GitHub kürzt Bug-Bounty-Prämien – neue Regeln ab heute

Wer bei GitHub Sicherheitslücken meldet, bekommt ab heute deutlich weniger Geld. Zum 27. Juli 2026 stellt der Microsoft-Konzern sein öffentliches GitHub Bug Bounty-Programm auf feste, spürbar niedrigere Prämien um – und verlagert die hohen Auszahlungen in ein geschlossenes VIP-Programm. Auslöser ist eine Flut minderwertiger und KI-generierter Meldungen, die das Sicherheitsteam ausbremst.

GitHub Bug Bounty: Das ändert sich für die Öffentlichkeit

Bislang nannte GitHub für jede Schweregrad-Stufe eine Spanne. Künftig gilt pro Stufe ein einziger, fester Betrag. Die neue öffentliche Prämientabelle sieht so aus:

• Niedrig: 250 US-Dollar
• Mittel: 2.000 US-Dollar
• Hoch: 5.000 US-Dollar
• Kritisch: 10.000 US-Dollar

Das ist ein empfindlicher Einschnitt: Kritische Funde brachten zuvor deutlich mehr, laut Branchenberichten wurden die öffentlichen Prämien mindestens halbiert. GitHub verspricht im Gegenzug klarere Erwartungen – statt einer unsicheren Spanne gibt es nun eine feste Zahl, ergänzt um mögliche Sonderboni für herausragende Arbeit.

Newsletter

Klartext zu KI, Security, Crypto

Einordnung statt Hype: was hinter den Tech-News steckt und was davon für dich zählt. Startbonus: die AD-Checkliste mit 12 Sofortmaßnahmen als PDF.

E-Mail-Adresse *

Mit der Anmeldung erhältst du die AD-Checkliste als PDF und danach den Tech-&-Tacheles-Newsletter mit Einordnungen zu Security, KI und Crypto sowie gelegentlichen Hinweisen auf meine Bücher und Produktempfehlungen (auch Affiliate-Links) – eingetragen bist du erst nach Klick auf den Bestätigungslink in der E-Mail (Double-Opt-in). Abmeldung jederzeit über den Link in jeder E-Mail, Details in der Datenschutzerklärung.

Die hohen Summen wandern ins VIP-Programm

Parallel formalisiert GitHub ein dauerhaftes, nur auf Einladung zugängliches VIP-Programm für Forscher, die konstant hochwertige Arbeit liefern. Dort bleiben die attraktiven Beträge:

• Niedrig: 1.000 US-Dollar
• Mittel: 7.500 US-Dollar
• Hoch: 20.000 US-Dollar
• Kritisch: 30.000 US-Dollar und mehr

Der Weg in den VIP-Kreis führt über nachgewiesene Qualität: Wer einen kritischen, zwei hohe, vier mittlere oder sieben niedrige Funde vorweist, qualifiziert sich. Die Botschaft ist klar – nicht mehr Meldungen bringen mehr Geld, sondern bessere.

KI-Report-Flut zwingt zum Umbau

Den Hauptgrund benennt GitHub offen: Um die Menge an minderwertigen und KI-generierten Berichten zu senken, führt das Unternehmen eine Signal-Anforderung über die Plattform HackerOne ein. Neueinsteiger ohne ausreichenden Reputationswert erhalten zunächst bis zu vier Einreichungen, um sich zu beweisen. GitHub betont, das sei keine Mauer gegen neue Forscher, sondern eine Grundlinie, die das Programm für alle handhabbar hält.

Dass generative KI inzwischen ganze Arbeitsabläufe – im Guten wie im Schlechten – verändert, zeigt sich überall in der Sicherheitsbranche. Wie leistungsfähig die aktuelle Modellgeneration ist, verdeutlicht etwa Anthropics Claude Opus 5. Dieselbe Technik, die Entwickler produktiver macht, erzeugt eben auch die Report-Flut, die GitHub nun ausbremsen muss.

Was gleich bleibt

Meldungen, die vor dem Stichtag eingereicht wurden, werden weiter nach der alten Struktur vergütet – GitHub gewährt der bestehenden Warteschlange Bestandsschutz. Nur Berichte ab dem 27. Juli 2026 fallen unter die neuen Regeln. Für Sicherheitsforscher heißt das konkret: Wer noch offene Funde in der Schublade hat, sollte den Stichtag im Blick behalten.

Quellen

• GitHub Blog: Next chapter – Restructuring GitHub’s bug bounty program (22.07.2026)
• The Register: GitHub slashes public bug bounty payouts as AI report flood buries its security team
• The Hacker News: GitHub Cuts Public Bug Bounty Payouts, Moves Top Rewards to VIP Tier