Sicherheitslücke bei Google: Vorarlberger kassiert 90.000 Dollar
- Sicherheitslücke hätte Zugriff auf Google-Server ermöglicht
- Harmloser Test bestätigte die Gefahr
- Google zahlte 90.000 Dollar Belohnung
- Vom HAK-Schüler zum erfolgreichen Hacker
- Weitere Sicherheitslücken bereits entdeckt
Ein 22-jährige Vorarlberger hat eine schwerwiegende Sicherheitslücke bei Google entdeckt. Die Schwachstelle hätte Angreifern ermöglicht, Befehle auf Servern des Technologiekonzerns auszuführen und möglicherweise auf sensible Nutzerdaten zuzugreifen. Google hat den Fehler inzwischen behoben und dem Sicherheitsforscher aus Feldkirch eine entsprechende Prämie ausbezahlt.
Sicherheitslücke hätte Zugriff auf Google-Server ermöglicht
Der Vorarlberger Simon Köck hat die Anmeldung und Sitzungsverwaltung mehrerer Google-Entwicklerseiten untersucht. Dabei stieß er auf eine ungewöhnlich große Datei, die im Browser gespeichert wurde. Sie enthielt einen geheimen Schlüssel, mit dem sich Sitzungsdaten authentifizieren ließen.
Köck erkannte, dass sich damit Daten fälschen ließen, die das System als gültig akzeptierte. In Kombination mit einem weiteren Programmierfehler entstand eine besonders gefährliche Sicherheitslücke: Angreifer hätten unter Umständen eigene Befehle auf betroffenen Google-Servern ausführen können, ohne sich zuvor anzumelden.
Was ist eine Sicherheitslücke?
Eine Sicherheitslücke ist ein Fehler in einer Software oder einem IT-System, den Angreifer ausnutzen können. Je nach Schwachstelle lassen sich Daten auslesen, Schutzmechanismen umgehen oder fremde Befehle ausführen. Im Fall von Google hätte die entdeckte Sicherheitslücke möglicherweise den Zugriff auf interne Systeme und sensible Nutzerdaten ermöglicht.
Harmloser Test bestätigte die Gefahr
Um die Schwachstelle nachzuweisen, führte Köck keine schädlichen Aktionen aus. Stattdessen veranlasste er die Server, ihre Antworten unterschiedlich lange zu verzögern. Damit konnte er zeigen, dass sich die Ausführung von Befehlen beeinflussen ließ.
Nach seinen Angaben waren auch Entwicklerseiten für Android und Firebase betroffen. Ob Kriminelle die Sicherheitslücke zuvor ausgenutzt hatten, geht aus den vorliegenden Berichten nicht hervor.
Google zahlte 90.000 Dollar Belohnung
Am 6. August 2026 meldete Köck seinen Fund an Google. Bereits am folgenden Tag wurde die Meldung angenommen. „Innerhalb von 24 bis 48 Stunden haben sie die Lücke geschlossen, also sehr schnell gehandelt", erklärt er gegenüber dem ORF.
In seinem veröffentlichten Bericht wurde der Fall mit 7. Oktober 2026 als abgeschlossen geführt. Für die Entdeckung erhielt der 22-Jährige 90.000 Dollar, bestehend aus 75.000 US-Dollar Grundprämie und 15.000 Dollar Bonus für die Qualität seiner Meldung.
Vom HAK-Schüler zum erfolgreichen Hacker
Köck begann bereits mit 13 Jahren zu programmieren und besuchte später die HAK Feldkirch. Gemeinsam mit Faruk Alici und Moritz Burtscher entwickelte er das Mini-EKG „HeartChart“, das Unregelmäßigkeiten des Herzrhythmus erkennen sollte. Das Projekt wurde mit dem digBiz-Award ausgezeichnet und weckte auch das Interesse des damaligen Gesundheitsministers Johannes Rauch.
Nach der Matura entschied sich Köck gegen ein Studium. Stattdessen arbeitete er als Softwareentwickler und Sicherheitsforscher.
Weitere Sicherheitslücken bereits entdeckt
Köck bezeichnet seine Tätigkeit als Bug Bounty Hunting. Dabei suchen Sicherheitsforscher mit Erlaubnis der Unternehmen nach Schwachstellen und melden ihre Erkenntnisse vertraulich. Für bestätigte Funde können sie eine Belohnung erhalten.
Nach eigenen Angaben hatte der Feldkircher zuvor bereits 15 kritische Sicherheitslücken bei der Stadt Wien entdeckt. Auch künftig will er nach Schwachstellen suchen. Wofür er die Google-Prämie verwenden wird, weiß er noch nicht.
FAQ: Sicherheitslücke bei Google
Wie viel Geld erhielt Simon Köck von Google?
Der 22-jährige Vorarlberger Simon Köck erhielt 90.000 US-Dollar für die Entdeckung einer schwerwiegenden Sicherheitslücke bei Google. Die Belohnung setzte sich aus 75.000 Dollar Grundprämie und 15.000 Dollar Qualitätsbonus zusammen.
Welche Sicherheitslücke entdeckte der Vorarlberger?
Simon Köck entdeckte eine Sicherheitslücke in Google-Entwicklerseiten, durch die Angreifer unter bestimmten Voraussetzungen eigene Befehle auf betroffenen Servern hätten ausführen können. Laut Köck waren auch Entwicklerseiten für Android und Firebase betroffen.
Was ist Bug Bounty Hunting?
Beim Bug Bounty Hunting suchen Sicherheitsforscher mit Erlaubnis von Unternehmen nach Sicherheitslücken und melden diese vertraulich. Für bestätigte Schwachstellen können sie je nach Schwere und Programmregeln eine Geldprämie erhalten.
