Wenn Sie eine Bug-Bounty- oder VDP-Programmleitung einstellen wollen, klären Sie zuerst, ob Sie eine vollwertige Programmverantwortung brauchen oder eine gemanagte Sichtung als Service. Bauen Sie die Stellenanzeige um vier Kernaufgaben herum auf: Sichtung von Meldungen, Beziehungspflege zu Forschern, Verantwortung für SLAs und Bereitschaft sowie Entscheidungen über die Auszahlungsstufen. Prüfen Sie auf echtes Sichtungsurteil und eine belegbare Historie in der Forscherkommunikation, und führen Sie dann ein praktisches Interview durch, in dem die Kandidatin oder der Kandidat eine echte Meldung live sichtet — inklusive eines eingeschleusten Stücks KI-Spam. Eine Bug-Bounty-/VDP-Programmleitung verantwortet Ihre gesamte Funktion für eingehende Schwachstellen von Anfang bis Ende. Sie sichtet Meldungen, sobald sie eintreffen, bestätigt oder widerlegt jeden Fund, kommuniziert mit externen Forschern, verfolgt Bestätigung und Behebung gegen die SLAs, betreibt die Bereitschaftsrotation, die kritische Meldungen außerhalb der Geschäftszeiten auffängt, und entscheidet, was jeder gültige Fund einbringt. Es ist eine Rolle für Urteilsvermögen, Kommunikation und Betrieb, die zufällig ein tiefes technisches Fundament verlangt — kein reiner Hacking-Job. Dieser Leitfaden behandelt den Einstellungsmarkt 2026, die richtige Vergütung, den richtigen Zeitpunkt und wie Sie die Person finden, die Ihre Meldungs-Warteschlange wirklich in die Hand nimmt. ## Der Einstellungsmarkt für Bug-Bounty-/VDP-Leitungen 2026 Die Rolle professionalisiert sich rasant, und drei Kräfte treiben das voran: Das obere Ende des Marktes hebt die Prämien deutlich an, KI überschwemmt die Warteschlangen, und es gibt noch immer keine saubere Berufsbezeichnung für die Person, die das alles managen muss. Gängige Titel für denselben Job sind unter anderem **Bug Bounty Program Manager, VDP Manager, Vulnerability Disclosure Program Manager, Product Security Engineer (mit Bug-Bounty-Schwerpunkt)** und, in größeren Organisationen, **Security Program Manager (Offensive / CVD)**. Der rote Faden ist die Verantwortung für die Warteschlange und die Forscherbeziehung, nicht die Verantwortung für die Codebasis. **1. Das obere Ende des Marktes signalisiert, dass eingehende Forschung echtes Geld wert ist.** Im Oktober 2025 kündigte Apple eine große Weiterentwicklung seiner Apple Security Bounty an und verdoppelte die höchste Prämie von **1 Mio. $ auf 2 Mio. $** für Zero-Click-Exploit-Ketten, mit einem Bonussystem, das eine einzelne Auszahlung über **5 Mio. $** treiben kann. In nahezu jeder Kategorie kam es zu einer Verdopplung oder mehr (One-Click-Ketten 250.000 $ auf 1 Mio. $, drahtlose Näherungsangriffe 250.000 $ auf 1 Mio. $, App-Sandbox-Ausbruch 150.000 $ auf 500.000 $), wirksam ab November 2025 (Quelle: [Apple Security Research, „A major evolution of Apple Security Bounty“](https://security.apple.com/blog/apple-security-bounty-evolved/)). Wenn das größte Programm der Welt seine Prämien so drastisch anhebt, gerät jedes nachgelagerte Programm unter Druck, zu formalisieren, wie *es* über Auszahlungen entscheidet. Das ist die Aufgabe einer Programmleitung. **2. Das durch KI erzeugte Meldungsvolumen zwingt Programme zum Personalaufbau.** Der Hacker-Powered Security Report 2025 von HackerOne stellte fest, dass **gültige KI-bezogene Funde im Jahresvergleich um 210 % stiegen**, Meldungen zu Prompt Injection um **540 %** und die Zahl der Programme mit KI im Geltungsbereich oder einer gültigen KI-Meldung um **270 % auf mehr als 1.121 Programme** wuchs (Quelle: [HackerOne, „210% Spike in AI Vulnerability Reports“](https://www.hackerone.com/press-release/hackerone-report-finds-210-spike-ai-vulnerability-reports-amid-rise-ai-autonomy)). Die Kehrseite ist die Welle des „Spams“: automatisierte und KI-verfasste Einreichungen, die aufpoliert, aber technisch flach sind. HackerOne verzeichnete mehr als **1.100 Hackbot-Einreichungen**, von denen etwa **die Hälfte gültig** war und **78 % davon XSS** — Standardschwachstellen statt der komplexen Logikfehler, die menschliches Urteilsvermögen brauchen (Quelle: [HackerOne, „3 Signals from the 2025 Hacker-Powered Security Report“](https://www.hackerone.com/blog/ai-security-trends-2025)). Steigendes echtes Signal *und* steigendes Rauschen landen im selben Posteingang, und beides braucht jemanden, dessen Vollzeitjob darin besteht, die beiden voneinander zu trennen. **3. Es gibt keine saubere berufliche Kategorie für diese Rolle — und genau das ist die eigentliche Geschichte.** Das U.S. Bureau of Labor Statistics führt keinen Code für „Bug-Bounty-Programmleitung“. Die nächste Klassifizierung ist **Information Security Analysts (SOC 15-1212)**, für die von **2024 bis 2034 ein Wachstum von 29 %** prognostiziert wird — einer der am schnellsten wachsenden erfassten Berufe — mit etwa **16.000 offenen Stellen pro Jahr** und rund **182.800 Stellen im Jahr 2024** (Quelle: [BLS Occupational Outlook Handbook, Information Security Analysts](https://www.bls.gov/ooh/computer-and-information-technology/information-security-analysts.htm)). Nutzen Sie diese Zahl für die Nachfrageentwicklung, nicht als Gehalt: 15-1212 wirft die Programmleitung mit SOC-Analysten, Threat Huntern und generalistischen Security Engineers in einen Topf. Das Fehlen einer eigenen Kategorie ist genau der Grund, warum „Wie stelle ich diese Person überhaupt ein?“ für die meisten Gründerinnen und Gründer eine offene Frage ist. | Marktsignal | Benchmark 2026 | Strategische Konsequenz | |---------------|----------------|----------------------| | Apple-Höchstprämie | 1 Mio. $ auf 2 Mio. $ (bis zu 5 Mio. $ mit Boni), Nov. 2025 | Entscheidungen über Auszahlungsstufen haben nun hohen Einsatz und sind formalisiert | | Gültige KI-Schwachstellenfunde | +210 % im Jahresvergleich (HackerOne) | Das echte Signal steigt; die Warteschlange ist wertvoller, nicht weniger wert | | Programme mit KI im Geltungsbereich | +270 % auf 1.121+ | Mehr Programme bedeuten mehr Konkurrenz um erfahrene Leitungen | | Hackbot-Einreichungen | ~1.100, ~Hälfte gültig, 78 % XSS | Volumen und Rauschen wachsen beide; der Sichtungsdurchsatz ist der Engpass | | Wachstum Info Security Analysts (SOC 15-1212) | 29 % (2024 bis 2034), ~16.000 offene Stellen/Jahr | Sie stellen in einen gravierenden Fachkräftemangel hinein ein | ## Gehaltsvergleiche für Bug-Bounty-/VDP-Leitungen 2026 Weil es keinen eigenen Berufscode gibt, muss die Vergütung aus benachbarten Titeln und aktuellen Stellenanzeigen trianguliert werden. Die ehrliche Zusammenfassung: Die Spanne ist breit, von rund **115.000 $ für eine junge Programmkoordinationsrolle bis zu 260.000 $ für eine erfahrene Product-Security-Leitung**, die die gesamte Funktion verantwortet. - **Programmkoordination / Analyst-Stufe.** Die Glassdoor-Sammelauswertung für „Bug Bounty Program“ nennt einen Durchschnitt um **115.427 $**, mit dem 90. Perzentil nahe **197.097 $** (Quelle: [Glassdoor, Bug Bounty Program Salary](https://www.glassdoor.com/Salaries/bug-bounty-program-salary-SRCH_KO0,18.htm)). Das mischt Koordinatoren, Sichter und Manager, lesen Sie es also als Signal vom unteren bis mittleren Bereich. - **Security-Program-Manager-Stufe.** Anfang 2026 verdient ein allgemeiner **Security Program Manager** im Schnitt rund **145.000 $ bis 149.000 $**, ein **Cyber Security Program Manager** etwa **162.242 $**, mit Werten im 90. Perzentil nahe **167.000 $** (Quellen: [Salary.com, Security Program Manager](https://www.salary.com/research/salary/recruiting/security-program-manager-salary), [PayScale, Security Program Manager](https://www.payscale.com/research/US/Job=Security_Program_Manager/Salary)). Das ist der richtige Anker für eine Programmverantwortung ohne starke Anforderung an praktisches Hacking. - **Erfahrene Product-Security- / dedizierte Leitungsstufe.** Aktuelle Stellenanzeigen aus 2026 für eine Bug-Bounty-Leitung, die ein VDP von Anfang bis Ende verantwortet, gruppieren sich im Bereich **240.000 $ bis 260.000 $**, konsistent mit erfahrenen Security Engineers, die bei gut finanzierten Unternehmen ein **Grundgehalt von 190.000 $ bis 270.000 $** verdienen (Quelle: [ZipRecruiter, Bug Bounty Jobs](https://www.ziprecruiter.com/Jobs/Bug-Bounty)). Behandeln Sie die Zahl von 240.000 $ bis 260.000 $ als aus Anzeigen abgeleitet sowie geografie- und phasenabhängig, nicht als landesweiten Durchschnitt. Sie spiegelt erfahrene Rollen bei finanzierten Tech-Unternehmen in Ballungsräumen mit hohen Lebenshaltungskosten wider. | Stufe | Typische Vergütung 2026 | Was Sie bekommen | |------|-------------------|--------------| | Programmkoordination / Sichtung | ~115.000 $ bis 140.000 $ | Führt die Warteschlange und Forscherkommunikation unter einer Leitung; keine Strategieverantwortung | | Security Program Manager (CVD) | ~145.000 $ bis 167.000 $ | Verantwortet Prozess, SLAs, Abstimmung mit Stakeholdern; leichtere praktische Sichtung | | Erfahrene Product-Security- / dedizierte Leitung | ~190.000 $ bis 260.000 $+ | Verantwortet Sichtung, Auszahlungspolitik, Forscherbeziehungen und harte technische Validierung | Zwei Vergütungsrealitäten, mit denen Sie planen sollten. Erstens sitzt die Cybersicherheit in einem strukturellen Fachkräftemangel (die BLS-Wachstumsprognose von 29 % ist das Indiz), sodass spezialisierte, nachweislich erfahrene Leitungen einen Aufschlag verlangen und hart verhandeln. Zweitens ist bei börsennotierten und spät finanzierten Unternehmen das Grundgehalt nur ein Teil der Geschichte: Die Gesamtvergütung mit Eigenkapital kann deutlich über diesen Grundgehaltsspannen liegen — budgetieren Sie also die Gesamtvergütung, nicht nur das Gehalt. ## Wann sollten Sie eine dedizierte Bug-Bounty-/VDP-Leitung einstellen? Die meisten Unternehmen gehen diese Einstellung falsch herum an. Sie starten ein öffentliches Programm, werden überschwemmt und rudern *dann* hektisch. Stellen Sie vor der Flut ein. Achten Sie auf diese Auslöser: - **Sie sind kurz davor, ein Bug-Bounty-Programm öffentlich zu machen.** Ein privates, nur auf Einladung zugängliches Programm lässt sich oft von einem bestehenden Security Engineer nebenher betreiben. Ein *öffentliches* Programm, bei dem jeder einreichen kann, erzeugt ein Volumen, das ab dem ersten Tag eine dedizierte Verantwortung braucht. Aircall etwa betreibt ein nur auf Einladung zugängliches Bugcrowd-Programm und hat erklärt, dass es den Geltungsbereich ausweiten und öffentlich machen will (Quelle: [Aircall security.txt](https://aircall.io/.well-known/security.txt)). Der Moment vor dem Öffentlichwerden ist der Moment, die Leitung zu besetzen. - **Eingehende Meldungen ziehen Entwickler von der Roadmap-Arbeit ab.** Wenn das Validieren und Widerlegen von Meldungen (besonders KI-Spam) zu einer wiederkehrenden Belastung für Ihr Entwicklungsteam wird, rechnet sich eine dedizierte Sichtungsrolle über zurückgewonnene Entwicklungsstunden von selbst. - **Compliance erzwingt die Funktion.** Regulierung wie der EU Cyber Resilience Act macht koordinierte Schwachstellenoffenlegung für ganze Produktkategorien verpflichtend, und eine Compliance-Frist ist ein harter Auslöser, die Rolle zu besetzen. Siehe unseren [Leitfaden zum EU Cyber Resilience Act](/blog/eu-cyber-resilience-act-mandatory-vulnerability-disclosure). - **Forscher beschweren sich öffentlich.** Langsame Bestätigungen, Funkstille und strittige Auszahlungen sind der Weg, auf dem Programme in einem misslungenen Offenlegungsvorfall enden. Wenn Forscher bereits frustriert sind, sind Sie zu spät dran. ### Selbst aufbauen oder einkaufen: interne Leitung vs. gemanagte Sichtung Bevor Sie einstellen, klären Sie, was die Plattformanbieter für Sie tun werden und was nicht. Die gemanagte Sichtung von HackerOne oder Bugcrowd übernimmt die Erstvalidierung, aber sie ist nicht kostenlos, und sie verantwortet weder Ihre *interne* Behebung noch Ihre Auszahlungspolitik oder Ihre Forscherbeziehungen. Gemeldete Preise 2026: Einsteiger-**VDP-Programme kosten ~8.000 $ bis 12.000 $/Jahr**, private Bug-Bounty-Programme **~25.000 $ bis 40.000 $/Jahr** und plattformweite Enterprise-Programme **150.000 $+/Jahr**; Plattformgebühren von Bugcrowd liegen bei **30.000 $ bis 150.000 $+**; HackerOne erhebt eine **Gebühr von 5 % auf jede Prämienauszahlung**, und gemanagte Sichtung schlägt mit weiteren Zehntausenden zu Buche. Eine Plattformgebühr von 50.000 $ plus ein Prämienpool von 200.000 $ plus 40.000 $ gemanagte Sichtung ergibt eine jährliche Verpflichtung von rund **290.000 $** (Quelle: [Ciphers Security, Bug Bounty Program Cost 2026](https://cipherssecurity.com/bug-bounty-cost-2026-hackerone-bugcrowd-synack/)). Die Rechnung: Eine voll umgelegte interne Leitung (~150.000 $ bis 260.000 $) ist mit gemanagten Enterprise-Services vergleichbar, aber die Leitung verantwortet zusätzlich die Auszahlungsstrategie, die interne Nachverfolgung der Behebung und die Forscherbeziehung — nichts davon nimmt Ihnen eine Plattform ab. Die meisten skalierenden Unternehmen landen bei einem hybriden Modell: eine Plattform für Eingang und Erstsichtung und eine interne Leitung, die alles Nachgelagerte verantwortet. ## Was Sie tatsächlich einstellen: die vier Kernaufgaben Seien Sie präzise, was die Rolle betrifft, bevor Sie die Stellenanzeige schreiben, denn die Titel überschneiden sich, die Fähigkeiten aber nicht. Die Person, die diese Funktion verantwortet, tut vier unterschiedliche Dinge. 1. **Sichtung und Validierung von Meldungen.** Liest jede eingehende Meldung, reproduziert oder widerlegt den Fund, dedupliziert gegen bekannte Probleme und erkennt — 2026 entscheidend — KI-Spam schnell, sodass er nie den Nachmittag einer Entwicklerin verschlingt. Das ist der volumenstärkste und urteilsintensivste Teil des Jobs. 2. **Beziehungspflege zu Forschern (das Hauptbuch).** Pflegt die Beziehung zu externen Forschern: bestätigt Meldungen schnell, kommuniziert den Status ehrlich, verfolgt Reputation und Historie jedes Forschers und schützt das Vertrauen, das gute Forscher dazu bringt, bei Ihnen einzureichen, statt an die Öffentlichkeit zu gehen. Auszahlungsstreitigkeiten fallen in diesen Bereich. Siehe unseren [Leitfaden zu Auszahlungsstreitigkeiten und SLA-Fairness](/blog/bug-bounty-payout-disputes-resolution-sla-fairness). 3. **Bereitschaft und SLA-Verfolgung.** Verantwortet die Uhren für Bestätigung und Behebung. Eine kritische Meldung, die samstags um 2 Uhr nachts eintrifft, kann nicht bis Montag warten; die Leitung betreibt die Bereitschaftsrotation (oder sitzt darin) und ist verantwortlich, wenn eine SLA reißt. 4. **Entscheidungen über Auszahlungsstufen.** Ordnet jeden gültigen Fund einem Schweregrad und einem Geldbetrag zu — vertretbar und durchgängig. Machen Sie das falsch, zahlen Sie entweder für Rauschen zu viel oder für echte Forschung zu wenig und verlieren Ihre Forscherbasis. Siehe [Prämienstufen und Forschervertrauen](/blog/bug-bounty-reward-tiers-researchers-trust-hackerone-cuts). Ein nützliches reales Anschauungsbeispiel: Eine Stellenanzeige von Anthropic aus 2026 für einen **Technical Program Manager, Security (Coordinated Vulnerability Disclosure)** verlangt **10+ Jahre in Cybersicherheit oder Schwachstellenmanagement und 4+ Jahre Leitung von Offenlegungs- oder koordinierten Reaktionsprogrammen** — die Verantwortung für den gesamten CVD-Lebenszyklus von der internen Sichtung und menschlichen Validierung KI-generierter Funde, über gestufte Offenlegungsfristen, bis zur externen Koordination, in funktionsübergreifender Zusammenarbeit mit Security Engineering, Legal, Communications und Product. Beachten Sie die ausdrückliche Nennung der „menschlichen Validierung KI-generierter Funde“. Das ist die Version dieses Jobs für 2026. Der häufigste, teure Fehler ist die Annahme, dies sei eine reine Hands-on-Hacking-Rolle. Es ist eine Rolle für Urteilsvermögen, Kommunikation und Betrieb, die genügend technische Tiefe erfordert, um Funde zu validieren. Ein brillanter Exploit-Entwickler, der nicht mit einem frustrierten Forscher kommunizieren oder eine SLA halten kann, wird hier nicht erfolgreich sein. ## Die Stellenanzeige für die Bug-Bounty-/VDP-Leitung schreiben Bauen Sie die Anzeige um die vier Kernaufgaben herum auf und trennen Sie harte Anforderungen von wünschenswerten Punkten, damit Sie einen ohnehin winzigen Bewerberkreis nicht noch weiter verkleinern. **Unverzichtbare Verantwortlichkeiten, die Sie ausbuchstabieren sollten:** - Eingehende Schwachstellenmeldungen sichten und validieren; Funde reproduzieren und gegen bekannte Probleme deduplizieren. - Signalarmen, KI-generierten Spam erkennen und aussortieren, ohne Entwicklungszeit zu verbrennen. - Forscherkommunikation verantworten: schnelle Bestätigungen, ehrliche Status-Updates, Handhabung von Streitigkeiten. - SLA-Verfolgung verantworten (Bestätigung plus Behebung je Schweregrad) und an der Bereitschaftsrotation teilnehmen. - Schweregrad und Auszahlungsstufen durchgängig gegen eine veröffentlichte Matrix zuordnen. - Mit dem Entwicklungsteam bei der Behebung und mit Legal bei Safe Harbor und Offenlegungsfristen zusammenarbeiten. **Anforderungen vs. wünschenswerte Punkte.** Harte Anforderungen: nachgewiesene Verantwortung für ein Bug-Bounty- oder VDP-Programm (intern *oder* als Plattform-Sichter), die Fähigkeit, Web- und App-Schwachstellen zu validieren, und eine belegbare Historie guter Forscherkommunikation. Wünschenswert: Zertifizierungen im Bereich Offensive Security (OSCP und ähnliche), Erfahrung in CVE-/CERT-CC-Koordination und Erfahrung mit einer bestimmten Plattform (HackerOne, Bugcrowd, Synack). Führen Sie keine Zertifizierung als Pflicht auf. Die stärksten Programmleitungen kommen oft von der Forscherseite hoch und beweisen sich über ihr Sichtungsurteil, nicht über Abzeichen. **Nennen Sie das Volumen.** Benennen Sie die erwartete Warteschlange („Sichtung von ~X Meldungen/Woche über N Assets“) und die SLA-Ziele, die die Person halten soll. Das filtert von selbst Operatoren heraus, die eine echte Warteschlange geführt haben, und siebt jene aus, die nur bei Programmen *eingereicht* haben. Für Struktur und Sprache, die anzieht statt abschreckt, gelten dieselben Prinzipien wie in unseren übrigen Einstellungsleitfäden: Führen Sie mit Wirkung und den konkreten Aufgaben, nicht mit einer Wand aus Schlagworten. ## Screening-Signale: worauf Sie achten sollten Prüfen Sie auf Belege, nicht auf Bauchgefühl, und denken Sie daran, dass Sie ebenso sehr auf Urteilsvermögen und Kommunikation einstellen wie auf technische Tiefe. ### 1. Sichtungsurteil Die Kernfähigkeit. Bitten Sie um eine Schilderung einer echten Meldung, die die Person gesichtet hat: wie sie sie reproduziert hat, wie sie entschieden hat, ob sie gültig war oder nicht, wie sie dedupliziert hat und — das Indiz für 2026 — wie sie KI-Spam erkennt. Gute Antworten nennen konkrete Signale: halluzinierte Funktionsnamen, erfundene CVEs, generischer Behebungstext, fehlender oder nicht funktionierender Proof of Concept, Vorlagensprache, vage Reproduktionsschritte. Wer seine Spam-Heuristiken nicht in Worte fassen kann, war während der Flut nicht in der Warteschlange. ### 2. Forscherkommunikation und Handhabung von Streitigkeiten Fragen Sie nach einer Auszahlungsstreitigkeit oder einem wütenden Forscher, den die Person entschärft hat, und nach einer Situation, in der sie eine Meldung eines Forschers mit hoher Reputation ablehnen musste. Achten Sie auf Empathie plus Bestimmtheit: Sie hat die Beziehung geschützt *und* bei Gültigkeit und Schweregrad Kurs gehalten. Das ist die Fähigkeit, die gute Forschung zu Ihnen bringt, statt in die sozialen Medien oder, schlimmer noch, in eine misslungene öffentliche Offenlegung. Siehe [wenn Forscher an die Öffentlichkeit gehen](/blog/when-researchers-go-public-botched-disclosure). ### 3. SLA- und Bereitschaftsdisziplin Fragen Sie, welche SLAs für Bestätigung und Behebung die Person geführt hat und wie oft sie diese verfehlt hat und warum. Fragen Sie, wie sie eine kritische Meldung außerhalb der Geschäftszeiten gehandhabt hat. Starke Kandidaten denken in Uhren und Eskalationspfaden; schwache behandeln die Warteschlange als Bemühen nach bestem Vermögen. ### 4. Begründung der Auszahlungsstufen Geben Sie ihnen einen Fund und fragen Sie, was sie zahlen würden und warum. Sie testen auf ein vertretbares, durchgängiges Rahmenwerk (Schweregrad zu Stufe zu Spanne), nicht auf eine aus der Luft gegriffene Zahl. Eine Leitung, die Rauschen zu hoch belohnt, sprengt Ihr Budget; eine, die echte Arbeit zu niedrig belohnt, verliert Ihre Forscher.

Sie stellen einen Security-Operator ein? Kits strukturierte Pipeline erfasst Sichtungsübungen, Forscher-Rollenspiele und Rubrik-Bewertungen als vergleichbare Signale, sodass Ihr Team Kandidaten nach Urteilsvermögen vergleicht, nicht nach Bauchgefühl.

Kostenlos testen

## Den Interviewprozess gestalten Interviewen Sie eine Programmleitung, indem Sie ihr bei der Arbeit zusehen, nicht indem Sie darüber reden. Ein praktischer Ablauf: 1. **Recruiter- und Personalverantwortlichen-Gespräch (30 Min.).** Passung zur Rolle, die verantworteten Programme, das gehaltene Volumen und die gehaltenen SLAs. Bitten Sie um echte Zahlen. 2. **Live-Sichtungsübung (60 Min.).** Reichen Sie ihnen zwei oder drei echte, anonymisierte Meldungen und schleusen Sie bewusst ein Stück KI-Spam sowie einen wirklich guten Fund ein. Lassen Sie sie live sichten: reproduzieren, validieren, deduplizieren, Schweregrad zuordnen, die Forscherantwort entwerfen und eine Auszahlung entscheiden. Diese eine Übung legt Sichtungsurteil, KI-Spam-Erkennung, Kommunikationston und Auszahlungsbegründung auf einen Schlag offen. 3. **Forscher-Rollenspiel (30 Min.).** Sie spielen einen frustrierten Forscher mit hoher Reputation, der einen herabgestuften Schweregrad anzweifelt. Beobachten Sie, wie die Person Kurs hält und dabei die Beziehung schützt. 4. **Systeme- und Prozess-Tiefeneinblick (30 Min.).** Gehen Sie ihr letztes Programm von Anfang bis Ende durch. Wo lagen die Engpässe? Welche SLAs sind gerissen und warum? Wie hat sie Automatisierung für die Erstsichtung genutzt — oder wie hätte sie sie gerne genutzt? 5. **Funktionsübergreifendes und Werte.** Wie sie mit dem Entwicklungsteam bei der Behebung und mit Legal bei Safe Harbor und Offenlegungsfristen zusammenarbeitet. Starke Interviewfragen zum Einbauen: - „Führen Sie mich durch die letzte Meldung, die Sie gesichtet haben und die sich als Spam herausstellte. Was hat Sie stutzig gemacht?“ - „Erzählen Sie mir von einer Auszahlungsstreitigkeit. Was haben Sie gezahlt, und wie haben Sie das mit dem Forscher geklärt?“ - „Welche SLAs für Bestätigung und Behebung haben Sie geführt, und wann haben Sie sie verfehlt?“ - „Wie würden Sie diese Meldung genau jetzt sichten?“ (reichen Sie ihnen eine) - „Wie entscheiden Sie über den Schweregrad, wenn der Forscher und Ihre Entwickler uneins sind?“ ## Häufige Fehler bei der Einstellung einer Bug-Bounty-/VDP-Leitung - **Einen Exploit-Entwickler für einen Betriebsjob einstellen.** Erstklassiges Hacking-Können garantiert keine Sichtungsdisziplin, keine Forscherempathie und keine SLA-Strenge. Prüfen Sie mit Blick auf die gesamte Rolle. - **Warten, bis Sie öffentlich gegangen sind.** Die Flut kommt am ersten Tag eines öffentlichen Programms. Besetzen Sie die Leitung, bevor Sie die Tore öffnen, nicht wenn die Warteschlange bereits brennt. - **Zertifizierungen als Beweis behandeln.** Für diese Rolle gibt es keine Lizenz. Viele der besten Leitungen kommen von der Forscherseite ganz ohne PM-Nachweise. Abzeichen sind Ausschlagskriterien, keine Hürden. - **Die Beziehungspflege zu Forschern unterschätzen.** Eine Leitung, die Bugs validieren, aber nicht kommunizieren kann, zerstört still Ihre Forscherbasis und legt den Grundstein für einen Knall bei der öffentlichen Offenlegung. - **Das Spam-Problem in der Anzeige ignorieren.** Wenn die Beschreibung klingt, als wäre sie 2022 geschrieben worden, gehen erfahrene Kandidaten von 2026 davon aus, dass Sie das Volumen nicht verstehen, dem sie gegenüberstehen werden. - **Die Person einstellen und ihr dann einen geteilten Posteingang und eine Tabelle in die Hand drücken.** Der mit Abstand vermeidbarste Fehlschlag. Sie haben auf SLA-Disziplin und durchgängige Auszahlungen geprüft und ihr dann kein System gegeben, um beides durchzusetzen. ## Wie Kit Ihnen hilft, eine Bug-Bounty-/VDP-Leitung einzustellen und auszustatten Die Leitung, die Sie einstellen, ist nur so wirksam wie das System, das Sie ihr in die Hand geben. Sie können hart auf Sichtungsurteil, Forscherkommunikation, SLA-Disziplin und durchgängige Auszahlungsbegründung prüfen — aber wenn die neue Leitung einen geteilten Posteingang und eine Tabelle erbt, materialisieren sich die Kennzahlen, auf die Sie interviewt haben, nie. Kits CSIRT-/VDP-Modul ist eine strukturierte Betriebsplattform für genau diese Funktion, sodass die Fähigkeiten, auf die Sie geprüft haben, zum System werden, das die Leitung betreibt. - **KI-gestützte Erstsichtung.** Kits Screening führt einen LLM-Erstdurchlauf durch, der nach Konfidenz durchlassen, prüfen oder markieren empfiehlt und explizite Spam-Signale sichtbar macht (halluzinierte Funktionen, erfundene CVEs, generische Behebung, fehlender PoC, Vorlagensprache). Es ist assistierend, keine Auto-Ablehnung, sodass Ihre Leitung die Grenzfälle beurteilt, während der offensichtliche Spam nie einen Entwickler erreicht. Das ist die betriebliche Antwort auf das KI-Volumenproblem von 210 %. Siehe unseren [Tiefeneinblick in die KI-Spam-Sichtung](/blog/ai-slop-flooding-bug-bounty-triage). - **Forscher-Hauptbuch und Reputation.** Ein Karma- und Reputationssystem belohnt gültige Arbeit und bestraft KI-Spam und Massenmeldungen, sodass Forscherbeziehungen und -historie an einem Ort leben, statt aus dem Gedächtnis rekonstruiert zu werden. Das ist genau das Hauptbuch, das die Rolle verantwortet. - **Nach Schweregrad gestufte Prämienmatrix.** Auszahlungen bilden sich per Richtlinie auf Schweregrade ab (informativ ist 0 $, ansteigend nach Schweregrad), sodass Auszahlungsentscheidungen durchgängig und vertretbar sind: das Rahmenwerk, auf das Sie geprüft haben, durchgesetzt durch das System. - **SLAs für Bestätigung und Behebung, plus Bereitschaft.** Kit verfolgt die Uhren für Bestätigung und Behebung je Schweregrad und unterstützt die automatische Zuweisung der Bereitschaft, sodass die SLA-Disziplin, auf die Sie interviewt haben, gemessen wird und nicht nur nach bestem Vermögen erfolgt. - **Geltungsbereich, security.txt und Spam-Kontrollen an der Quelle.** Ein veröffentlichter Geltungsbereich und eine security.txt reduzieren das Rauschen außerhalb des Geltungsbereichs, bevor es die Warteschlange erreicht, und Ratenbegrenzung hindert einen einzelnen Akteur daran, den Eingang zu überschwemmen. Stellen Sie den Operator ein, der die Warteschlange verantworten kann, und geben Sie ihm dann eine Warteschlange, die es zu verantworten lohnt. Wenn Sie das Programm noch nicht gestartet haben, beginnen Sie mit unserem Leitfaden [So richten Sie ein Vulnerability-Disclosure-Programm ein](/blog/how-to-set-up-vulnerability-disclosure-program). Besetzen Sie eine benachbarte Security-Rolle? Siehe [So stellen Sie Security Engineers anhand der CTF-Leistung ein](/blog/hiring-security-engineers-ctf-performance-signal). Wenn Sie so weit sind, [starten Sie einen kostenlosen Test](/users/sign_up) und geben Sie Ihrer neuen Leitung das System ab dem ersten Tag.