Bug Bounty für Unternehmen

Nutzen eines VDP und eines Bug-Bounty-Programms

Ein Vulnerability Disclosure Program (VDP) legt fest, wie externe Personen Schwachstellen an Ihr Unternehmen melden, welche Systeme dazu gehören und wie mit den Meldungen umgegangen wird. Ein Bug-Bounty-Programm ergänzt diesen Rahmen um Prämien für gültige Meldungen; Höhe und Voraussetzungen werden vorab in den Programmregeln festgelegt.

Ein solches Programm bietet Ihrem Unternehmen:

• Frühzeitige Kenntnis: Sie schaffen einen vertraulichen Kanal, über den Sie von Schwachstellen erfahren können, bevor diese anderweitig bekannt werden.
• Klare Zuständigkeiten: Schwachstellenmeldungen gehen nicht an allgemeine Postfächer, sondern werden in einem festgelegten Ablauf mit Fristen und Verantwortlichen bearbeitet.
• Orientierung für Meldende: Regeln zum Geltungsbereich und zur zulässigen Vorgehensweise zeigen Security-Researchern, was sie prüfen dürfen und wie sie Funde melden.
• Nachvollziehbarkeit: Ein dokumentierter Ablauf vom Eingang bis zur Behebung kann als Nachweis gegenüber Kunden, Prüfern oder Aufsichtsbehörden dienen.

Ein VDP ergänzt eigene Prüfungen wie Penetrationstests, ersetzt sie aber nicht. Wie ein Meldeweg gestaltet sein kann, zeigt das Programm von bugbounty.de selbst unter Schwachstelle melden.

Regulatorischer Kontext: NIS2 und Cyber Resilience Act

Die Umsetzung der NIS2-Richtlinie im BSI-Gesetz (BSIG) ist seit dem 6. Dezember 2025 in Kraft. Sie verlangt von betroffenen Einrichtungen unter anderem Maßnahmen zum Umgang mit und zur Offenlegung von Schwachstellen.

Der Cyber Resilience Act (CRA) verpflichtet Hersteller von Produkten mit digitalen Elementen zu einem Verfahren für die koordinierte Offenlegung von Schwachstellen. Die Meldepflichten für aktiv ausgenutzte Schwachstellen gelten seit dem 11. September 2026, die übrigen Anforderungen ab dem 11. Dezember 2027.

Ein VDP mit festen Fristen und dokumentiertem Ablauf kann ein Baustein sein, um diese Anforderungen umzusetzen. Mit einer security.txt nach RFC 9116 machen Sie den Meldeweg auf Ihrer Website auffindbar. Ob und welche Pflichten für Ihr Unternehmen gelten, hängt unter anderem von Branche, Größe und Produkten ab und ist im Einzelfall zu prüfen. Die Nutzung von bugbounty.de ersetzt diese Prüfung nicht.

Leistungsumfang

bugbounty.de umfasst für Unternehmen folgende Leistungen:

• VDP und Bug-Bounty-Programme: Vulnerability Disclosure Programs, öffentlich oder auf Einladung, und Bug-Bounty-Programme mit Prämien für gültige Meldungen.
• Geführte Programmeinrichtung: Geltungsbereich, Regeln und Safe-Harbor-Status werden je Programm festgelegt und im Programm ausgewiesen. Rootsektor prüft jedes neue Programm vor der Veröffentlichung.
• Reaktionsstandard orientiert an BSI TR-03183-3: erste persönliche Antwort an die meldende Person innerhalb von fünf Arbeitstagen, qualifizierte Rückmeldung innerhalb von zehn Arbeitstagen.
• Report-Assistent und Editor: Researcher erstellen Meldungen mit einem Report-Assistenten, der einen CVSS-4.0-Rechner und eine CWE-Auswahl enthält. Der Editor unterstützt Links und Bilder; Meldungen lassen sich als PDF exportieren. Anhänge werden auf Schadsoftware geprüft.
• Nachvollziehbare Bearbeitung: Jede Meldung hat einen Status mit Zuständigkeit und Fristen. VDP-Meldungen werden erst geschlossen, wenn eine zweite Person die Schließung bestätigt hat (Vier-Augen-Prinzip). Wird eine Meldung als Duplikat eingestuft, erhält die meldende Person einen Nachweis zur früheren Meldung.
• Meldung ohne Benutzerkonto: In einem VDP können Hinweise ohne Registrierung, ohne JavaScript und auf Wunsch anonym eingereicht werden.
• Pseudonymität: Researcher treten Ihnen gegenüber unter einem Pseudonym auf, in nicht öffentlichen Programmen unter einem eigenen Alias je Programm. Auf Wunsch werden sie in der Hall of Fame genannt.
• Zugelassene Researcher: weltweit ab 18 Jahren, ausgenommen Personen und Länder unter Sanktionen.
• Managed Triage auf Deutsch: Fachleute von Rootsektor prüfen eingehende Meldungen und ordnen sie ein. Die Leistung ist buchbar.

Konditionen

Das Basis-VDP ist kostenlos. Die Konditionen für Bug-Bounty-Programme und für Zusatzleistungen wie Managed Triage erhalten Sie auf Anfrage.

Ablauf auf der Plattform

1. Unternehmen verifizieren: Rootsektor verifiziert Ihr Unternehmen anhand des Handelsregisters und eines Domain-Nachweises.
2. Programm einrichten: In der geführten Programmeinrichtung legen Sie Geltungsbereich, Regeln und Zuständigkeiten fest. Reaktionsstandard und Safe-Harbor-Status werden im Programm ausgewiesen.
3. Prüfen und veröffentlichen: Rootsektor prüft das Programm vor der Veröffentlichung. Danach verweisen Sie auf Ihrer Website und in Ihrer security.txt auf das Programm.
4. Meldungen bearbeiten: Eingehende Meldungen werden geprüft, auf Wunsch durch die Managed Triage, und innerhalb der Fristen beantwortet. Status, Zuständigkeit und Fristen sind jederzeit nachvollziehbar.
5. Meldungen schließen: VDP-Meldungen werden im Vier-Augen-Prinzip geschlossen. Zur Dokumentation lassen sich Meldungen als PDF exportieren.

Vertrauen und Datenschutz

Informationen über Schwachstellen sind sensibel. Für die Plattform gelten deshalb folgende Grundlagen:

• Betreiber ist die Rootsektor IT-Security GmbH mit Sitz in Arnsberg.
• Grundlage der Zusammenarbeit sind ein deutscher Vertrag und ein Auftragsverarbeitungsvertrag (AVV); die Oberfläche ist auf Deutsch.
• Zwei-Faktor-Anmeldung, Mandantentrennung und Verschlüsselung sind Standard. Konten Ihres Unternehmens haben die Rolle Admin oder Mitglied.
• Benachrichtigungen erfolgen in der Anwendung und per E-Mail. E-Mails enthalten keine Inhalte zu Schwachstellen.

Welche Daten beim Besuch dieser Website und bei der Vormerkung verarbeitet werden, beschreibt die Datenschutzerklärung.