Bug Bounty für Anfänger 2026: Vom Nullpunkt zur ersten Auszahlung

Bug Bounty ist das Modell, bei dem Unternehmen Sicherheitsforschern Prämien zahlen, wenn diese Schwachstellen in ihren Systemen finden — legal, dokumentiert und anerkannt. Seit Google und Microsoft ihre Programme etablierten, ist Bug Bounty zum realistischsten Weg geworden, Hacking-Fähigkeiten an echten Systemen anzuwenden und dabei Geld zu verdienen.

Über eine Milliarde US-Dollar wurden allein über HackerOne seit dem Start ausgeschüttet. SAP, die Deutsche Telekom und Siemens betreiben eigene Programme. Die Chancen sind real — die Frage ist, wie man sie nutzt.

Die Rechtslage in Deutschland

Vor jedem technischen Detail: §202a StGB (Ausspähen von Daten) macht das Testen ohne ausdrückliche Genehmigung zur Straftat — unabhängig von Ihrer Absicht. Bug Bounty ist nur dann legal, wenn:

1. Das Unternehmen ein öffentliches oder privates Programm betreibt
2. Sie sich innerhalb des definierten Scopes bewegen
3. Sie keine gefundenen Daten exfiltrieren oder missbrauchen
4. Gefundene Schwachstellen sofort und verantwortungsvoll gemeldet werden

Programme auf HackerOne und Bugcrowd liefern diese schriftliche Genehmigung automatisch. Testen Sie niemals Systeme außerhalb der definierten Scope-Dokumente — auch wenn Sie glauben, es wäre "harmlos".

Wie Bug Bounty funktioniert

Die Grundmechanik

Das Unternehmen veröffentlicht ein Programm mit:

• Scope: Welche Domains, Apps, APIs dürfen getestet werden
• Out-of-Scope: Was ausdrücklich verboten ist (oft: DDoS, Social Engineering, physische Angriffe)
• Schweregrade und Prämien: Was Critical, High, Medium, Low bedeutet und was es jeweils bringt

Sie finden eine Schwachstelle, schreiben einen detaillierten Bericht, und das Unternehmen überprüft, bestätigt und zahlt aus.

Typische Prämienstruktur

Schweregrad	Beispiele	Typische Prämie
Critical	Remote Code Execution, SQLi auf Produktionsdatenbank	5.000 – 100.000+ €
High	IDOR mit breitem Impact, Authentication Bypass	1.000 – 10.000 €
Medium	Stored XSS, SSRF, Privilege Escalation	200 – 2.000 €
Low	Information Disclosure, Open Redirect	50 – 500 €

Öffentliche vs. Private Programme

Öffentliche Programme sind für jeden zugänglich — höchste Konkurrenz, aber der beste Einstieg. Die meisten Programme auf HackerOne und Bugcrowd sind öffentlich.

Private Programme sind nur per Einladung zugänglich, werden an Researcher vergeben, die in öffentlichen Programmen eine gute Reputation aufgebaut haben. Weniger Konkurrenz, höhere Prämien.

Voraussetzungen: Was Sie vorher brauchen

Bug Bounty ist keine Anfängerübung — es ist die nächste Stufe. Bevor Sie ein Programm öffnen, sollten Sie:

Technische Grundlagen

• OWASP Top 10 vollständig verstehen, nicht nur auswendig kennen
• Burp Suite oder OWASP ZAP im Proxy-Modus bedienen können
• HTTP-Requests und -Responses lesen und manipulieren können
• Grundlagen von JavaScript, SQL, HTML verstehen
• Mindestens eine CTF-Challenge auf PicoCTF oder TryHackMe abgeschlossen haben

Empfohlener Einstiegspfad

Monat 1–2: TryHackMe — Web Fundamentals Path + OWASP Top 10 Modul
Monat 3: HackTheBox Starting Point + 2–3 Easy-Maschinen
Monat 4: Erstes Bug-Bounty-Programm mit breitem Scope öffnen

Die richtigen Plattformen wählen

HackerOne

Größte Plattform weltweit. Stark bei Tech-Unternehmen, viele US-Programme. Für Einstieg gut geeignet, da viele öffentliche Programme mit "Responsible Disclosure only" statt Prämien.

Bugcrowd

Ähnlich wie HackerOne, mit eigenem Rating-System (Priority Rating). Gut für Einstieg.

Intigriti

Europäische Plattform mit Fokus auf DACH-Region. Viele europäische Großunternehmen als Kunden. Besonders empfehlenswert für Deutschland, da viele Programme nach DSGVO-Kontext strukturiert sind.

Direkte Programme

SAP, Deutsche Telekom und Siemens haben eigene Vulnerability-Disclosure-Programme — diese sind weniger bekannt und damit weniger umkämpft.

Ihre erste Schwachstelle finden

Die häufigsten Einsteigerfunde

1. IDOR (Insecure Direct Object Reference) — User-ID in URL ändern und fremde Daten sehen
2. Stored XSS — Schadcode wird dauerhaft in der Anwendung gespeichert
3. Open Redirect — Weiterleitung auf externe Domains ohne Validierung
4. Information Disclosure — Sensible Daten in Fehlermeldungen, API-Responses oder JavaScript-Dateien
5. Broken Access Control — Aktionen ausführen, die der eigene Account nicht dürfte

Der Workflow

1. Scope lesen — vollständig, bevor Sie ein einziges Request senden
2. Recon — Subdomains, APIs, JS-Dateien, alte Endpoints kartieren
3. Manuell testen — Automatisierte Scanner sind in den meisten Programmen verboten oder schaden der Reputation
4. Proof of Concept erstellen — zeigen, dass die Schwachstelle ausnutzbar ist, nicht nur theoretisch

Den richtigen Bericht schreiben

Ein guter Bericht ist der Unterschied zwischen Ablehnung und Auszahlung:

1. Titel: Konkret — "Stored XSS in /user/profile via name field" statt "XSS gefunden"
2. Schweregrad mit Begründung: CVSS-Score und warum
3. Schritte zur Reproduktion: Nummeriert, jeden Request dokumentiert, Screenshots
4. Proof of Concept: Video oder Screenshot des exploitierten Bugs
5. Impact: Was kann ein Angreifer realistisch damit anstellen?

Realistische Erwartungen

Erstes Jahr: Mehrheitlich Ablehnungen und "Informational"-Einschätzungen — das ist normal. Die meisten Researcher brauchen 3–6 Monate, bis sie ihre erste Prämie erhalten.

Was hilft: Fokus auf ein Programm mit breitem Scope statt ständig wechseln. Lesen Sie alle öffentlichen Writeups auf Plattformen wie pentevo.com/blog — das beschleunigt das Lernen massiv.

Starten Sie parallel mit den kostenlosen CEH-Kursen auf Pentevo Academy — das strukturierte Wissen beschleunigt Ihren Fortschritt erheblich.