Häufige Fragen zu Bug Bounty und bugbounty.de

bugbounty.de ist eine Plattform für Vulnerability Disclosure Programs (VDP) und Bug-Bounty-Programme mit Prämien. Die Plattform verbindet Unternehmen und öffentliche Einrichtungen in Deutschland mit Security-Researchern aus aller Welt; Schwachstellen werden dabei nach klaren Regeln gemeldet und bearbeitet. Betreiber ist die Rootsektor IT-Security GmbH mit Sitz in Arnsberg. Informationen für die einzelnen Zielgruppen enthalten die Seiten Bug Bounty für Unternehmen, Bug Bounty für Behörden und Kommunen und Bug Bounty für Security-Researcher. Die Angaben zum Anbieter stehen im Impressum.

Der Starttermin wird auf dieser Website und per E-Mail an vorgemerkte Kontakte bekannt gegeben. Eine Vormerkung ist auf der Startseite möglich.

Ein Vulnerability Disclosure Program (VDP) legt fest, wie Schwachstellen an eine Organisation gemeldet werden können, welche Systeme erfasst sind und wie Meldungen bearbeitet und koordiniert offengelegt werden. Prämien werden in einem VDP nicht gezahlt. Ein Bug-Bounty-Programm beruht auf denselben Grundlagen; zusätzlich werden Prämien für Meldungen gezahlt, die die Programmbedingungen erfüllen. Ein VDP schafft damit einen geordneten Meldeweg, ein Bug-Bounty-Programm setzt darüber hinaus Anreize für gezielte Prüfungen. bugbounty.de umfasst beide Programmarten: Vulnerability Disclosure Programs, öffentlich oder auf Einladung, und Bug-Bounty-Programme mit Prämien.

Für die eigenen Systeme hat bugbounty.de ein Vulnerability Disclosure Program eingerichtet. Meldeweg und Regeln sind auf der Seite Schwachstelle melden beschrieben. Die Kontaktangaben sind zusätzlich maschinenlesbar in der Datei security.txt nach RFC 9116 hinterlegt. Hinweise auf mögliche Schwachstellen sollten ausschließlich über diesen Meldeweg übermittelt werden und nicht über soziale Netzwerke oder andere öffentliche Kanäle, damit eine koordinierte Bearbeitung möglich ist.

Programme einrichten können Unternehmen mit Sitz in Deutschland, Einrichtungen der öffentlichen Verwaltung wie Behörden und Kommunen sowie Hochschulen und kommunale IT-Dienstleister. Unternehmen werden über Handelsregister und Domain-Nachweis verifiziert. Die Einrichtung ist geführt: Für jedes Programm werden Geltungsbereich, Regeln und Safe-Harbor-Status festgelegt, und vor der Veröffentlichung prüft Rootsektor jedes neue Programm. Grundlage sind ein deutscher Vertrag und ein Auftragsverarbeitungsvertrag; die Oberfläche ist auf Deutsch. Einzelheiten enthalten die Seiten Bug Bounty für Unternehmen und Bug Bounty für Behörden und Kommunen. Eine Vormerkung zum Start ist möglich.

Das Basis-VDP ist kostenlos. Die Konditionen für Bug-Bounty-Programme und für Zusatzleistungen wie Managed Triage werden auf Anfrage mitgeteilt; für Behörden, Kommunen und Gemeinwohl-Organisationen gelten Sonderkonditionen. Für Researcher fallen keine Gebühren an.

Die NIS2-Umsetzung im BSI-Gesetz (BSIG) ist seit dem 6. Dezember 2025 in Kraft und verlangt von betroffenen Einrichtungen unter anderem Maßnahmen zum Umgang mit und zur Offenlegung von Schwachstellen. Der Cyber Resilience Act verpflichtet Hersteller von Produkten mit digitalen Elementen zu einem Verfahren für die koordinierte Offenlegung von Schwachstellen. Meldepflichten für aktiv ausgenutzte Schwachstellen gelten seit dem 11. September 2026, die übrigen Anforderungen ab dem 11. Dezember 2027. Ein VDP mit einer security.txt nach RFC 9116 schafft einen auffindbaren Meldeweg. Ob und in welchem Umfang Pflichten bestehen, ist im Einzelfall zu prüfen; die Plattform ersetzt keine Rechtsberatung.

Für Meldungen gilt ein Reaktionsstandard, der sich an der Technischen Richtlinie BSI TR-03183-3 orientiert: eine erste persönliche Antwort innerhalb von fünf Arbeitstagen und eine qualifizierte Rückmeldung innerhalb von zehn Arbeitstagen. Der Status jeder Meldung ist mit Zuständigkeit und Fristen nachvollziehbar. Meldungen in VDPs werden im Vier-Augen-Prinzip geschlossen. Wird eine Meldung als Duplikat eingestuft, erhält die meldende Person einen Nachweis über die frühere Meldung. Meldungen lassen sich als PDF exportieren. Organisationen, die eingehende Meldungen nicht selbst sichten möchten, können Managed Triage auf Deutsch durch Fachleute von Rootsektor buchen.

Informationen über Schwachstellen sind sensibel, insbesondere solange die Schwachstellen nicht behoben sind. Zum Standard gehören deshalb Zwei-Faktor-Anmeldung, Mandantentrennung und Verschlüsselung. Innerhalb einer Organisation gibt es die Rollen Admin und Mitglied. Benachrichtigungen erfolgen in der Anwendung und per E-Mail; E-Mails enthalten keine Inhalte zu Schwachstellen. Anhänge werden auf Schadsoftware geprüft. Gegenüber Unternehmen treten Researcher unter Pseudonym auf, in nicht öffentlichen Programmen mit einem eigenen Alias je Programm.

Grundlage der Zusammenarbeit sind ein deutscher Vertrag und ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO; die Oberfläche ist auf Deutsch. Das Basis-VDP ist kostenlos, und für Behörden, Kommunen und Gemeinwohl-Organisationen gelten Sonderkonditionen. Die vergaberechtliche Einordnung nimmt die jeweilige Stelle vor. Mehr dazu auf der Seite Bug Bounty für Behörden und Kommunen.

Teilnehmen können Researcher weltweit ab 18 Jahren. Ausgenommen sind Personen und Länder unter Sanktionen. Gegenüber Unternehmen treten Researcher unter Pseudonym auf, in nicht öffentlichen Programmen mit einem eigenen Alias je Programm. Eine Nennung in der Hall of Fame erfolgt nur auf Wunsch. Für Researcher fallen keine Gebühren an, und der Researcher-Bereich ist zweisprachig (Deutsch und Englisch). Weitere Informationen enthält die Seite Bug Bounty für Security-Researcher.

Ein Report-Assistent mit CVSS-4.0-Rechner und CWE-Auswahl führt durch die Erstellung einer Meldung. Der Editor unterstützt Links und Bilder; Anhänge werden auf Schadsoftware geprüft. Meldungen an ein VDP sind auch anonym möglich, ohne Benutzerkonto und ohne JavaScript.

In einem Vulnerability Disclosure Program werden keine Prämien gezahlt. In Bug-Bounty-Programmen werden Prämien für Meldungen gezahlt, die die Programmbedingungen erfüllen; Höhe und Voraussetzungen legt das jeweilige Programm in seinen Regeln fest. Für Researcher fallen keine Gebühren an. Unabhängig von Prämien ist auf Wunsch eine Nennung in der Hall of Fame möglich.

Jedes Programm weist seinen Safe-Harbor-Status aus. In einer Safe-Harbor-Erklärung sagt eine Organisation in der Regel zu, bei Einhaltung der Programmregeln auf rechtliche Schritte gegen Researcher zu verzichten. Straffreiheit kann weder eine solche Erklärung noch die Plattform garantieren: Strafverfolgungsbehörden sind an solche Erklärungen nicht gebunden, und die Vorschriften des Strafgesetzbuchs, insbesondere §§ 202a ff. StGB, gelten unabhängig davon. Tests außerhalb eines Programms oder entgegen dessen Regeln sind nicht abgedeckt.

Für die Vormerkung sind nur die E-Mail-Adresse, die Auswahl der Zielgruppe (Researcher, Unternehmen oder öffentliche Einrichtung) und die Einwilligung erforderlich. Nach dem Absenden wird eine E-Mail mit einem Bestätigungslink versandt (Double-Opt-in). Die Vormerkung ist erst aktiv, wenn sie über diesen Link bestätigt wurde; ohne Bestätigung werden keine weiteren E-Mails versandt. Vorgemerkte erhalten per E-Mail Informationen zum Start von bugbounty.de; welche Informationen versandt werden, ergibt sich aus der Einwilligung, deren Wortlaut das Formular nach der Auswahl der Zielgruppe anzeigt. Die Vormerkung ist auf der Startseite möglich.

Die Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Die E-Mails enthalten dafür einen persönlichen Abmeldelink. Nach der Abmeldung werden keine weiteren Informationen zum Start versandt. Ein Widerruf ist außerdem über die im Impressum genannten Kontaktdaten möglich. Was nach der Abmeldung mit den gespeicherten Daten geschieht, beschreibt die Datenschutzerklärung. Eine erneute Vormerkung ist jederzeit möglich und erfordert wieder eine Bestätigung per Double-Opt-in.

Verarbeitet werden die E-Mail-Adresse, die gewählte Zielgruppe und die Angaben, die zum Nachweis der Einwilligung erforderlich sind. Die Daten werden verschlüsselt gespeichert. Grundlage für den Versand der Informationen ist die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Verantwortlich ist die Rootsektor IT-Security GmbH in Arnsberg. Die Daten werden nur für den in der Einwilligung genannten Zweck genutzt. Für den Versand der E-Mails wird Microsoft 365 eingesetzt. Einzelheiten zu Empfängern, Speicherdauer und Rechten der betroffenen Personen enthält die Datenschutzerklärung.

Die Website nutzt Google Analytics 4 zur Webanalyse, jedoch nur nach ausdrücklicher Einwilligung über das Einwilligungsbanner. Die Schaltflächen „Alle ablehnen“ und „Alle akzeptieren“ werden gleichwertig dargestellt. Ohne Einwilligung wird Google Analytics nicht geladen: Es besteht keine Verbindung zu Google, und es werden keine Cookies gesetzt. Die Auswahl im Einwilligungsbanner und die gewählte Darstellung (hell oder dunkel) werden lokal im Browser gespeichert. Eine Einwilligung lässt sich jederzeit über den Link „Cookie-Einstellungen“ in der Fußzeile widerrufen. Anbieter ist Google Ireland Limited; Daten können an Google LLC in den USA übermittelt werden, Grundlage dafür ist das EU-US Data Privacy Framework. Die Einwilligung wird nach § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO eingeholt. Einzelheiten enthält die Datenschutzerklärung.