Der VW-Konzern verweist Sicherheitsforscher an sein Bugcrowd-Programm (volkswagen-og). Ein Bericht mit 24 Schwachstellen — darunter Demo-Zugangsdaten für 87.000 HR-Datensätze — wurde als „Informational” geschlossen. Der Forscher wählte daraufhin den direkten CVD-Weg.
Ein Sicherheitsforscher identifizierte 24 Schwachstellen in 3 Audi-Apps (1 Critical, 7 High, 9 Medium, 7 Low). Die Befunde umfassen:
Der Bericht wurde über das offizielle VW-Bugcrowd-Programm (volkswagen-og) eingereicht. Ergebnis: „Informational” — geschlossen, kein Bounty, keine Bestätigung.
Das Bugcrowd-Programm des VW-Konzerns zeigt ein strukturelles Versagen:
Wenn eine Bug-Bounty-Plattform dazu führt, dass Forscher sie umgehen müssen, hat sie ihren Zweck verfehlt.
Nach der Ablehnung durch Bugcrowd wurde der direkte CVD-Weg eingeleitet. Die Befunde wurden der VW-Gruppe CERT-Abteilung direkt vorgelegt — unter Einhaltung von ISO 29147 und mit angemessener Fristsetzung.
Die Veröffentlichung erfolgt im Rahmen einer verantwortungsvollen Offenlegung. Alle Credential-Werte sind redacted.
Statische Analyse öffentlich verfügbarer APKs aus dem Google Play Store. Kein Systemzugriff. Keine Credentials getestet. Keine Nutzerdaten extrahiert. ISO 29147.
Alle Einschätzungen basieren auf eigener Sicherheitsanalyse. Unabhängige Verifizierung durch den Hersteller bleibt maßgeblich.