Kit vs GitHub Private Vulnerability Reporting: eine Schaltfläche am Repo oder ein Programm für das Unternehmen.
Wer einen Fehler in Ihrem öffentlichen Repo findet, ist einen Klick von GitHubs Schaltfläche „Report a vulnerability“ entfernt, und am Ende des Threads kann eine kostenlose CVE von einer echten CNA stehen – vergeben kann Kit keine, und Forscher bringt Kit ebenfalls keine mit: Ein Kit-Portal hat keinen Zulauf von allein, gefunden werden müssen Sie also aus eigener Kraft. Was GitHub überhaupt nicht hat, ist die Mechanik nach einer gültigen Meldung: ein Prämienbetrag, ein Auszahlungsformular, eine Teilnahmevereinbarung, ein W-8BEN, eine Hauptbuchzeile. Diese Seite hält Kit für das ganze Unternehmen am Laufen, und die ehrliche Empfehlung lautet weiterhin, beides zu betreiben.
Wer sollte was wählen?
Wählen Sie Kit, wenn Sie:
- Einem Auditor einen Prozess belegen – Kit bringt null Forscher mit und findet für Sie nichts
- Ein Closed-Source-Produkt betreiben, das die Repo-Schaltfläche nicht abdeckt
- Meldungen von Menschen ohne GitHub-Konto oder ohne Namen annehmen
- Eine Bestätigungsfrist mit einer Aufzeichnung der Überschreitungen dahinter brauchen
- W-9/W-8BEN-Formulare erfassen und ein Prämien-Hauptbuch führen (Auszahlungen bleiben manuell)
Wählen Sie GitHub Private Vulnerability Reporting, wenn Sie:
- Open-Source-Maintainer sind oder ein Unternehmen, dessen Produkt ein öffentliches Repo ist
- Auf eine kostenlose CVE als Ergebnis der Offenlegung setzen
- Meldende über einen temporären privaten Fork am Patch beteiligen wollen
- Advisories veröffentlichen, die abhängige Projekte warnen
- Die Advisory-Warteschlange über eine REST-API abarbeiten
- $0 ausgeben und pro Repository einen Schalter umlegen wollen
Was GitHub Private Vulnerability Reporting besonders macht
Drei Dinge, mit denen Kit nicht konkurriert: eine CNA, eine Arbeitsumgebung für den Patch und Forscher, die ohnehin vor Ort sind.
Kostenlose CVEs von einer echten CNA
GitHub ist eine CVE Numbering Authority. Ein Advisory-Administrator klickt auf Request CVE, GitHub prüft das üblicherweise binnen 72 Stunden, und die Kennung bleibt privat, bis Sie veröffentlichen. Im Juni 2026 räumte GitHub allerdings ein, dass die Veröffentlichung in der Advisory Database seit Mitte April hinter den internen Zielen zurückbleibt.
Warum das wichtig ist: Eine CVE ist das, was nachgelagerte Scanner und Unternehmenskunden in Bewegung setzt. Kit kann überhaupt keine vergeben.
Offenlegung im Repository selbst
Der Meldende wird als Mitarbeitender am Advisory eingetragen, ein temporärer privater Fork beherbergt den Patch, und die Veröffentlichung schiebt das GHSA in die Advisory Database – was Dependabot-Warnungen für jedes Projekt auslöst, das von Ihnen abhängt.
Warum das wichtig ist: Alle abhängigen Projekte zu warnen ist der folgenreichste Schritt einer Offenlegung, und kein eigenständiges VDP-Werkzeug kann das leisten.
Die Forscher sind schon da
GitHub meldet mehr als 1,7 Millionen Repositories mit aktivierter Funktion, und die eigene Telemetrie zeigt einen Anstieg privater Meldungen von rund 550 pro Woche im Januar 2026 auf über 3.000 pro Woche im Mai.
Warum das wichtig ist: Niemand muss Ihr Portal erst finden. Wer Ihren Code liest, ist einen Klick vom Meldeformular entfernt.
Was Kit gut kann
Vier Dinge, die Kit leistet und die Schaltfläche im Repo nicht: der Meldeeingang für den Rest des Unternehmens und danach das Geld und der Papierkram, die einer gültigen Meldung folgen.
Deckt das Unternehmen ab, nicht das Repo
GitHubs eigene Voraussetzung lautet „available for public repositories on GitHub.com“ – ein Closed-Source-Produkt, eine API, eine Mobile-App oder ein Cloud-Konto hat keine Schaltfläche, und GitHub Enterprise Server hat ebenfalls keine. Kits Meldeformular nimmt eine Meldung zu allen davon entgegen, von einem Meldenden mit oder ohne Namen.
Der größte Teil Ihrer Angriffsfläche ist kein öffentliches Repository, und der Forscher, der an Ihrer Login-Seite herumstochert, braucht eine Stelle, an die er seinen Fund schicken kann.
Von der bewilligten Prämie zur Hauptbuchzeile
Bewilligen Sie eine Prämie, erscheint für den Forscher das Formular für die Auszahlungsdaten – erst dann, nie auf Verdacht. Ihre Mitarbeiter sehen diese Daten maskiert, erzwungen im verschlüsselten Wert statt in der Ansicht, und die Zuerkennung landet in einem revisionssicheren Hauptbuch, dessen Modellebene jedes Umschreiben verweigert. Scheitert eine Auszahlung, schreibt Kit dem Forscher bei vier der fünf Fehlerursachen direkt.
Die Geldseite überlässt GitHub Ihnen: Beträge, Nachverfolgung der Auszahlung und die Nachweiskette hinter einer Zuerkennung bauen Sie von Hand. An dem Tag, an dem Sie einen Forscher bezahlen wollen, hat Kit diese Kette bereits.
Vereinbarung und Steuerformulare, aktenkundig
Die Teilnahmevereinbarung ist ein Klick, und Kit hält den genauen geltenden Text, einen Zeitstempel und eine verschlüsselte IP fest – kein PDF hin und zurück, kein Anbieter für E-Signaturen. Ein hochgeladenes W-9 oder W-8BEN wandert von ausstehend zu verifiziert oder abgelehnt, eine Ablehnung trägt immer eine Begründung, die der Forscher liest, und ein verifiziertes Formular startet ein dreijähriges Erneuerungsintervall.
Die eigene Meldungsseite des Forschers benennt, was gerade aufhält – Vereinbarung, Auszahlungsdaten oder Steuerformular –, damit niemand E-Mails über fehlenden Papierkram wechseln muss.
Die nächste Aktion, benannt
Jede Meldung berechnet genau einen aktuellen Schritt – Zuweisung, Bewertung, Entscheidung, Prämie – und deaktiviert die übrigen, bis er erledigt ist. Setzen Sie eine Meldung auf „Klärung erforderlich“, hält die Bestätigungsfrist an – standardmäßig 72 Stunden – und die Erinnerungen bei Stillstand lassen sie aus: „wartet auf den Forscher“ und „kurz vor der Überschreitung“ sind zwei verschiedene Zustände.
Eine Meldung, die liegen bleibt, steigt eine dreistufige Leiter hinauf – Erinnerung, zweite Erinnerung, Eskalation an die Admins – und die letzte Stufe kann die zuständige Person nicht stummschalten.
Was Kit nicht hat
Vier Dinge, die GitHubs Schaltfläche kann und Kit nicht, und was wir jeweils damit vorhaben.
Forscher, die schon da sind
GitHub berichtete 2026, dass in mehr als 1,7 Millionen Repositories Private Vulnerability Reporting aktiviert ist; wer Ihren Code liest, steht ohnehin schon auf der Seite mit der Schaltfläche. Ein Kit-Portal hat keinen Zulauf von allein – gefunden wird es über Ihre security.txt und dort, wo Sie das Formular platzieren.
Werden wir das ergänzen? Nein. Kit bringt keine Forscher mit und wird es nie tun. Wenn es darum geht, gefunden zu werden, schalten Sie GitHubs Schaltfläche noch heute frei.
Keine CVE-Vergabe
GitHub ist eine CVE Numbering Authority und prüft eine CVE-Anfrage üblicherweise innerhalb von 72 Stunden, kostenlos und ohne etwas zu veröffentlichen. Kit verfolgt die Meldung, nicht die Kennung – eine CVE vergeben oder reservieren kann Kit nicht.
Werden wir das ergänzen? Nein. Selbst CNA zu werden steht auf keiner Roadmap. Veröffentlichen Sie das Advisory auf GitHub; Meldeeingang und Frist verfolgen Sie in Kit.
Keine Arbeitsumgebung für den Patch
GitHub öffnet einen temporären privaten Fork, in dem Meldender und Maintainer gemeinsam patchen, und die Veröffentlichung löst Dependabot-Warnungen bei allen abhängigen Projekten aus. Kits Sichtungs-Board ist ein eigenes System neben Ihrem Code: kein Fork, kein Merge, keine Verteilung nach unten.
Werden wir das ergänzen? Nein. Der Patch gehört dorthin, wo der Code liegt. Kit synchronisiert eine Meldung stattdessen nach Jira oder Linear, statt die Behebung selbst zu beherbergen.
Keine REST-API
GitHub dokumentiert acht REST-Endpunkte für Repository-Advisories. Kit liefert MCP-Tools und 11 Webhook-Ereignisse, aber keine REST-API.
Werden wir das ergänzen? Offen. MCP und Webhooks sind heute unsere Integrationsfläche, und wir vertiefen die lieber, als eine zweite aufzumachen.
Unterschiedliche Philosophien
Zwei verschiedene Aufgaben: GitHub bringt einen Fehler in Ihrem Code zum Abschluss, Kit belegt, dass Ihr Unternehmen alles Eingehende bearbeitet.
Belegen, dass Sie es bearbeitet haben
Kit geht davon aus, dass die Frage von einem Auditor kommt: Belegen Sie, dass es einen Prozess gibt. Der Meldeeingang ist in einem Kit-Abo für €6,99 pro Platz bis zu 25 Meldungen pro Monat enthalten; Sichtungs-Board, Bestätigungsfrist, Hauptbuch, Prämien und Nachweisexporte sind das Add-on für €49 pro Monat. Wenn Ihr Ziel ist, Schwachstellen zu finden, statt die eingehenden zu bearbeiten, ist Kit die falsche Kategorie.
Die Meldung landet dort, wo die Behebung landet
Kostenlos in jedem öffentlichen Repository, einen Schalter entfernt. Die Meldung, der private Patch-Fork, die CVE-Anfrage und das veröffentlichte Advisory liegen alle dort, wo die Behebung landen muss, und die Veröffentlichung warnt jedes abhängige Projekt. Wenn Ihr Produkt ein öffentliches Repo ist, gewinnt GitHub klar und Kit ist überflüssig.
Preis-Realitätscheck
Kit
€49/Monat
VDP-Add-on zusätzlich zu einem Kit-Abo für €6,99/Platz/Monat; 30 Tage Testphase, keine Jahresbindung.
- Meldeeingang im Kit-Platz enthalten, gedeckelt bei 25 Meldungen pro Monat
- 72-Stunden-Bestätigungsfrist, Dashboards für MTTA und MTTR
- Anonymer Meldeeingang mit dauerhaftem Link zur Eingangsbestätigung
- Revisionssicheres Prämien-Hauptbuch, Erfassung von W-9/W-8BEN
- Automatisch veröffentlichte security.txt nach RFC 9116
GitHub Private Vulnerability Reporting
$0 in öffentlichen Repositories
Kostenlos in öffentlichen Repositories, unabhängig vom Tarif – in GitHubs Tarifmatrix für zahlende Kunden taucht die Funktion gar nicht auf.
- Kostenlos in öffentlichen Repositories, in jedem GitHub-Tarif
- CVE-Anfragen kostenlos geprüft, üblicherweise binnen 72 Stunden (GitHubs eigene Einschränkung)
- Temporärer privater Fork zum Patchen (CI läuft darin nicht)
- Acht dokumentierte REST-Endpunkte für Advisories
- Die Veröffentlichung löst Dependabot-Warnungen bei abhängigen Projekten aus
Preis-Realitätscheck
GitHubs Funktion ist kostenlos, sofort verfügbar und an keine Bedingung geknüpft – nichts auf dieser Seite behauptet etwas anderes. Verglichen wird der Geltungsbereich: €49 pro Monat zusätzlich zu einem Platz für €6,99 kaufen Meldeeingang, Fristen und Nachweise für alles, was kein öffentliches Repository auf GitHub.com ist.
Kit neben GitHub einsetzen?
Sie wollen Kit zusätzlich, wenn:
- Ein Auditor nach dem gehosteten Produkt gefragt hat und die Repo-Schaltfläche darauf keine Antwort gibt
- Sie eine zugesagte Bestätigungszeit brauchen, samt Beleg, dass Sie sie eingehalten haben
- Auch Meldende ohne GitHub-Konto – oder ohne Namen – durchkommen sollen
- Sie GitHub Enterprise Server betreiben, wo es Private Vulnerability Reporting nicht gibt
- Ihre security.txt vor Freitag auf Ihrer Hauptdomain live sein soll
Bleiben Sie allein bei GitHub, wenn:
- Ihre gesamte Sicherheitsfläche aus öffentlichen Repositories auf GitHub.com besteht
- Eine kostenlose CVE von einer CNA das Ergebnis ist, das Sie brauchen
- Meldende im temporären privaten Fork am Patch mitschreiben sollen
- Die Veröffentlichung in Dependabots Warnkanal der eigentliche Zweck der Offenlegung ist
Datenportabilität: GitHub-Advisories lassen sich über die REST-API exportieren, und veröffentlichte GHSAs und CVEs sind schon von der Anlage her öffentliche Einträge. Einen Importpfad in GitHub-Advisories gibt es nicht, und es braucht auch keinen: Meldungen zu Ihren Repos bleiben auf GitHub, und Kit beginnt die Aufzeichnung für alles andere.
GitHub bleibt für den Code. Kit kommt für das Unternehmen dazu.
Das VDP-Add-on hat 30 Tage Testphase und keine Jahresbindung. Ihre Repos behalten so oder so ihre Schaltfläche „Report a vulnerability“.
$49€49159 zł£39 pro Monat, zusätzlich zu einem Kit-Platz
Kostenlos testen