Bug Bounty für Security-Researcher

Teilnahme

Teilnehmen können Security-Researcher weltweit ab 18 Jahren. Ausgenommen sind Personen und Länder, die Sanktionen unterliegen. Für Researcher fallen keine Gebühren an.

In Vulnerability Disclosure Programs (VDP) kannst du Schwachstellen auch anonym und ohne Benutzerkonto melden; JavaScript ist dafür nicht erforderlich.

Programme werden von Unternehmen mit Sitz in Deutschland und von öffentlichen Einrichtungen angeboten, etwa von Behörden, Kommunen, Hochschulen und kommunalen IT-Dienstleistern. Der Researcher-Bereich ist zweisprachig, auf Deutsch und Englisch.

VDP und Bug-Bounty-Programme

Ein Vulnerability Disclosure Program (VDP) legt fest, welche Systeme du prüfen darfst, welche Regeln dabei gelten und wie die anbietende Organisation mit deiner Schwachstellenmeldung umgeht. In einem VDP werden keine Prämien gezahlt.

In Bug-Bounty-Programmen werden gültige Meldungen mit Prämien vergütet; Höhe und Voraussetzungen legen die Programmregeln vorab fest. Programme sind öffentlich oder nicht öffentlich; nicht öffentliche Programme sind nur auf Einladung zugänglich.

Meldungen erstellen und verfolgen

Ein Report-Assistent führt dich durch die Meldung, mit CVSS-4.0-Rechner und CWE-Auswahl. Im Editor kannst du Links und Bilder einfügen; Anhänge werden auf Schadsoftware geprüft. Zu jeder Meldung siehst du den Status, die Zuständigkeit und die Fristen. Benachrichtigungen erhältst du in der Anwendung und per E-Mail; E-Mails enthalten keine Inhalte zu Schwachstellen.

Regeln und Safe Harbor

Jedes Programm gibt seinen Geltungsbereich (Scope), die Regeln für Tests und seinen Safe-Harbor-Status sichtbar an. Rootsektor prüft neue Programme vor der Veröffentlichung. Prüfe vor jedem Test, ob das System im Geltungsbereich liegt, und halte dich an die Regeln des jeweiligen Programms.

Eine Safe-Harbor-Erklärung legt fest, welche Tests im Rahmen eines Programms gestattet sind und unter welchen Bedingungen die anbietende Organisation auf rechtliche Schritte verzichtet. Ob und in welchem Umfang eine solche Erklärung für ein Programm gilt, zeigt sein Safe-Harbor-Status.

Straffreiheit kann eine solche Erklärung nicht zusichern. Strafverfolgungsbehörden sind an sie nicht gebunden, und die Vorschriften des Strafgesetzbuchs, insbesondere §§ 202a ff. StGB, gelten unabhängig davon. Tests außerhalb eines Programms oder entgegen dessen Regeln sind nicht abgedeckt.

Reaktionsstandard orientiert an BSI TR-03183-3

Für die Bearbeitung von Meldungen gilt ein einheitlicher Reaktionsstandard. Er orientiert sich an der Technischen Richtlinie BSI TR-03183-3 des Bundesamts für Sicherheit in der Informationstechnik:

• erste persönliche Antwort auf deine Meldung innerhalb von fünf Arbeitstagen
• qualifizierte Rückmeldung innerhalb von zehn Arbeitstagen
• Schließung von VDP-Meldungen im Vier-Augen-Prinzip

Das Vier-Augen-Prinzip bedeutet, dass eine Meldung in einem VDP erst geschlossen wird, nachdem eine zweite Person die Entscheidung geprüft hat. Das gilt auch, wenn eine Meldung als Duplikat oder als nicht zutreffend eingestuft wird. Bei einer Einstufung als Duplikat erhältst du einen Nachweis zur früheren Meldung.

Pseudonymität und Hall of Fame

Gegenüber Unternehmen trittst du unter einem Pseudonym auf. In nicht öffentlichen Programmen erscheinst du unter einem eigenen Alias je Programm. In der Hall of Fame wirst du nur auf Wunsch genannt.

Betrieb und Sicherheit

Betreiber von bugbounty.de ist die Rootsektor IT-Security GmbH in Arnsberg. Rootsektor verifiziert Unternehmen anhand des Handelsregisters und eines Domain-Nachweises. Zwei-Faktor-Anmeldung, Mandantentrennung und Verschlüsselung sind Standard.

NIS2, Cyber Resilience Act und security.txt

Die NIS2-Umsetzung im BSI-Gesetz (BSIG) ist seit dem 6. Dezember 2025 in Kraft und verlangt von betroffenen Einrichtungen unter anderem Maßnahmen zum Umgang mit und zur Offenlegung von Schwachstellen. Der Cyber Resilience Act verpflichtet Hersteller von Produkten mit digitalen Elementen zu einem Verfahren für die koordinierte Offenlegung von Schwachstellen. Meldepflichten für aktiv ausgenutzte Schwachstellen gelten seit dem 11. September 2026, die übrigen Anforderungen ab dem 11. Dezember 2027.

Ein VDP ist eine Möglichkeit, einen geregelten Meldeweg für Schwachstellen umzusetzen; ob und in welchem Umfang Pflichten bestehen, ist für jede Organisation im Einzelfall zu prüfen. Eine security.txt nach RFC 9116 unter /.well-known/security.txt macht einen solchen Meldeweg maschinenlesbar auffindbar.

Schwachstellen in bugbounty.de melden

Wenn du eine Schwachstelle in bugbounty.de selbst findest, melde sie bitte über das Vulnerability Disclosure Program von bugbounty.de. Dort sind Geltungsbereich, Regeln für Tests und der Kontakt security@bugbounty.de beschrieben. Für Meldungen in diesem VDP werden keine Prämien gezahlt.