Ihr Programm konfigurieren

Warum das zählt

Gute Konfiguration ist der Unterschied zwischen einem glaubwürdigen VDP und einer vagen Policy, die Forscher ignorieren. Ein klar abgegrenzter Geltungsbereich schützt Ihr Entwicklungsteam vor themenfremden Meldungen, SLA-Ziele sorgen dafür, dass Ihre Reaktionszeiten verbindlich bleiben, und eine gut definierte Bounty-Matrix legt schon vor der Einreichung fest, was Forscher erwarten können.

Kit bietet für viele Einstellungen Vorgaben. Geltungsbereich, Kontaktdaten, Zuständigkeiten und öffentliche Richtlinie müssen Sie vor der Aktivierung jedoch bewusst prüfen.

VDP aktivieren

Navigieren Sie zu VDP, um Ihr Programm zu aktivieren. Die vollständige Pipeline ist in jedem aktiven Kit-Abonnement enthalten.

Sobald Ihr Programm erstellt ist, navigieren Sie zu VDP > Programmeinstellungen, um es zu konfigurieren. Ihr Programm startet im Status Draft und nimmt keine Meldungen an, bis Sie den Status auf Active setzen.

Allgemein-Tab

Der Allgemein-Tab steuert die Identität Ihres Programms und die Disclosure Policy.

Feld	Beschreibung
Programmname	Wird auf Ihrer Disclosure-Policy-Seite und im Forscherportal angezeigt
Status	Draft, Active oder Paused. Setzen Sie ihn auf Active, wenn die Konfiguration abgeschlossen ist
Disclosure Policy	Rich-Text-Feld, vorausgefüllt mit Safe-Harbor-Sprache. Unterstützt Formatierung, Links und Listen.
Verbotene Aktionen	Handlungen, die Forscher nicht durchführen dürfen (z. B. Social Engineering, physische Angriffe, Denial-of-Service)

Belassen Sie Ihr Programm im Status Draft, während Sie die übrigen Tabs konfigurieren. Wechseln Sie erst zu Active, wenn Sie bereit sind, Einreichungen anzunehmen.

Geltungsbereich-Tab

Der Geltungsbereich definiert, was Forscher testen sollen und was nicht. Ein vager Geltungsbereich erzeugt vage Meldungen. Seien Sie spezifisch.

Feld	Beschreibung
Ziele im Geltungsbereich	Hosts, URLs oder IP-Bereiche, die Forscher testen sollen (ein Eintrag pro Zeile). Beispiel: app.yourcompany.com, api.yourcompany.com
Kategorien außerhalb des Geltungsbereichs	OWASP-artige Kategorieausschlüsse (z. B. “Denial of Service”, “Physical Attacks”)
Ausgeschlossene Schwachstellentypen	Bestimmte Schwachstellenklassen, die Sie nicht akzeptieren (z. B. “Self-XSS”, “Missing rate limiting on non-critical endpoints”)

Wenn Sie keine Ziele im Geltungsbereich angeben, liegen implizit alle Ziele im Geltungsbereich. Das ist selten gewünscht. Listen Sie mindestens Ihre primären Anwendungsdomains auf.

Kit nutzt die Konfiguration des Geltungsbereichs, um eingehende Meldungen automatisch zu validieren. Meldungen, die ausgeschlossene Schwachstellentypen oder Kategorien außerhalb des Geltungsbereichs betreffen, werden markiert, bevor sie Ihr Sichtungs-Board erreichen.

Bounty-Matrix-Tab

Kit-Abonnement: Dieser Tab erfordert ein aktives Kit-Abonnement. Prämien bleiben optional.

Die Bounty-Matrix definiert Auszahlungsspannen für jeden Schweregrad. Die Beträge werden auf Ihrer Disclosure-Policy-Seite angezeigt, damit Forscher wissen, was sie erwartet.

Schweregrad	Standard Min	Standard Max
Super-kritisch	5.000 $	10.000 $
Kritisch	1.500 $	5.000 $
Hoch	500 $	1.500 $
Mittel	150 $	500 $
Niedrig	50 $	150 $
Informativ	0 $	0 $

Passen Sie diese Spannen an Ihr Budget und Ihre Risikotoleranz an. Wenn eine CVSS-Bewertung für eine Meldung erfasst wird, schlägt Kit automatisch einen Bounty-Betrag innerhalb der passenden Stufe vor.

Sichtbarkeit der Prämienabstimmung

Unterhalb der Matrix trägt derselbe Tab eine Einstellung zur Sichtbarkeit der Abstimmung. Sie steuert, ob das Stimmenbild eines Prämienvorschlags (der laufende Stand, wer wie abgestimmt hat und etwaige Gegenvorschläge) lesbar ist, bevor ein Teammitglied seine eigene Stimme abgegeben hat.

	Was Kollegen vor ihrer eigenen Stimme sehen
Verdeckt (Standard)	Den Betrag, wer ihn vorgeschlagen hat und warum, dazu wie viele Antworten versiegelt sind und wie viele Personen noch ausstehen. Keine Positionen, keine Namen, keine Gegenvorschläge.
Aufgedeckt	Alles, ab der ersten Stimme.

Verdeckt ist der Standard, weil die erste Zahl auf dem Bildschirm alle folgenden verankert. Wählen Sie Aufgedeckt nur, wenn das Team die Positionen der anderen bewusst schon beim Entstehen sehen soll. Die gewählte Einstellung wird mit dem übrigen Tab gespeichert und übersteht spätere Änderungen an den Stufen; Sie können sie auch ändern, indem Sie Ihren verbundenen KI-Assistenten bitten, das Programm umzukonfigurieren (siehe KI-Integration).

SLAs-Tab

SLAs definieren die Reaktionszeitverpflichtungen Ihres Teams. Die SLA-Uhr startet mit der Einreichung der Meldung. Ihr Dashboard zeigt den Status jeder Meldung als im Zeitplan, gefährdet oder überschritten an.

Die Bestätigungs-SLA gilt einheitlich für alle Schweregrade. Sie ist die maximale Zeit von der Einreichung bis zur ersten Antwort. Standard: 72 Stunden.

Lösungsziele variieren nach Schweregrad:

Schweregrad	Standard-Lösungsziel
Super-kritisch	24 Stunden
Kritisch	72 Stunden (3 Tage)
Hoch	168 Stunden (1 Woche)
Mittel	336 Stunden (2 Wochen)
Niedrig	720 Stunden (30 Tage)
Informativ	720 Stunden (30 Tage)

Überschreiben Sie beliebige dieser Werte, um sie an die Kapazität Ihres Teams anzupassen. Aggressive SLAs sehen auf dem Papier gut aus, verlieren aber an Glaubwürdigkeit, wenn Sie sie routinemäßig verletzen. Setzen Sie Ziele, die Sie einhalten können, und verschärfen Sie sie im Laufe der Zeit.

SLA-Indikatoren erscheinen auf jeder Meldungskarte im Sichtungs-Board:

• Im Zeitplan (grün): mehr als 25 % des SLA-Fensters verbleiben
• Gefährdet (gelb): 25 % oder weniger des SLA-Fensters verbleiben (75 % oder mehr verstrichen)
• Überschritten (rot): die SLA-Frist ist abgelaufen

Alarme bei SLA-Überschreitung

Eine Meldung, die ihre Bestätigungs-SLA überschreitet, alarmiert das Team auf drei Wegen gleichzeitig: mit einer Antwort im Slack-Thread der Meldung, mit einer Direktnachricht oder E-Mail an die Person, die gerade in Bereitschaft ist, und mit einem PagerDuty-Incident, sofern PagerDuty verbunden ist. Eine Überschreitung, die niemand ausräumen kann, ist beim ersten Mal eine Nachricht und beim fünften Mal nur noch Lärm. Zwei Felder am Ende dieses Tabs begrenzen deshalb, wie oft dieser Alarm wiederkehrt.

Feld	Standard	Bereich	Beschreibung
Wiederholungen nach einer Überschreitung	3	0–20	Wie oft eine überschrittene Meldung nach dem ersten Alarm erneut gemeldet wird. Auf 0 gesetzt, alarmiert Kit genau einmal und wiederholt nie.
Abstand zwischen zwei Alarmen	6 Stunden	6–720	Wie lange Kit wartet, bevor es erneut zu einer weiterhin unbestätigten Meldung alarmiert.

Der erste Alarm wird immer ausgelöst, begrenzt sind nur die Wiederholungen. Der letzte Alarm des Budgets weist in Slack selbst darauf hin, mit dem Zusatz last reminder – no further alerts for this report. Die anschließende Stille liest sich dadurch als aufgebrauchtes Budget und nicht als kaputte Integration.

Eine Meldung schlummern zu lassen unterdrückt auch die Wiederholungen, nie jedoch den ersten Alarm, denn der ist die Nachricht, auf die das Schlummern überhaupt antwortet.

Der Zähler beginnt von vorn, sobald eine Meldung die offene Pipeline verlässt (Submitted, Triaged, Needs Clarification, Validated, In Progress). Eine später wieder geöffnete Meldung startet deshalb mit einem frischen Budget. Der Wechsel von einem offenen Status in einen anderen setzt den Zähler dagegen nicht zurück.

Warteschlangenhinweis

Wenn die Prüfung von Meldungen in Verzug gerät, sagen Sie es den Forschern, statt sie raten zu lassen. Der Abschnitt Warteschlangenhinweis befindet sich unter VDP > Sicherheitsportal-Einstellungen, nicht in den Programmeinstellungen.

Feld	Beschreibung
Jetzt aktivieren / Deaktivieren	Schaltet den Hinweis ein oder aus. Die Zeile daneben zeigt, ob Forscher ihn gerade sehen.
Nachricht	Nur Text, bis zu 1.000 Zeichen. Leer lassen, um den Standardtext von Kit zu verwenden; den lesen Forscher in ihrer eigenen Sprache. Ihr eigener Text erscheint genau so, wie Sie ihn schreiben.
Voraussichtliche Antwortzeit	Optional, zum Beispiel „2–3 Wochen“. Erscheint unter der Nachricht; leer lassen, um sie wegzulassen.
Außerdem Forscher benachrichtigen, deren Meldung die Bestätigungsfrist überschreitet	Optionale automatische E-Mail, siehe unten.

Solange der Hinweis aktiv ist, sehen Forscher ihn im Meldeformular, auf der Eingangsbestätigung, in der Bestätigungs-E-Mail und bei jeder offenen Meldung im Forscherportal. Eine Vorschau unter den Feldern zeigt genau, was sie lesen werden.

Ist die automatische Nachricht aktiv, schickt Kit den Hinweis einmalig per E-Mail und im Nachrichtenverlauf der Meldung, sobald eine Meldung Ihre Bestätigungsfrist überschreitet und noch niemand aus Ihrem Team sie angefasst hat: nicht gesichtet, nicht bewertet, nicht beantwortet. Eine Zuweisung, auch eine automatische, zählt nicht als Reaktion. Berücksichtigt werden nur Meldungen, die nach dem Aktivieren der automatischen Nachricht eingehen. Ihr gesamter Rückstand bekommt also keine E-Mail. Jeder versendete Hinweis erscheint in der Timeline der Meldung.

Schalten Sie den Hinweis ab, sobald Sie aufgeholt haben. Damit endet auch die automatische Nachricht.

Zwischenstandsanfragen von Forschern

Ein Forscher, der nichts von Ihnen gehört hat, kann auf der Seite der Meldung im Forscherportal über Zwischenstand anfragen nachhaken und eine optionale Notiz hinzufügen, die nur Ihr Sicherheitsteam sieht.

• Die Schaltfläche wird freigegeben, sobald die Meldung Ihre Bestätigungsfrist ohne Antwort überschreitet, oder nach 14 Tagen ohne für den Forscher sichtbare Aktivität Ihres Teams.
• Pro Meldung ist eine Anfrage alle 7 Tage möglich, und nur solange die Meldung offen ist.
• Jede Anfrage benachrichtigt die Sicherheitsadmins des Programms und erscheint im Slack-Thread der Meldung. Die Meldung zeigt den Hinweis Antwort ausstehend, bis jemand dem Forscher antwortet, den Status ändert, die Meldung zuweist oder eine neue Bewertung erfasst.
• Jede Anfrage löst außerdem das Webhook-Ereignis csirt.report.escalation_requested aus, sofern Sie es abonniert haben. Die Notiz des Forschers ist nie enthalten.

Sichtung-Tab

Die Sichtungs-Einstellungen steuern, wie eingehende Meldungen weitergeleitet und verarbeitet werden.

Feld	Standard	Beschreibung
Standardverantwortlicher	Keiner	Teammitglied, das neue Meldungen automatisch erhält. Setzen Sie dies auf Ihren primären Sicherheitskontakt.
Eskalations-Schweregrade	Kritisch, Super-kritisch	Schweregrade, die eine Eskalationsbenachrichtigung per E-Mail und Slack auslösen
Deduplizierung	Aktiviert	Potenzielle Duplikate markieren, bevor sie Ihr Board erreichen
Erneuter Test erforderlich	Aus	Erfordert eine Forscherbestätigung, dass ein Fix funktioniert, bevor die Meldung abgeschlossen wird
Maximale Einsprüche	3	Maximale Anzahl von Einsprüchen, die ein Forscher gegen eine abgelehnte Meldung einlegen kann

Die Einstellungen für die Bereitschafts-Rotation (Modus, Zeitplan, Mitglieder und automatische Zuweisung) haben eine eigene Seite. Siehe Bereitschafts-Rotation für Details.

Wenn Sie keinen Standardverantwortlichen festlegen, erscheinen neue Meldungen nicht zugewiesen im Sichtungs-Board. Ihr Team kann sie weiterhin manuell übernehmen, aber eine Zuweisung stellt sicher, dass nichts übersehen wird.

Eine Eskalation postet eine Zeile im Slack-Thread der Meldung und alarmiert, sobald die Meldung validiert ist, die Person, die gerade in Bereitschaft ist, per Slack-DM oder E-Mail. Konfigurieren Sie die Slack-Integration unter Kontoeinstellungen > Integrationen.

Komponenten-Tab

Kit-Abonnement: Komponenten sind enthalten und optional. Meldungen funktionieren auch ohne Komponentenweiterleitung.

Komponenten kennzeichnen Meldungen nach Produktbereich und ermöglichen Kit, einen Bereich zur Bestätigung bei der Sichtung vorzuschlagen. Sobald eine Komponente bestätigt wurde, weist Kit die Meldung ihrem Standardverantwortlichen zu, sofern einer konfiguriert und die Meldung noch nicht zugewiesen ist. Nach der Validierung benachrichtigt Kit den Slack-Kanal der Komponente, sofern einer hinterlegt ist. Erstellen Sie Komponenten nur für echte Zuständigkeitsgrenzen. Ein rein dekorativer Katalog fügt lediglich ein weiteres Feld hinzu, ohne die Weiterleitung zu verbessern.

Unter Meldungen an Teams leiten finden Sie Abgleichsregeln, Bestätigung, Standardzuweisung und Slack-Weiterleitung.

Auszahlungen-Tab

Kit-Abonnement: Dieser Tab erfordert ein aktives Kit-Abonnement.

Der Auszahlungen-Tab konfiguriert, wie Bounty-Auszahlungen abgewickelt werden.

Feld	Standard	Beschreibung
Unterstützte Zahlungsmethoden	PayPal	Wählen Sie die Methoden aus, die Sie unterstützen: Banküberweisung, PayPal und Scheck
Steuerdokumente erforderlich	Ja	Forscher müssen ein W-9 (US) oder W-8BEN (international) hochladen, bevor sie eine Auszahlung erhalten
Vereinbarung erforderlich	Ja	Forscher müssen Ihre Disclosure-Vereinbarung akzeptieren, bevor sie eine Auszahlung erhalten
Mindestauszahlung	50 $	Forscher unterhalb dieses Schwellenwerts werden gebündelt, bis die kumulierten Einnahmen das Minimum erreichen
Währung	USD	Währung für alle Bounty-Beträge und Auszahlungen
Finanz-E-Mail	Leer	Das Postfach, das Zahlungen veranlasst. Ist es gesetzt, sendet das Einleiten einer Auszahlung eine Zahlungsanforderung mit einem sicheren Link dorthin, über den die Finanzabteilung die Zahlung bestätigt oder als fehlgeschlagen meldet, ganz ohne Kit-Konto. Leer lassen, um Zahlungen selbst zu erfassen. Siehe Bestätigung durch das Finanzteam

Anforderungen an Steuerdokumente dienen Ihrer rechtlichen Compliance. Das Deaktivieren dieser Einstellung bedeutet, dass Forscher Auszahlungen ohne Steuerdokumentation erhalten können. Konsultieren Sie Ihr Finanzteam, bevor Sie dies abschalten.

Spam-Tab

Spam-Einstellungen schützen Ihr Programm vor Einreichungsflut und qualitativ minderwertigen Massenmeldungen.

Feld	Standard	Beschreibung
Max. Meldungen pro Fenster	5	Maximale Einreichungen pro Forscher innerhalb des Ratenlimit-Fensters
Fensterdauer	5 Minuten	Zeitfenster für die Ratenlimitierung
Sperrdauer	1 Stunde	Wie lange ein Forscher nach Überschreitung des Limits gesperrt wird
Bereinigungsintervall	24 Stunden	Wie lange Spam-Einträge aufbewahrt werden, bevor sie automatisch gelöscht werden

Die Standardwerte sind konservativ. Wenn Sie feststellen, dass legitime Forscher das Ratenlimit erreichen, erhöhen Sie die Fensterdauer oder den Schwellenwert für maximale Meldungen. Wenn Sie starken Spam erhalten, verkürzen Sie das Fenster und verlängern Sie die Sperrdauer.

Gesperrte Forscher sehen eine klare Nachricht, die erklärt, wann sie wieder einreichen können. Spam-Einträge werden automatisch nach dem konfigurierten Intervall bereinigt.

Wer blockiert wurde, sieht absichtlich nur einen unspezifischen Hinweis. Kit verrät einem Angreifer nicht, welcher Filter ausgelöst hat. Die Sperre endet automatisch nach Ablauf der Sperrdauer; beim ersten neuen Bericht nach Ende des Zählfensters beginnt der Zähler von vorn. Unter VDP > Spam-Datensätze können Sie Sperren außerdem einsehen und aufheben.

Unter Einreichungslimits und Spam-Sperren finden Sie alle Prüfschritte für Einreichungen, Hinweise zum Lesen eines Spam-Datensatzes und Empfehlungen für den Umgang mit irrtümlich abgewiesenen Forschern.

Takedown-Tab

Im Takedown-Tab legen Sie fest, ob das Programm auch Hinweise auf Missbrauch durch Dritte und Markenmissbrauch annimmt. Aktivieren Sie diese Funktion nur, wenn Ihr Team für diesen Reaktionsweg verantwortlich ist. Ein Takedown-Hinweis hat eine eigene Annahme, eigene Nachweise, einen eigenen Status und eine eigene Nachweiskette. Er ist keine Schwachstellenmeldung mit anderer Bezeichnung.

Lesen Sie Takedown-Hinweise, bevor Sie diesen Annahmeweg aktivieren.

security.txt-Tab

Dieser Tab konfiguriert die Felder, die zur Generierung Ihrer /.well-known/security.txt-Datei gemäß RFC 9116 verwendet werden. Kit liefert diese Datei automatisch aus, wenn Ihr Programm aktiv ist.

Feld	Standard	Beschreibung
Kontakt-E-Mail	Keine (erforderlich)	Die E-Mail-Adresse, über die Forscher Schwachstellen melden. Wird im Contact:-Feld veröffentlicht.
Ablauf	365 Tage	Tage ab Generierung bis zum Ablauf der security.txt. RFC 9116 erfordert ein Expires:-Feld.
Policy-URL	Automatisch generiert	URL zu Ihrer Disclosure-Policy-Seite. Standardmäßig Ihre von Kit gehostete Policy.
Acknowledgments-URL	Keine	URL zu Ihrer Hall-of-Fame-Seite, falls aktiviert
Hiring-URL	Keine	Link zu den Stellenausschreibungen Ihres Sicherheitsteams
Verschlüsselungs-URL	Keine	URL zu Ihrem öffentlichen PGP-Schlüssel für verschlüsselte Kommunikation

Sie müssen eine Kontakt-E-Mail festlegen, bevor Ihre security.txt ausgeliefert wird. Vollständige Details zur security.txt-Konfiguration, Formatierung und Überprüfung finden Sie unter security.txt einrichten.

E-Mail-Tab

Der E-Mail-Tab richtet eine security@-Adresse in einer betriebsbereiten Integration für eingehende E-Mails ein. Sind beide Anbieter bereit, bevorzugt Kit Startupkit Email; andernfalls nutzt es eine bereits betriebsbereite Integration mit Cloudflare Email Routing. Die Einrichtung registriert die Adresse in Kit, konfiguriert aber nicht die Domain. Sobald der Anbieter eingerichtet ist, leiten die Catch-all-Adresse von Startupkit Email oder der aktive Cloudflare Worker passende E-Mails weiter.

Ein Postfach über Cloudflare empfängt E-Mails, doch Nachrichten an Forscher werden weiterhin von der Plattformadresse von Kit gesendet. Für den Versand über die Programmadresse benötigen Sie Startupkit Email mit aktiviertem Versand im Namen dieser Adresse.

Wenn Sie die Identität entfernen, gehen über diese Adresse keine neuen E-Mails mehr ein. Klären Sie vorher, wie Forscher das Team danach erreichen. Das Kontobranding bestimmt weiterhin Logo und Farben in Forscher-E-Mails. Unter Mit Forschern kommunizieren finden Sie Einzelheiten zum Nachrichtenverhalten.

Auf einen Blick

• Programmname festlegen und Disclosure-Policy-Text anpassen
• Ziele im Geltungsbereich und Kategorien außerhalb des Geltungsbereichs definieren
• Prämienmatrix konfigurieren oder bestätigen, dass das Programm keine Prämien anbietet
• SLA-Ziele pro Schweregrad festlegen
• Das Budget für Überschreitungsalarme festlegen: wie oft eine überschrittene Meldung erneut alarmiert und in welchem Abstand
• Entscheiden, ob Sie den Warteschlangenhinweis und seine automatische Nachricht nutzen, wenn die Prüfung in Verzug gerät
• Einen Standardverantwortlichen für die Sichtung zuweisen
• Komponentenweiterleitungen nur für klare Zuständigkeiten anlegen
• Auszahlungsmethoden und Steueranforderungen konfigurieren
• Spam-Schwellenwerte prüfen und oberhalb der größten realistischen Serie echter Meldungen festlegen
• Entscheiden, ob dieses Programm Takedown-Hinweise annimmt
• Kontakt-E-Mail für security.txt festlegen
• E-Mail-Identität des Programms einrichten und testen
• Slack-Integration für Eskalationsbenachrichtigungen konfigurieren
• Status auf Active setzen, wenn alles bereit ist

Wie geht es weiter

• security.txt einrichten: detaillierte Anleitung zur RFC 9116-Konformität und Überprüfung
• Meldungen sichten: wie Sie das Kanban-Board nutzen, Schweregrade bewerten und Meldungen abschließen
• Einreichungslimits und Spam-Sperren: jeder Ablehnungsgrund und das Aufheben einer irrtümlichen Sperre
• Meldungen an Teams leiten: Komponentenbezeichnungen, Standardzuweisung und Slack-Weiterleitung
• Takedown-Hinweise: der separate Ablauf für Missbrauchsmeldungen