Ein Bug-Bounty-Programm (englisch bug für Programmfehler, bounty für Kopfgeld/Belohnung) ist ein Angebot eines Unternehmens, Sicherheitsforscher für das Melden von Schwachstellen finanziell zu belohnen. Statt nur auf interne Tests oder gelegentliche Pentests zu setzen, öffnet die Organisation ihre Systeme kontrolliert für die Crowd ethischer Hacker – und zahlt nur für tatsächlich verwertbare Funde.
Wie funktioniert Bug Bounty?
Das Unternehmen definiert in einem Regelwerk den Scope – also welche Systeme getestet werden dürfen –, legt die erlaubten Testmethoden fest und veröffentlicht eine Prämienmatrix. Forscher melden ihre Funde über die Plattform, ein Triage-Team prüft, ob der Fund gültig und im Scope ist, und stuft ihn nach Schwere ein. Nach erfolgreicher Validierung wird die Prämie ausgezahlt, üblicherweise gestaffelt: Je kritischer die Schwachstelle und je einfacher sie ausnutzbar ist, desto höher die Belohnung.
Plattformen und Praxis
Die bekanntesten Vermittlungsplattformen sind HackerOne, Bugcrowd und Intigriti. Sie stellen die Infrastruktur, verwalten Kommunikation und Auszahlung und sorgen für Rechtssicherheit, weil die Forscher innerhalb der definierten Regeln arbeiten. Viele große Konzerne wie Google, Microsoft und Apple betreiben eigene Programme. Ein Bug-Bounty-Programm ist ein kontinuierlicher Ansatz – anders als ein Pentest, der nur eine Momentaufnahme der Sicherheitslage liefert. HackerOne zahlte im Geschäftsjahr 2025 rund 81 Millionen US-Dollar an Prämien an Forscher aus; im Schnitt geben Unternehmen über Plattformen etwa 42.000 US-Dollar pro Jahr an Bounties aus.
Verwandte Grundlagen: Sicherheitslücke, CVE, Responsible Disclosure, Vulnerability Management, Exploit, Zero-Day, Schwachstelle, Penetrationstest, Backdoor.