Kit vs ein security@-Postfach: Die Meldung kommt so oder so. Alles danach ist freihändig.
Wer um 2 Uhr nachts Ihren Fehler findet, erreicht Sie längst – CISAs eigene Direktive empfiehlt die Adresse security@ ausdrücklich, und Forscher bringt Kit ebenfalls keine mit. Diesen Forscher per E-Mail zu bezahlen ist allerdings eine Kette von Bitten: seine PayPal-Adresse, dann eine Geheimhaltungsvereinbarung, die er nie gesehen hat, dann ein W-8BEN, von dem er nie gehört hat – jeder Schritt neu getippt und hinterhergetragen. In Kit ist jeder davon ein Formular mit einem Status, und der Forscher sieht, welches ihn aufhält.
Wer sollte was wählen?
Wählen Sie Kit, wenn Sie:
- Einem Auditor antworten, der nach der medianen Zeit bis zur Bestätigung gefragt hat
- In den Geltungsbereich des CRA fallen – Anhang I verlangt eine durchgesetzte Offenlegungsrichtlinie, Anhang VII Nachweise über die Kontaktadresse
- Belegen, dass Sie die eingehenden Meldungen bearbeiten, statt nach neuen zu suchen – Kit bringt keine Community mit
- Über eine Handvoll Meldungen pro Jahr hinaus sind und erste Duplikate kollidieren
- Es vor Freitag live brauchen – selbst gebucht, ohne Vertriebsgespräch
Behalten Sie das Postfach, wenn Sie:
- Ein paar Meldungen pro Jahr bekommen und niemand von außen Nachweise verlangt
- Vor dem Audit stehen, ohne Budgetposten und ohne Lust auf einen neuen Unterauftragsverarbeiter
- Null Anbieter zwischen einem Meldenden und Ihrem Team wollen
- Dem Wortlaut der meisten VDP-Anforderungen genügen wollen – CISAs Vorlage nennt eine E-Mail-Adresse als zulässigen Kanal
- Jede Meldung am Tag des Eingangs lesen, mit einem Verantwortlichen, der jeden offenen Thread benennen kann
- Schwachstellen finden wollen – dann ist keine der beiden Seiten dieser Seite die Antwort, sondern eine Forscher-Community wie HackerOne oder Bugcrowd
Was das Postfach richtig macht
Das Postfach ist kein Fehler. CISAs eigene Direktive empfiehlt es ausdrücklich.
Es kostet nichts und läuft bereits
Ein Alias auf dem Tenant, den Sie ohnehin betreiben – Google Workspace enthält bis zu 30 pro Nutzer ohne Aufpreis – plus die CC0-Richtlinienvorlagen von disclose.io für den Rechtstext. Kein Beschaffungszyklus, kein AVV, keine Offenlegung von Unterauftragsverarbeitern, keine Anbieterprüfung, nichts auszuliefern.
Warum das wichtig ist: Für ein Unternehmen mit einer Handvoll Meldungen pro Jahr ist das die richtige Größe, keine Bequemlichkeit. Werkzeuge, die vor dem Meldungsvolumen gekauft werden, sind ein Dashboard ohne Daten darin.
Keine Bindung – die Bytes gehören Ihnen
Meldungen sind Nachrichten nach RFC 5322 in einem Postfach, das Ihnen gehört. IMAP, JMAP, mbox-Export und die Gmail-API lesen sie alle, und Migration heißt, einen MX-Eintrag woandershin zu zeigen. Kein Anbieter kann Ihr Datenmodell abkündigen oder mit Ihrer Offenlegungshistorie vom Markt verschwinden.
Warum das wichtig ist: Kit hält Meldungen im eigenen Schema und liefert keine REST-API; sein Ausstieg sind CSV- und PDF-Exporte. Das Postfach hat dieses Problem nie – auch wenn es umgekehrt nichts Strukturiertes gibt, das man später in ein Werkzeug migrieren könnte.
Der eine Kanal, den jeder Meldende schon hat
E-Mail braucht kein Konto, funktioniert von einer Wegwerfadresse aus und funktioniert auch, wenn ein Portal ausfällt. BOD 20-01 empfiehlt security@<domain> als faktische Adresse für Sicherheitsgespräche, RFC 9116 akzeptiert einen mailto-Kontakt, und CISAs Vorlage nennt das Postfach neben dem eigenen Formular.
Warum das wichtig ist: Ein Portal, das ein Forscher lästig findet, ist eine Meldung, die Sie nie bekommen. Im Januar 2026 verlegte curl nach fast sieben Jahren auf HackerOne seinen Meldeeingang auf GitHub Private Reporting plus [email protected] – ein erfahrenes Sicherheitsteam bewegte sich zum Postfach hin.
Was Kit gut kann
Vier Dinge, die das Postfach nie enthält – angefangen beim Papierkram rund um die Prämie.
Prämien-Papierkram als Formulare mit Status
Per E-Mail braucht eine einzige Auszahlung drei eigens geschriebene Threads. In Kit erscheint das Auszahlungsformular in dem Moment, in dem eine Prämie bewilligt ist, die Teilnahmevereinbarung ist ein Klick, der den genauen geltenden Text, einen Zeitstempel und eine verschlüsselte IP festhält, und ein hochgeladenes W-9 oder W-8BEN wandert von ausstehend zu verifiziert oder abgelehnt, wobei eine Ablehnung immer eine Begründung trägt. Verifizierte Steuerformulare tragen ein dreijähriges Erneuerungsintervall.
Die eigene Meldungsseite des Forschers benennt, was ihn aufhält – Vereinbarung, Auszahlungsdaten oder Steuerformular –, und damit hören die Nachfrage-E-Mails auf. Auszahlungsdaten sehen Ihre Mitarbeiter maskiert, und die Maskierung steckt im verschlüsselten Wert selbst, unterhalb jeder Ansicht.
Ein berechneter nächster Schritt, mit einer Leiter darunter
Die geführte Schrittleiste berechnet genau einen aktuellen Schritt – Zuweisung, Bewertung, Entscheidung, Prämie –, die gesperrten Schritte bleiben deaktiviert und die nächste Aktion steht benannt auf der Seite. Ignorieren Sie eine Meldung, greifen drei Stufen der Reihe nach: eine Erinnerung, eine zweite Erinnerung, dann eine Eskalation an die Admins; stummschalten kann sie die zuständige Person nicht. Ein Statuswechsel zurück ohne Kommentar wirft einen Fehler, und „Klärung erforderlich“ hält die Bestätigungsfrist an, damit „wartet auf den Forscher“ und „kurz vor der Überschreitung“ zwei verschiedene Zustände sind.
In einem Postfach steckt der nächste Schritt im Kopf desjenigen, der den Thread zuletzt gelesen hat. In Kit führen zehn Cron-Jobs den Prozess unbeaufsichtigt weiter – von einer Prüfung der Bestätigungsfrist alle 15 Minuten bis zur nächtlichen Integritätsprüfung des revisionssicheren Prämien-Hauptbuchs.
Vier Slash-Befehle, die Ihr Agent schon kennt
Kits 49 MCP-Tools öffnen den Sichtungsablauf für jeden MCP-Client, und vier serverseitige Prompts liegen bei – csirt_triage_report, csirt_assess_report, csirt_approve_bounty, csirt_write_postmortem –, die als Slash-Befehle erscheinen und jeweils die geordnete Kette der aufzurufenden Tools benennen. Niemand in Ihrem Team schreibt das Drehbuch. Die Warteschlange zu lesen ist eine Verbindung in zwei Minuten; darin zu handeln ist bewusst verriegelt, hinter einem Einwilligungsschalter und Admin-Rechten.
Die Hürden greifen dort, wo ein Agent am schlimmsten scheitert – externe E-Mails kann er nur senden, wenn ein Admin das freischaltet; der Standardweg speichert einen Entwurf, der niemanden erreicht. Und jede Meldung, die ein Agent liest, führt die vom Meldenden kontrollierten Felder als nicht vertrauenswürdig, als Schutz vor Prompt Injection.
Nachweise, die ein Auditor in der Hand hält
MTTA und MTTR aus erfassten Statuswechseln berechnet, SOC 2-Exporte als CSV und PDF und ein Dossier-PDF je Meldung. Der Verlauf je Meldung – eingegangen, bestätigt, bewertet, behoben – liegt als Datenzeilen vor, nicht als Archäologie in einem Mail-Thread.
Die Quartalskennzahlen aus BOD 20-01 – mediane Reaktionszeit, gültige Meldungen, die länger als 90 Tage offen sind – lassen sich aus einem Postfach nicht berechnen, weil die zugrunde liegenden Ereignisse nie als Daten erfasst wurden.
Was Kit nicht hat
Vier Dinge, die das Postfach hat und Kit nicht, und was wir jeweils damit vorhaben.
Ein Anbieter mehr, für den Sie geradestehen
Kit einzuführen bedeutet einen weiteren Unterauftragsverarbeiter in Ihrem Anbieterverzeichnis, einen wiederkehrenden Kostenposten und ein weiteres System, für das Sie im nächsten Sicherheitsfragebogen geradestehen. Der Alias bringt nichts davon mit, und Kit selbst hat heute weder eine SOC 2- noch eine ISO 27001-Attestierung.
Werden wir das ergänzen? Die Anbieterzeile ist der Preis jedes gehosteten Werkzeugs. In der Hand haben wir den Ausstieg – monatliche Abrechnung, CSV- und PDF-Exporte, kein Jahresvertrag.
Keine Forscher
Ein Kit-VDP bekommt, was über eine security.txt und ein einbettbares Formular hereinkommt – dieselben Meldungen, die auch das Postfach bekäme. Keine Community, keine betreute Sichtung, kein Pentest-Dienst.
Werden wir das ergänzen? Nein. Schwachstellen zu finden ist Aufgabe einer Bug-Bounty-Community – HackerOne, Bugcrowd, Intigriti. Kit bearbeitet nur die Meldungen, die eingehen.
Keine REST-API
Das Postfach spricht IMAP, JMAP, mbox-Export und die Gmail-API – generische Protokolle, die längst in Ihrem Stack stecken. Kit liefert MCP-Tools und 11 Webhook-Ereignisse, und die Massenausleitung läuft über CSV- und PDF-Exporte.
Werden wir das ergänzen? Nicht geplant. MCP und Webhooks sind die Fläche, die wir pflegen; wenn Sie rohen programmatischen Zugriff auf jeden Meldungstext brauchen, hat das Postfach ihn längst.
Nicht $0 und nicht unbegrenzt
Der Alias kostet $0 auf dem Mail-Tenant, den Sie ohnehin bezahlen, und hat keine Meldungsobergrenze. Kits Meldeeingang braucht ein Kit-Abo, die im Platz enthaltene Stufe ist bei 25 Meldungen pro Monat gedeckelt, und Frist, Hauptbuch, Exporte und eigene Domain werden als separates Add-on berechnet.
Werden wir das ergänzen? Die Obergrenze bleibt. Verhandeln lässt sich, was die enthaltene Stufe umfasst – eine Statusmaschine, Eingangsbestätigungen, anonymer Meldeeingang –, nie ihr Volumen.
Unterschiedliche Philosophien
Diese beiden spiegeln unterschiedliche Antworten darauf, was ein Meldekanal danach für Sie leisten muss.
Die Aufzeichnung ist das Produkt
Meldungen entgegenzunehmen war nie das Schwierige – das erledigt das Postfach für $0. Kit gibt es für den Moment, in dem jemand von außen sagt, zeigen Sie es mir: eine Frist, die lief, eine Statusmaschine, ein revisionssicheres Hauptbuch, Exporte im Zuschnitt eines Audits. Der Meldeeingang ist in einem Platz für €6,99 bis zu 25 Meldungen pro Monat enthalten; das vollständige Modul ist das €49-Add-on.
Der Kanal ist der Prozess
E-Mail ist der eine Kanal, den jeder Meldende schon hat. Kein Konto anzulegen, eine Wegwerfadresse genügt, und BOD 20-01 empfiehlt genau diese Adressform als den faktischen Ausgangspunkt für ein Sicherheitsgespräch. Was E-Mail nicht kann, ist sich erinnern – kein Schweregrad, kein Status, keine Zeitstempel –, der Prozess steckt also im Kopf eines einzelnen Entwicklers und im Kontext eines Threads.
Preis-Realitätscheck
Kit
€49/Monat
das VDP-Add-on, zusätzlich zu einem Kit-Abo für €6,99/Platz
- 72-Stunden-Bestätigungsfrist mit Alarm bei Gefährdung
- Dashboard für MTTA und MTTR sowie SOC 2-Exporte als CSV und PDF
- Automatisch veröffentlichte security.txt nach RFC 9116 mit Ablaufwächter
- Anonyme Einreichungen, CVSS-v3.1-Bewertung, Duplikat-Kennzeichnung
- Revisionssicheres Prämien-Hauptbuch mit Erfassung von W-9/W-8BEN
Ein security@-Postfach
$0 zusätzlich
ein Alias auf dem Mail-Tenant, den Sie ohnehin bezahlen
- Bis zu 30 kostenlose Aliasse pro Nutzer in Google Workspace
- Keine Meldungsobergrenze, keine Platzobergrenze, kein Beschaffungszyklus
- CC0-Richtlinien- und Safe-Harbor-Vorlagen von disclose.io
- Der Sichtungsaufwand ist nicht eingeplant – curl berichtet von 3–4 Personen pro Meldung, je 30 Minuten bis mehrere Stunden
- Keine Bestätigungsfrist und keine Nachweisaufzeichnung
Preis-Realitätscheck
Beim Preis gewinnt das Postfach für immer – $0, keine Meldungsobergrenze, kein Anbieter. Kits Meldeeingang ist in einem Platz für €6,99 bis zu 25 Meldungen pro Monat enthalten; Frist, Hauptbuch, Exporte und eigene Domain sind das €49-Add-on. Was das kauft, ist nicht das Entgegennehmen von Meldungen – es ist der Beleg dessen, was danach geschah.
Wechsel von einem security@-Postfach?
Sie werden Kit lieben, wenn:
- Ein Auditor nach der medianen Zeit bis zur Bestätigung gefragt hat und die Antwort in Mail-Threads steckt
- Ihre security.txt abgelaufen ist und es niemand bemerkt hat – bei 7,3 % der in einem Scan von 2026 gefundenen Dateien war es so
- Zwei Forscher denselben Fehler gemeldet haben und die Threads sich nie begegnet sind
- Sie Scanner-Auswürfe und KI-Spam von Hand sortieren – Kit prüft jede Einreichung über 12 Signale, bevor ein Mensch sie liest
- Der CRA für Sie gilt und Anhang VII Nachweise über Ihre Meldeadresse in der technischen Dokumentation verlangt
Bleiben Sie beim Postfach, wenn Sie:
- Eine Handvoll Meldungen pro Jahr bekommen und niemand von außen Nachweise verlangt hat
- Weder einen Budgetposten noch Lust auf einen weiteren Unterauftragsverarbeiter haben
- Null Anbieter zwischen einem Meldenden und Ihrem Team wollen
- Dem Vorbild vertrauen – im Januar 2026 verlegte curl seinen Meldeeingang auf GitHub Private Reporting plus [email protected]
Datenportabilität: E-Mail exportiert perfekt – mbox, IMAP, Takeout, eine MX-Änderung. Strukturiertes kommt dabei nicht mit, es gibt also keine Historie je Meldung, die man später in ein Werkzeug tragen könnte. Kits Ausstieg sind CSV- und PDF-Exporte plus die Dossier-PDFs.
Testen Sie Kit 30 Tage kostenlos.
Selbst gebucht, keine Jahresbindung, in den ersten 30 Tagen jederzeit kündbar. Anrufen wird Sie in keinem Fall jemand aus dem Vertrieb.
$49€49159 zł£39 pro Monat, zusätzlich zu einem Kit-Platz
Kostenlos testen