Behörden, Kommunen und andere öffentliche Einrichtungen betreiben Portale, Fachverfahren und Schnittstellen, über die Bürgerinnen und Bürger Verwaltungsleistungen nutzen. Wer dort eine Schwachstelle entdeckt, benötigt einen verlässlichen Weg, sie zu melden. bugbounty.de ist eine Bug-Bounty-Plattform der Rootsektor IT-Security GmbH in Arnsberg für Vulnerability Disclosure Programs (VDP) und Bug-Bounty-Programme mit Prämien. Das Angebot berücksichtigt die Rahmenbedingungen der öffentlichen Verwaltung.
Öffentliche Stellen verarbeiten Daten, die Bürgerinnen und Bürger in vielen Fällen angeben müssen, etwa im Melde-, Sozial- oder Steuerwesen. Eine Schwachstelle in diesen Systemen betrifft Menschen, die sich ihre Verwaltung nicht aussuchen können. Ein geregelter Meldeweg trägt dazu bei, Hinweise frühzeitig zu erhalten und Schäden zu begrenzen.
Mit der Digitalisierung von Verwaltungsleistungen, etwa nach dem Onlinezugangsgesetz (OZG), kommen Systeme hinzu, die aus dem Internet erreichbar sind: Antragsportale, Nutzerkonten, Terminvergaben und Schnittstellen zu Fachverfahren. Nicht jede Schwachstelle in diesen Systemen wird bei internen Prüfungen oder Penetrationstests gefunden.
Security-Researcher, Bürgerinnen und Bürger oder Dienstleister, die eine Schwachstelle melden, erwarten, dass der Hinweis angenommen, geprüft und beantwortet wird. Ohne festgelegten Ablauf können Hinweise an allgemeine Postfächer gehen, keiner zuständigen Stelle zugeordnet werden oder unbeantwortet bleiben. Ein Vulnerability Disclosure Program legt Zuständigkeiten, Fristen und Regeln fest und macht den Umgang mit Schwachstellenmeldungen für alle Beteiligten nachvollziehbar.
Je nach Art der Einrichtung können zudem gesetzliche Anforderungen bestehen. Die Umsetzung der NIS2-Richtlinie im BSI-Gesetz (BSIG) ist seit dem 6. Dezember 2025 in Kraft und verlangt von betroffenen Einrichtungen unter anderem Maßnahmen zum Umgang mit und zur Offenlegung von Schwachstellen. Für Einrichtungen der Länder und Kommunen kann zusätzlich Landesrecht maßgeblich sein. Ob eine Einrichtung betroffen ist, ist im Einzelfall zu prüfen. Mit einer security.txt nach RFC 9116 wird der Meldeweg auf der eigenen Website auffindbar.
Für Beschaffung und Datenschutzprüfung erhalten Sie eine Leistungsbeschreibung, einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO und eine Beschreibung der technischen und organisatorischen Maßnahmen (TOM). Welches Vergabeverfahren anzuwenden ist, richtet sich nach dem für Ihre Einrichtung geltenden Recht und dem Auftragswert und wird von Ihrer Vergabestelle festgelegt.
In Bug-Bounty-Programmen zahlen öffentliche Einrichtungen Prämien bei Fälligkeit statt im Voraus in ein Prämienbudget. Damit wird berücksichtigt, dass das Haushaltsrecht Vorleistungen nur eingeschränkt zulässt, zum Beispiel nach § 56 der Bundeshaushaltsordnung (BHO) und den entsprechenden Vorschriften der Landeshaushaltsordnungen; für Kommunen gilt das jeweilige kommunale Haushaltsrecht.
Für Behörden, Kommunen und Gemeinwohl-Organisationen gelten Sonderkonditionen. Das Basis-VDP ist kostenlos; die Konditionen für Bug-Bounty-Programme und für Zusatzleistungen wie Managed Triage erhalten Sie auf Anfrage. Die Konditionen für öffentliche Einrichtungen sind nicht an Gegenleistungen geknüpft; das gilt auch für die Sonderkonditionen. So bleibt für Vergabestellen und Rechnungsprüfung nachvollziehbar, zu welchen Bedingungen eine Einrichtung teilnimmt.
Grundlage der Zusammenarbeit sind ein deutscher Vertrag und ein AVV nach Art. 28 DSGVO. Zwei-Faktor-Anmeldung, Mandantentrennung und Verschlüsselung sind Standard. Benachrichtigungen erfolgen in der Anwendung und per E-Mail; E-Mails enthalten keine Inhalte zu Schwachstellen.
Die Oberfläche ist auf Deutsch. Ansprechpartner ist die Rootsektor IT-Security GmbH in Arnsberg. Managed Triage auf Deutsch durch Fachleute von Rootsektor ist buchbar.
Der Reaktionsstandard orientiert sich an der Technischen Richtlinie BSI TR-03183-3: Die meldende Person erhält innerhalb von fünf Arbeitstagen eine erste persönliche Antwort und innerhalb von zehn Arbeitstagen eine qualifizierte Rückmeldung. In einem VDP sind Meldungen ohne Benutzerkonto, ohne JavaScript und auf Wunsch anonym möglich. Jede Meldung hat einen Status mit Zuständigkeit und Fristen; VDP-Meldungen werden im Vier-Augen-Prinzip geschlossen.
Das Angebot richtet sich an öffentliche Einrichtungen in Deutschland, insbesondere an:
Informationen für Unternehmen, etwa zum Cyber Resilience Act, enthält die Seite Bug Bounty für Unternehmen.
Mit der Vormerkung werden Sie per E-Mail über den Start von bugbounty.de informiert. Benötigt werden nur eine E-Mail-Adresse, die Zielgruppe und Ihre Einwilligung. Sie können auch ein Funktionspostfach angeben, etwa das der Informationssicherheit. Nach dem Absenden erhalten Sie eine E-Mail mit einem Bestätigungslink (Double-Opt-in); erst nach der Bestätigung ist die Vormerkung aktiv. Eine Abmeldung ist jederzeit möglich.
Weitere Informationen bieten die Seiten Bug Bounty für Unternehmen und Bug Bounty für Security-Researcher sowie die FAQ. Wie bugbounty.de selbst Hinweise entgegennimmt, zeigt die Seite Schwachstelle melden.