Ihr erstes Vulnerability Disclosure Program. Live in 5 Minuten.

Ein VDP ist kein Bug-Bounty-Programm: Sie bieten keine Belohnungen an. Es ist ein dokumentierter, regelkonformer Kanal, über den Forscher Schwachstellen melden. SOC 2 Typ II, Cyberversicherer und Unternehmenskunden verlangen zunehmend den Nachweis, dass Sie einen haben. Kits kostenloses Paket gibt Ihnen genau das, ohne jede Zahlungsverpflichtung.

Forscher schauen ohnehin hin. Ein VDP entscheidet nur darüber, wo der Fund landet. Ohne veröffentlichte Safe-Harbor-Bedingungen ist eine Meldung an Sie ein rechtliches Risiko – dann geht ein wohlmeinender Forscher lieber an die Öffentlichkeit. Veröffentlichen Sie die Bedingungen, und er kommt zuerst zu Ihnen.

Ja. Schalten Sie Ihr Portal in den Einstellungen des Sicherheitsportals auf Nur-auf-Einladung, und Kit erzeugt einen geheimen Zugangs-Token. Teilen Sie die Einladungs-URL direkt mit vertrauenswürdigen Forschern. Ein Klick genügt, und sie haben eine dauerhafte Sitzung. Alle anderen Besucher sehen ein kurzes Formular für eine Zugangsanfrage statt einer Sackgasse. Offene Anfragen erscheinen mit einem Badge in Ihrer Seitenleiste; ein Klick genehmigt die Anfrage und schickt dem Forscher automatisch seinen Einladungslink.

Kits Aufnahmeformular läuft über CAPTCHA und Ratenbegrenzung; was übrig bleibt, wird auf erfundene CVEs, halluzinierte Funktionen und Vorlagensprache geprüft. Über 80 % des Rauschens sind gefiltert, bevor sie Ihre Warteschlange erreichen.

Jede eingehende Meldung wird mit einem Konfidenzwert und benannten Signalen geprüft: erfundene CVEs, halluzinierte Funktionen, Vorlagensprache. Auffällige Meldungen werden zur Prüfung markiert, bevor sie Ihr Team eine Minute kosten. Zusammen mit CAPTCHA und Ratenbegrenzung erreichen über 80 % des Rauschens nie Ihre Warteschlange.

Ein Formular gibt Ihnen die Aufnahme. Aber kein SLA-Tracking, keine CVSS-Bewertung, keinen Statusverlauf, keine Kommunikationsverläufe mit Forschern, keine Prämienzahlungen, keine Steuerdokumentenverwaltung und keinen SOC-2-Export per Klick. Kit bündelt all das, sodass Sie einen Nachmittag mit der Bereitstellung verbringen statt einen Engineering-Sprint mit dem Eigenbau.

Perfekt. Vanta und Drata erfassen, dass Sie ein VDP haben. Betrieben wird es von Kit. Aktivieren Sie Kits VDP, verweisen Sie Ihr Compliance-Tool auf Ihre veröffentlichte security.txt – und das Häkchen steht mit einem echten Programm dahinter. Mit dem Add-on synchronisiert Kit bestätigte Meldungen zusätzlich als Schwachstellennachweise für SOC 2 CC7.1 und ISO 27001 A.8.8 nach Vanta. Schließen Sie eine Meldung in Kit, vermerkt Vanta sie bei der nächsten Synchronisierung als behoben.

Kit hat im Recruiting angefangen, aber die Maschinerie darunter ist dieselbe: strukturierte Aufnahme, eine SLA-Frist, ein Audit-Export. Das VDP richtet sie auf eine andere Warteschlange. Unser eigenes Offenlegungsprogramm läuft darauf.

Geht eine kritische Meldung ein, benachrichtigt Kit Ihr Team sofort. Danach: Sie sichten die Meldung, bewerten sie mit CVSS v3.1, schreiben dem Forscher in einem Thread, weisen eine zuständige Person zu und lassen die SLA-Frist mitlaufen. Verlangt Ihr Auditor Nachweise, exportiert sich der gesamte Verlauf.

Triage. Jede Meldung erscheint als eine einzige Live-Karte, die Kit an Ort und Stelle aktualisiert; der Verlauf sammelt sich in ihrem Thread. Direkt aus Slack kann Ihr Team eine Meldung zuweisen, sie bestätigen (das stoppt die Bestätigungsfrist), einen Einspruch annehmen oder ablehnen, eine Komponenten-Meldung übernehmen, die Erinnerung an eine festgefahrene Meldung zurückstellen oder die Meldung auf „wartet auf den Forscher“ setzen. Jeder Klick wird neu geprüft – erst die bestätigte Slack-Identität der klickenden Person, dann dieselben Berechtigungsprüfungen wie in der App.

Markieren Sie eine Meldung als zugriffsbeschränkt, erscheint sie nie in Slack – keine Karte, kein Thread. Das Publikum eines Channels ist keine Kit-Berechtigung, deshalb hängt Sensibles nie davon ab, wie sauber die Mitgliederliste eines Channels gepflegt ist. Wird eine Meldung erst zugriffsbeschränkt, nachdem ihr Thread existiert, räumt Kit den Thread ab – Bot-Antworten werden gelöscht, und die Ursprungsnachricht wird durch einen neutralen Hinweis ersetzt, ohne Titel, ohne Meldungs-ID, ohne Link. Der Bereitschaftsalarm wird trotzdem ausgelöst, damit der SLA-Timer nicht verwaist – aber nur per E-Mail und ohne Meldungsdetails im Alarm.

Ja. Jeder Bericht lässt sich als Dossier-PDF zum Vorfall exportieren: Management-Zusammenfassung, vollständige Zeitachse, CVSS-Aufschlüsselung, Postmortem, Nachweisverzeichnis und Freigabeseite. Ein Klick, eine Datei, bereit für den Audit-Ordner.

HackerOne und Bugcrowd bieten beide kostenlose Meldeformulare an. Kits kostenlose Version ebenfalls. Der Unterschied beginnt nach dem Eingang einer Meldung: Kit ergänzt SLA-Fristen, CVSS-v3.1-Bewertung, Kanban-Triage, einen Forscher-Thread, Prämienauszahlung und SOC-2-Exporte – für 49 $/Monat zusätzlich zum Platz. Wachsen Sie über Kit hinaus, exportiert sich Ihre gesamte Programmhistorie als CSV oder PDF: Meldungszusammenfassungen, CVSS-Bewertungen, SLA-Kennzahlen, Kommunikationsprotokolle und das Finanzhauptbuch.

Ja. Kits vollständiger Kontoexport verpackt jeden VDP-Datensatz – Programme, Meldungen, Bewertungen, Nachrichten, Prämien, Auszahlungen, Forscherprofile und Screening-Ergebnisse – in strukturiertes JSON. Ein Klick in den Kontoeinstellungen. Sie haben 7 Tage zum Herunterladen. Ihre Sicherheitshistorie gehört Ihnen.