Liste der TOP-Bug-Bounty-Programme und -Websites (Update März 2025)
Oliver Jones
besten Bug-Bounty-Programme/Unternehmen
Nachfolgend finden Sie eine kuratierte Liste von Bounty-Programmen namhafter Unternehmen
1) Intel
Das Kopfgeldprogramm von Intel zielt hauptsächlich auf die Hardware, Firmware und Software des Unternehmens ab.
Einschränkungen: Es umfasst nicht die jüngsten Akquisitionen, die Web-Infrastruktur des Unternehmens, Produkte von Drittanbietern oder alles, was damit zusammenhängt McAfee.
Minimale Auszahlung: Intel bietet einen Mindestbetrag von 500 US-Dollar für die Suche nach Fehlern in seinem System.
Maximale Auszahlung: Das Unternehmen zahlt maximal 30,000 US-Dollar für die Erkennung kritischer Fehler.
Bounty-Link: https://security-center.intel.com/BugBountyProgram.aspx
2) Yahoo
Yahoo verfügt über ein engagiertes Team, das Schwachstellenberichte von Sicherheitsforschern und ethischen Hackern entgegennimmt.
Einschränkungen: Das Unternehmen bietet keine Belohnung für das Finden von Fehlern in den von Yahoo.net, Yahoo 7, Yahoo Japan, Onwander und Yahoo betriebenen WordPress-Blogs.
Minimale Auszahlung: Bei Yahoo gibt es kein festgelegtes Limit für die Mindestauszahlung.
Maximale Auszahlung: Yahoo kann 15000 US-Dollar für die Erkennung wichtiger Fehler in seinem System zahlen.
Bounty-Link:https://safety.yahoo.com/Security/REPORTING-ISSUES.html
3) Snapchat
Das Snapchat-Sicherheitsteam überprüft alle Schwachstellenberichte und handelt entsprechend durch verantwortungsvolle Offenlegung. Das Unternehmen wird Ihre Eingabe innerhalb von 30 Tagen bestätigen.
Minimale Auszahlung: Snapchat zahlt mindestens 2000 US-Dollar.
Maximale Auszahlung: Der Höchstbetrag, den sie zahlen, beträgt 15,000 US-Dollar.
Bounty-Link:https://support.snapchat.com/en-US/i-need-help
4) Cisco
Cisco ermutigt Einzelpersonen oder Organisationen, bei denen ein Produktsicherheitsproblem auftritt, dieses dem Unternehmen zu melden.
Minimale Auszahlung: CiscoDer Mindestauszahlungsbetrag beträgt 100 $.
Maximale Auszahlung: Das Unternehmen wird maximal 2,500 US-Dollar für die Suche nach schwerwiegenden Schwachstellen bereitstellen.
Bounty-Link: https://tools.cisco.com/security/center/resources/security_vulnerability_policy.html
5) Dropbox
Dropbox Das Bounty-Programm ermöglicht es Sicherheitsforschern, Fehler und Schwachstellen im Drittanbieterdienst HackerOne zu melden.
Minimale Auszahlung: Der Mindestbetrag beträgt 12,167 US-Dollar.
Maximale Auszahlung: Der angebotene Höchstbetrag beträgt 32,768 $.
Bounty-Link: https://help.dropbox.com/accounts-billing/security/how-security-works
6) Apfel
Als Apple sein Bug-Bounty-Programm zum ersten Mal startete, erlaubte es nur 24 Sicherheitsforschern. Das Framework wurde dann um weitere Bug-Bounty-Jäger erweitert.
Das Unternehmen zahlt 100,000 US-Dollar an diejenigen, die durch die Secure Enclave-Technologie von Apple geschützte Daten extrahieren können.
Minimale Auszahlung: Es gibt keinen von Apple Inc. festgelegten begrenzten Betrag.
Maximale Auszahlung: Das höchste von Apple ausgezahlte Kopfgeld beträgt 200,000 US-Dollar für Sicherheitsprobleme, die seine Firmware betreffen.
Bounty-Link: https://support.apple.com/en-in/102549
7) Facebook
Im Rahmen des Bug-Bounty-Programms von Facebook können Benutzer ein Sicherheitsproblem bei Facebook, Instagram, Atlas, WhatsApp usw. melden.
Einschränkungen: Es gibt einige Sicherheitsprobleme, die die Social-Networking-Plattform als unzulässig erachtet.
Minimale Auszahlung: Facebook zahlt mindestens 500 US-Dollar für eine offengelegte Sicherheitslücke.
Maximale Auszahlung: Eine von Facebook festgelegte Obergrenze für die Auszahlung gibt es nicht.
Bounty-Link: https://www.facebook.com/whitehat/
8) google
Alle Inhalte auf .google.com, .blogger und youtube.com sind für das Prämienprogramm für gefährdete Personen von Google offen.
Einschränkungen: Dieses Prämienprogramm deckt nur Design- und Implementierungsprobleme ab.
Minimale Auszahlung: Google zahlt mindestens 300 US-Dollar für das Auffinden von Sicherheitsthreads.
Maximale Auszahlung: Für normale Google-Anwendungen zahlt Google das höchste Kopfgeld von 31.337 US-Dollar.
Bounty-Link: https://www.google.com/about/appsecurity/reward-program/
9) Quora
Quora bietet allen Benutzern und Forschern ein Bug-Bounty-Programm an, um Sicherheitslücken zu finden und zu melden.
Minimale Auszahlung: Quora zahlt mindestens 100 US-Dollar für das Auffinden von Schwachstellen auf ihrer Website.
Maximale Auszahlung: Die auf dieser Website angebotene maximale Auszahlung beträgt 7000 $.
Bounty-Link: https://engineering.quora.com/Security-Bug-Bounty-Program
10) Mozilla
Mozilla belohnt die Entdeckung von Schwachstellen durch ethische Hacker und Sicherheitsforscher.
Einschränkungen: Das Kopfgeld wird nur für Fehler in Mozilla-Diensten angeboten, z Firefox, Thunderbird und andere damit verbundene Anwendungen und Dienste.
Minimale Auszahlung: Mindestbetrag angegeben von Firefox ist $ 500.
Maximale Auszahlung: Das Unternehmen zahlt maximal 5000 US-Dollar.
Bounty-Link: https://www.mozilla.org/en-US/security/bug-bounty/
11) Microsoft
MicrosoftDas aktuelle Bug-Bounty-Programm wurde am 23. September 2014 offiziell gestartet und befasst sich ausschließlich mit Online-Diensten.
Einschränkungen: Die Kopfgeldprämie wird nur für die kritischen und wichtigen Schwachstellen gewährt.
Minimale Auszahlung: Microsoft bereit, 15,000 US-Dollar für das Auffinden kritischer Fehler zu zahlen.
Maximale Auszahlung: Der Höchstbetrag kann 250,000 US-Dollar betragen.
Bounty-Link: https://technet.microsoft.com/en-us/library/dn425036.aspx
12) OpenSSL
OpenSSL Bounty ermöglicht Ihnen die Meldung von Schwachstellen per sicherer E-Mail (PGP-Schlüssel). Sie können Schwachstellen auch an die OpenSSL Verwaltungsausschuss.
Minimale Auszahlung: Das Unternehmen zahlt eine Prämie von mindestens 500 US-Dollar.
Maximale Auszahlung: Der höchste vom Unternehmen angegebene Betrag beträgt 5000 US-Dollar.
Bounty-Link: https://www.openssl.org/news/vulnerabilities.html
13) Vimeo
Vimeo begrüßt jede Meldung von Sicherheitslücken in seinen Produkten, da das Unternehmen dieser Person eine gute Vergütung zahlt.
Minimale Auszahlung: Das Unternehmen zahlt mindestens 500 US-Dollar
Maximale Auszahlung: Der von diesem Unternehmen gezahlte Höchstbetrag beträgt 5000 US-Dollar.
Bounty-Link: https://vimeo.com/about/security
14) Apache
Apache ermutigt ethische Hacker, Sicherheitslücken an eine ihrer privaten Sicherheits-Mailinglisten zu melden.
Minimale Auszahlung: Der von Apache angegebene Mindestauszahlungsbetrag beträgt 500 $.
Maximale Auszahlung: Dieses Unternehmen kann eine Belohnung von maximal 3000 $ vergeben.
Bounty-Link: https://www.apache.org/security/
15) Twitter
Twitter informiert Sicherheitsforscher und Experten über mögliche Sicherheitslücken in ihren Diensten. Das Unternehmen ermutigt Menschen, Fehler zu finden.
Minimale Auszahlung: Twitter zahlt einen Mindestbetrag von 140 US-Dollar.
Maximale Auszahlung: Der vom Unternehmen gezahlte Höchstbetrag beträgt 15000 US-Dollar.
Bounty-Link: https://support.twitter.com/articles/477159
16) Avast
Avast Das Kopfgeldprogramm belohnt ethische Hacker und Sicherheitsforscher, die unter anderem Remote-Codeausführung, lokale Rechteausweitung, DOS und Scanner-Umgehung melden.
Minimale Auszahlung: Avast kann Ihnen den Mindestbetrag von 400 $ zahlen.
Maximale Auszahlung: Der vom Unternehmen angebotene Höchstbetrag beträgt 10,000 US-Dollar.
Bounty-Link: https://www.avast.com/bug-bounty
17) PayPal
Der Zahlungs-Gateway-Dienst Paypal bietet auch Bug-Bounty-Programme für Sicherheitsforscher an.
Einschränkungen:
Schwachstellen abhängig von Social-Engineering-Techniken, Host-Header
Denial of Service (DOS), benutzerdefinierte Nutzlast, Content-Spoofing ohne eingebettete Links/HTM und Schwachstellen, die ein mobiles Gerät mit Jailbreak erfordern usw.
Minimale Auszahlung: Paypal kann mindestens 50 US-Dollar für das Auffinden von Sicherheitslücken in seinem System zahlen.
Maximale Auszahlung: Der von Paypal angegebene maximale Auszahlungsbetrag beträgt 10000 $.
Bounty-Link: https://hackerone.com/paypal
18) GitHub
GitHub führt seit 2013 ein Bug-Bounty-Programm durch. Jeder erfolgreiche Teilnehmer erhielt je nach Schweregrad Punkte für seine Schwachstelleneinreichungen.
Einschränkung:
Der Sicherheitsforscher erhält diese Prämie nur, wenn er die Daten der Benutzer respektiert und kein Problem ausnutzt, um einen Angriff auszulösen, der die Integrität der Dienste oder Informationen von GitHub beeinträchtigen könnte.
Minimale Auszahlung: Github zahlt für das Auffinden von Fehlern einen Mindestbetrag von 200 $.
Maximale Auszahlung: Github kann 10000 $ für das Auffinden kritischer Fehler zahlen.
Bounty-Link: https://bounty.github.com/
19) Über
Das Vulnerability-Rewards-Programm von Uber konzentrierte sich in erster Linie auf den Schutz der Daten von Nutzern und Mitarbeitern.
Minimale Auszahlung: Es gibt keinen vorgegebenen Mindestbetrag.
Maximale Auszahlung: Uber zahlt Ihnen 10,000 US-Dollar für die Suche nach kritischen Fehlern.
Bounty-Link: https://eng.uber.com/bug-bounty-map/
20) Magento
Mit dem Magneto-Bounty-Programm können Sie Sicherheitslücken in der Magneto-Software oder auf Websites melden.
Einschränkungen:
Folgende Sicherheitsforschung ist nicht prämienberechtigt
- Möglicher oder tatsächlicher Denial-of-Service von Magento-Anwendungen und -Systemen.
- Nutzung eines Exploits zum unbefugten Einsehen von Daten.
- Automatisiertes/skriptbasiertes Testen von Webformularen
Minimale Auszahlung: Der Mindestauszahlungsbetrag für dieses Prämienprogramm beträgt 100 $.
Maximale Auszahlung: Magento zahlt maximal 10,000 US-Dollar für das Auffinden kritischer Fehler.
Bounty-Link: https://magento.com/security
21) Perl
Perl führt auch Bug-Bounty-Programme aus. Wenn jemand eine Sicherheitslücke in Perl findet, kann er sich an das Unternehmen wenden.
Minimale Auszahlung: Das Unternehmen zahlt einen Mindestbetrag von 500 US-Dollar.
Maximale Auszahlung: Der von Perl angegebene Höchstbetrag beträgt 1500 $.
Bounty-Link: http://perldoc.perl.org/perlsec.html#SECURITY-VULNERABILITY-CONTACT-INFORMATION
22) PHP
Mit PHP können ethische Hacker einen Fehler auf ihrer Website finden.
Einschränkungen: Sie müssen die Liste der bereits gefundenen Fehler überprüfen. Wenn Sie diese Anweisung nicht befolgen, wird Ihr Fehler nicht berücksichtigt.
Minimale Auszahlung: Der Mindestauszahlungsbetrag beträgt 500 $.
Maximale Auszahlung: Für die Suche nach wichtigen Fehlern werden von PHP maximal 1500 US-Dollar vergeben.
Bounty-Link: https://bugs.php.net/report.php?bug_type=Security
23) Starbucks
Starbucks führt ein Bug-Bounty-Programm durch, um seine Kunden zu schützen. Sie ermutigen dazu, böswillige Aktivitäten in ihren Netzwerk-, Web- und Mobilanwendungsrichtlinien zu finden.
Minimale Auszahlung: Der von Starbucks gezahlte Mindestbetrag beträgt 100 US-Dollar.
Maximale Auszahlung: Der Höchstbetrag beträgt bis zu 4000 US-Dollar.
Bounty-Link: https://www.starbucks.com/whitehat
24) AT&T
AT&T hat auch seinen Bug-Hunting-Kanal. Entwickler und Sicherheitsexperten können die verschiedenen Plattformen wie Websites, APIs und mobile Anwendungen recherchieren.
Minimale Auszahlung: Der von ihnen gezahlte Mindestbetrag beträgt 500 $.
Maximale Auszahlung: Eine solche Obergrenze für die Auszahlung gibt es nicht.
Bounty-Link: https://hackerone.com/att?type=team
25) LinkedIn
LinkedIn begrüßt einzelne Forscher, die ihr Fachwissen und ihre Zeit einbringen, um Fehler zu finden.
Das Unternehmen wird Sie belohnen, aber weder der Mindest- noch der Höchstbetrag sind für diesen Zweck eine Lösung.
Bounty-Link: https://security.linkedin.com/posts/2015/private-bug-bounty-program
26) Paytm
Paytm lädt unabhängige Sicherheitsgruppen oder einzelne Forscher ein, es auf allen Plattformen zu untersuchen
Einschränkungen:
- Berichte, die besagen, dass Software veraltet/anfällig ist, ohne dass ein „Proof of Concept“ vorliegt.
- XSS-Probleme, die nur veraltete Browser betreffen.
- Stapelspuren, die Informationen offenlegen.
- Irgendwelche Betrugsprobleme
Minimale Auszahlung: Das Unternehmen zahlt mindestens 15 US-Dollar für das Auffinden von Fehlern.
Maximale Auszahlung: Dieses Unternehmen legt die Obergrenze nicht fest.
Bounty-Link: https://paytm.com/offer/bug-bounty/
27) Shopify
Shopify's Das Whitehat-Programm belohnt Sicherheitsforscher für schwerwiegende Ergebnisse Sicherheitslücken
Minimale Auszahlung: Der von Shopify gezahlte Mindestbetrag beträgt 500 US-Dollar.
Maximale Auszahlung: Es gibt keine feste Obergrenze für die Auszahlung des Kopfgeldes.
Bounty-Link: https://www.shopify.in/whitehat
28) WordPress
WordPress begrüßt auch Sicherheitsforscher, die über die gefundenen Fehler berichten.
Minimale Auszahlung: WordPress zahlt mindestens 150 US-Dollar für die Meldung von Fehlern auf seiner Website.
Maximale Auszahlung: Das Unternehmen legt keine Höchstgrenze für die Zahlung als Kopfgeld fest.
Bounty-Link: https://make.wordpress.org/core/handbook/testing/reporting-bugs/
29) Zomato
Zomato hilft Sicherheitsforschern dabei, sicherheitsrelevante Probleme mit der Website oder den Apps eines Unternehmens zu identifizieren.
Minimale Auszahlung: Zomato zahlt mindestens 1000 US-Dollar für die Suche nach wichtigen Fehlern.
Maximale Auszahlung: Es gibt keinen maximalen Festbetrag.
Bounty-Link: https://www.zomato.com/policies/security/
30) Tor-Projekt
Das Bug-Bounty-Programm von Tor Project deckt zwei seiner Kerndienste ab: seinen Netzwerk-Daemon und seinen Browser.
Einschränkung: OpenSSL Anwendungen sind von diesem Anwendungsbereich ausgenommen.
Minimale Auszahlung: Der von ihnen gezahlte Mindestbetrag beträgt 100 US-Dollar.
Maximale Auszahlung: Das Unternehmen zahlt Ihnen maximal 4000 US-Dollar.
(Kein Link verfügbar) Bounty-Link: security@lists.torproject.org
31) Hackerone
HackerOne ist eine der größten Plattformen für Schwachstellenkoordination und Bug-Bounty. Sie hilft Unternehmen, ihre Verbraucherdaten zu schützen, indem sie mit der globalen Forschungsgemeinschaft zusammenarbeitet, um die relevantesten Sicherheitsprobleme zu finden. Viele bekannte Unternehmen wie Yahoo, Shopify, PHP, Google, Snapchat und Wink nutzen den Service dieser Website, um Sicherheitsforscher und ethische Hacker zu belohnen.
Bounty-Link: https://hackerone.com/bug-bounty-programs
32) Käfermenge
Eine leistungsstarke Plattform, die die globale Community der Sicherheitsforscher mit dem Sicherheitsmarkt verbindet. Diese Site zielt darauf ab, ihren weltweiten Kunden die richtige Mischung und Art von Forschern anzubieten, die für die jeweilige Website geeignet sind. Die Hacker müssen nur ihre Berichte auf dieser Site auswählen und wenn sie die richtigen Fehler finden, zahlt das jeweilige Unternehmen dieser Person den Betrag.
Bounty-Link: https://www.bugcrowd.com/bug-bounty-list/
