigte Schwachstelle erhält der erfolgreiche Hacker eine Belohnung.

Von der Wette zum kontinuierlichen Programm

Die Kooperation von Sherpany und Bug Bounty Switzerland begann mit einer Wette zwischen den beiden Unternehmen: Würde ein Bug-Bounty-Programm kritische Sicherheitslücken in der Software aufspüren können? Hundert ethische Hacker konnten in drei Wochen die Sicherheit der Sherpany-Plattform nicht beeinträchtigen. Dies unterstreicht den hohen Sicherheitsstandard der Lösung und bestätigt, dass die Kundendaten gut geschützt sind. Für Sherpany-CTO Mathias Brenner hat sich das Investment in das Bug-Bounty-Programm gelohnt: «Sherpany konnte den öffentlichen Beweis erbringen, dass die Daten unserer Kunden so sicher wie möglich sind. Unsere bisherigen Bemühungen und Investitionen in die Sicherheit haben sich ausgezahlt.»

Trotz des positiven Resultats der Wette will sich Sherpany nicht zurücklehnen. Im Gegenteil: Der Bug-Bounty-Testbetrieb wird als laufendes Programm weitergeführt, da sich durch die Zusammenarbeit mit den Hackern durchaus Hinweise auf mögliche Optimierungen ergaben, mit denen sich die Sicherheit aller Systeme weiter verbessern lässt. Damit unterstreicht Sherpany, wie ernst es den Schutz der Kundendaten nimmt. «Sicherheit ist ein kontinuierlicher Prozess», erklärt Mathias Brenner. «Mit dem fortwährenden Einsatz eines Bug-Bounty-Programms beweisen wir, dass wir diesen Prozess verinnerlicht haben.»

Florian Badertscher, CTO von Bug Bounty Switzerland, grämt sich keineswegs ob der verlorenen Wette: «Unser Ziel ist eine sichere Schweiz und der sogenannte «digital Trust». Wir freuen uns deshalb, dass Sherpany die Wette gewonnen hat», erklärt er. «Sherpany konnte so unter Beweis stellen, dass sich ein hohes Investment in die Sicherheit lohnt und sichere Systeme durchaus möglich sind. Auch wenn keine kritischen Fehler gefunden wurden, konnten unsere Hacker Sherpany trotzdem helfen. Das freut uns natürlich besonders. Die Fortführung des Bug-Bounty-Programms hilft, das Niveau der Plattform auch in Zukunft zu halten, die Sicherheit des gesamten Unternehmens zu verbessern und so das Vertrauen der Kunden zu stärken.»

Über Bug Bounty Switzerland

Die Bug Bounty Switzerland GmbH wurde im April 2020 gegründet mit dem Ziel, Bug-Bounty-Programme in der Schweiz zu etablieren. Zu den Gründungsmitgliedern zählen CEO Sandro Nafzger und CTO Florian Badertscher, die über umfangreiche Erfahrung im Aufbau und Betrieb von Bug-Bounty-Programmen bei der Schweizerischen Post bzw. Swisscom aufweisen, sowie Matthias Jauslin als operativer Geschäftsführer (COO) und Lukas Heppler als Sicherheitschef (CSO). Sitz des Unternehmens ist Luzern.

www.bugbounty.ch