Kit vs Open Bug Bounty: Die Offenlegungsfrist anderer Leute oder Ihre eigene.
Ein Forscher, den Sie nie eingeladen haben, meldet ein XSS gegen Ihre Website; Open Bug Bounty prüft es nach, schickt Ihnen eine E-Mail – und die 90-Tage-Frist bis zur Offenlegung läuft seit der Einreichung. Kit bringt null Forscher mit – es bringt den Meldeeingang, die Bestätigungsfrist und die Aufzeichnung, die Sie brauchen, sobald diese E-Mail eintrifft.
Wer sollte was wählen?
Wählen Sie Kit, wenn Sie:
- Eine Benachrichtigung von Open Bug Bounty in Händen halten und nicht wissen, wer sie beantwortet
- Von einem Auditor gebeten wurden, einen Offenlegungsprozess samt Nachweisen zu zeigen
- Einen Meldeeingang für SQL-Injection und RCE betreiben, also für die Klassen, die Open Bug Bounty an eine reine E-Mail-Adresse weiterleitet
- Eine Bestätigungsfrist wollen, die Ihr Team selbst in der Hand hat, gemessen in MTTA und MTTR
- Belegen wollen, dass Sie die eingehenden Meldungen bearbeiten, statt weitere zu suchen
Wählen Sie Open Bug Bounty, wenn Sie:
- Kostenlose externe Augen auf Ihrer öffentlichen Weboberfläche suchen – Kit bringt null Forscher mit
- Mit Funden der XSS- und CSRF-Klasse auskommen, kostenlos für Sie nachgeprüft
- Ein Forscher sind, der sich einen mitnehmbaren öffentlichen Fundnachweis mit Zeitstempel aufbaut
- Sich zutrauen, mit jedem Meldenden einzeln zu verhandeln, ohne Frist auf beiden Seiten
- Mit einer Offenlegungsfrist leben können, die die Richtlinie an die Einreichung koppelt, und mit einer Abmeldung, die nur die E-Mails stoppt und sonst nichts
Was Open Bug Bounty besonders macht
Drei Dinge, mit denen Kit nicht mithalten kann: eine Community, die unbezahlt auftaucht, eine Nachprüfung, bevor man Sie kontaktiert, und ein öffentlicher Eintrag, den niemand ändert.
Eine Community, die von allein kommt
Die letzten archivierten Zähler vom Oktober 2025 melden 69.256 Forscher und 1.508.421 behobene Schwachstellen seit 2014. Angeworben werden sie von niemandem – sie scannen das offene Web und reichen gegen alles ein, was sie finden, Ihre Website eingeschlossen.
Warum das wichtig ist: Kit bringt null Forscher mit. Ein Portal, das niemand besucht, ist eine leere Pipeline, und Open Bug Bounty liefert die Besucher kostenlos.
Nachprüfung vor der Benachrichtigung
Open Bug Bounty reproduziert jede Meldung, bevor es dem Betreiber schreibt – bis zu 5 Tage bei XSS, bis zu 10 bei fehlerhafter Zugriffskontrolle, laut eigener FAQ –, was Ihren Posteingang erreicht, hat also einen ersten Durchgang überstanden.
Warum das wichtig ist: Kostenlose Erstsichtung von einem unbezahlten Dritten. Scanner-Rauschen wird gefiltert, bevor es ein zweiköpfiges Sicherheitsteam erreicht.
Ein dauerhafter öffentlicher Eintrag
Jede öffentliche Einreichung bekommt eine dauerhafte Seite mit Zeitstempel, CVSS-Bewertung und CWE-Einordnung, nach einem Verfahren, das sich an ISO 29147 orientiert. Laut eigener Angabe werden Schwachstelleneinträge nie aus politischen oder geschäftlichen Gründen entfernt.
Warum das wichtig ist: Genau diese Unveränderlichkeit ist der Grund, warum Forscher auftauchen – und warum Sie eine Meldung über Ihre eigene Website nicht löschen können. Der Forscher kann es, vor der Offenlegung; Open Bug Bounty löscht nur als ethische Sanktion.
Was Kit gut kann
Die Community von Open Bug Bounty findet die Fehler – Kit bringt keine Forscher mit. Dies sind vier Dinge, die geschehen, nachdem deren Benachrichtigung eingetroffen ist, auf Ihrer Seite und auf der des Forschers.
Der Forscher sieht, was ihn aufhält
Die Teilnahmevereinbarung ist ein Klick, und Kit hält den genauen geltenden Text, einen Zeitstempel und eine verschlüsselte IP fest – kein PDF, kein Anbieter für E-Signaturen. Ein W-8BEN wandert von ausstehend zu verifiziert oder abgelehnt, und eine Ablehnung trägt immer eine Begründung. Das Auszahlungsformular erscheint erst, wenn eine Prämie bewilligt ist.
Open Bug Bounty prüft nach, schreibt Ihnen und tritt zurück – alles danach ist ein Zwiegespräch mit einem Fremden. In Kit benennt die eigene Meldungsseite des Forschers, was gerade aufhält: Vereinbarung, Auszahlungsdaten oder Steuerformular.
Ein aktueller Schritt, für Sie berechnet
Die geführte Schrittleiste berechnet genau einen aktuellen Schritt – Zuweisung, Bewertung, Entscheidung, Prämie – und deaktiviert die übrigen, bis er erledigt ist. Einen Statuswechsel zurück ohne Kommentar verweigert Kit, und die dritte Stufe der Eskalationsleiter erreicht die Admins – eine Eskalation, die sich von der zuständigen Person nicht stummschalten lässt.
Nach einer E-Mail von Open Bug Bounty müssen Sie den technischen Details, der Weiterleitung und der Nachverfolgung selbst hinterherlaufen, ein Forscher nach dem anderen. Hier benennt die Seite die nächste Aktion und erinnert, wer sie liegen lässt.
Eine Frist, die weiß, auf wen sie wartet
Jede Meldung startet einen Bestätigungs-Countdown – standardmäßig 72 Stunden –, alle 15 Minuten geprüft und im letzten Viertel des Fensters als gefährdet gekennzeichnet. Setzen Sie eine Meldung auf „Klärung erforderlich“, hält die Frist an und die Erinnerungen bei Stillstand lassen sie aus – „wartet auf den Forscher“ und „kurz vor der Überschreitung“ sind zwei verschiedene Zustände.
Open Bug Bountys 90-Tage-Frist bis zur Offenlegung hängt an der Einreichung des Forschers, und die veröffentlichte Richtlinie lässt sie nie auf Ihre Antwort warten. Nach Kits Frist fragt Ihr Auditor – und sie pausiert aus dem richtigen Grund.
Vier Slash-Befehle liegen dem Server bei
Kits Sicherheitsmodul veröffentlicht 49 MCP-Tools und vier serverseitige Prompts – csirt_triage_report, csirt_assess_report, csirt_approve_bounty, csirt_write_postmortem –, von denen jeder eine geordnete Kette von Tools benennt; das Drehbuch liegt also dem Server bei. Jede Antwort von csirt_get_report führt die vom Meldenden kontrollierten Felder als nicht vertrauenswürdig.
Die Warteschlange zu lesen ist eine Verbindung in zwei Minuten; darin zu handeln steckt hinter einem Schreibzugriff, der ab Werk aus ist. Und selbst dann kann ein Agent keinem Forscher schreiben – der Standardweg speichert einen Entwurf, der niemanden erreicht.
Was Kit nicht hat
Vier Dinge, die Open Bug Bounty kann und Kit nicht, und was wir jeweils damit vorhaben.
Eine Frist für die koordinierte Offenlegung
Open Bug Bountys Richtlinie setzt eine ausdrückliche Frist – Details dürfen 90 Tage nach der Einreichung offengelegt werden, oder 30 Tage nach der Behebung. Kit bildet überhaupt keine Offenlegungsfristen oder Sperrdaten ab.
Werden wir das ergänzen? Vielleicht. Ein Feld für ein Sperrdatum ist ein berechtigter Wunsch; heute verfolgt Kit die Bestätigung, nicht die Offenlegung.
Nachprüfung, für Sie erledigt
Open Bug Bounty reproduziert jede Meldung, bevor es Ihnen schreibt – bis zu 5 Tage bei XSS, bis zu 10 bei fehlerhafter Zugriffskontrolle, laut eigener FAQ – und das kostenlos. Kit filtert KI-Spam und kennzeichnet wahrscheinliche Duplikate, aber das Reproduzieren ist Aufgabe Ihres Entwicklers.
Werden wir das ergänzen? Nein. Das Urteil über eine Meldung bleibt bei einem Menschen in Ihrem Konto.
Ein neutrales öffentliches Archiv
Jede öffentliche Einreichung bei Open Bug Bounty bekommt eine dauerhafte Seite mit Zeitstempel – ein mitnehmbarer Fundnachweis, den ein Forscher jedem zeigen kann. Kits Hall of Fame setzt Zustimmung voraus und liegt in Ihrem Konto.
Werden wir das ergänzen? Nein. Ein öffentlicher Eintrag funktioniert nur, wenn der Anbieter ihn nicht ändern kann – und Kit ist Ihr Anbieter.
Eine Forscher-Community
Rund 69.000 Forscher nach den eigenen Zählern vom Oktober 2025, die gegen alles einreichen, was sie im offenen Web finden. Kit liefert null Forscher; ein Kit-Portal bekommt nur, was von selbst hereinkommt.
Werden wir das ergänzen? Nein. Kit wird nie Forscher anwerben. Eine kostenlose Präsenz bei Open Bug Bounty neben Kit zu behalten kostet nichts.
Unterschiedliche Philosophien
Diese beiden sind keine Rivalen. Das eine liefert die Aufmerksamkeit von Forschern, das andere den Prozess, auf den diese Aufmerksamkeit trifft.
Ihre Domain, Ihre Aufzeichnung
Kit setzt voraus, dass die Meldungen ohnehin kommen; die Aufgabe ist der Beleg dessen, was danach geschieht. Meldeeingang auf Ihrer eigenen Domain, eine 72-Stunden-Bestätigungsfrist, ein revisionssicheres Hauptbuch. Bis zu 25 Meldungen pro Monat hängen an einem Kit-Platz; Fristen, Hauptbuch und Nachweisexporte sind das €49-Add-on.
Offenlegung als öffentliches Gut
Eine gemeinnützige Vermittlungsstelle, die seit 2014 läuft. Forscher reichen gegen beliebige Websites ein, Open Bug Bounty prüft nach und benachrichtigt, dann tritt es zurück – es vermittelt den Austausch nie, fasst kein Geld an und erklärt, Schwachstelleneinträge nie aus politischen oder geschäftlichen Gründen zu entfernen. Kunde ist nicht der Website-Betreiber, sondern das Offenlegungs-Ökosystem.
Preis-Realitätscheck
Kit
€49/Monat
Add-on zusätzlich zu einem Kit-Tarif für €6,99/Platz/Monat; 30 Tage Testphase
- 72-Stunden-Bestätigungsfrist mit Warnungen bei Gefährdung und Überschreitung
- Revisionssicheres Prämien-Hauptbuch und SOC 2-Nachweisexporte
- security.txt, gebrandetes Portal und einbettbares Formular auf Ihrer Domain
- Anonyme Einreichungen hinter Turnstile, Ratenbegrenzung und KI-Spam-Screening
- Sichtungs-Schaltflächen in Slack, Bereitschaftsrotation, Jira- und Linear-Abgleich
Open Bug Bounty
$0 – eine gemeinnützige Stelle, die niemandem etwas berechnet
Prämien gehen direkt von Ihnen an den Forscher – es fasst kein Geld an; von einem gehosteten Programm wird erwartet, dass es die eigenen Vergütungsrichtlinien einhält
- Melden und gehostete Programme laut Richtlinie kostenlos – es erhebt nie Gebühren
- Unabhängige Nachprüfung, bevor Sie benachrichtigt werden
- Kein Vertrag, kein AVV, keine Verfügbarkeitszusage, jede Haftung ausgeschlossen
- Offenlegung 90 Tage nach der Einreichung erlaubt, 30 Tage nach der Behebung
- SQL-Injection und RCE gehen an eine reine E-Mail-Adresse, außerhalb des Programms
Preis-Realitätscheck
Open Bug Bounty berechnet niemandem etwas und hat es nie getan, über den Preis läuft der Wettbewerb also nicht. Kit kostet in jedem Fall: Bis zu 25 Meldungen pro Monat hängen an einem Tarif für €6,99/Platz/Monat, Karte an der Kasse, und das €49/Monat-Add-on – das auch für sich allein steht – kauft die Bestätigungsfrist, das Hauptbuch, Prämien und die SOC 2-Exporte. Sie ersetzen keinen kostenlosen Dienst; Sie beantworten seine E-Mail.
Wechsel von Open Bug Bounty?
Sie werden Kit lieben, wenn:
- Die letzte Benachrichtigung Sie zu spät erreicht hat und die Offenlegungsfrist das nicht interessierte
- Ein Auditor Nachweise für einen Prozess zur Schwachstellenoffenlegung verlangt hat
- SQL-Injection und RCE einen echten Meldeeingang mit Aufzeichnung brauchen, kein rohes Postfach
- Sie eine 72-Stunden-Bestätigungsfrist wollen, die Ihr Team selbst in der Hand hat, samt MTTA und MTTR zum Vorzeigen
- Bereitschaftsrotation und Slack entscheiden sollen, wer antwortet, bevor die Frist es tut
Bleiben Sie bei Open Bug Bounty, wenn:
- Kostenlose, nachgeprüfte XSS-Funde alles sind, was Sie brauchen
- Weder Auditor noch Rahmenwerk noch Kunde von Ihnen den Beleg eines Prozesses verlangt
- Sie eine Nachprüfung von bis zu 5 Tagen und eine 90-Tage-Offenlegungsfrist verkraften
- Sie Ihre Domain dort beansprucht haben – behalten Sie den Anspruch so oder so; die Community kann Kit nicht ersetzen
Datenportabilität: Open Bug Bounty dokumentiert keinen Meldungsexport für Website-Betreiber, und das Schließen eines gehosteten Programms entfernt keine öffentlichen Seiten. Es gibt nichts umzuziehen – Kits Aufzeichnung beginnt mit der nächsten Meldung.
Testen Sie Kits VDP 30 Tage lang.
Selbst gebucht, kein Vertriebsgespräch. Das VDP-Add-on läuft 30 Tage zur Probe und steht für sich – den Rest von Kit brauchen Sie dafür nicht.
$49€49159 zł£39 pro Monat, allein oder auf einem Kit-Platz
Kostenlos testen