Wer bei GitHub Sicherheitslücken meldet, bekommt ab heute deutlich weniger Geld. Zum 27. Juli 2026 stellt der Microsoft-Konzern sein öffentliches GitHub Bug Bounty-Programm auf feste, spürbar niedrigere Prämien um – und verlagert die hohen Auszahlungen in ein geschlossenes VIP-Programm. Auslöser ist eine Flut minderwertiger und KI-generierter Meldungen, die das Sicherheitsteam ausbremst.
GitHub Bug Bounty: Das ändert sich für die Öffentlichkeit
Bislang nannte GitHub für jede Schweregrad-Stufe eine Spanne. Künftig gilt pro Stufe ein einziger, fester Betrag. Die neue öffentliche Prämientabelle sieht so aus:
Klartext ins Postfach
KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.
- Niedrig: 250 US-Dollar
- Mittel: 2.000 US-Dollar
- Hoch: 5.000 US-Dollar
- Kritisch: 10.000 US-Dollar
Das ist ein empfindlicher Einschnitt: Kritische Funde brachten zuvor deutlich mehr, laut Branchenberichten wurden die öffentlichen Prämien mindestens halbiert. GitHub verspricht im Gegenzug klarere Erwartungen – statt einer unsicheren Spanne gibt es nun eine feste Zahl, ergänzt um mögliche Sonderboni für herausragende Arbeit.
Die hohen Summen wandern ins VIP-Programm
Parallel formalisiert GitHub ein dauerhaftes, nur auf Einladung zugängliches VIP-Programm für Forscher, die konstant hochwertige Arbeit liefern. Dort bleiben die attraktiven Beträge:
- Niedrig: 1.000 US-Dollar
- Mittel: 7.500 US-Dollar
- Hoch: 20.000 US-Dollar
- Kritisch: 30.000 US-Dollar und mehr
Der Weg in den VIP-Kreis führt über nachgewiesene Qualität: Wer einen kritischen, zwei hohe, vier mittlere oder sieben niedrige Funde vorweist, qualifiziert sich. Die Botschaft ist klar – nicht mehr Meldungen bringen mehr Geld, sondern bessere.
KI-Report-Flut zwingt zum Umbau
Den Hauptgrund benennt GitHub offen: Um die Menge an minderwertigen und KI-generierten Berichten zu senken, führt das Unternehmen eine Signal-Anforderung über die Plattform HackerOne ein. Neueinsteiger ohne ausreichenden Reputationswert erhalten zunächst bis zu vier Einreichungen, um sich zu beweisen. GitHub betont, das sei keine Mauer gegen neue Forscher, sondern eine Grundlinie, die das Programm für alle handhabbar hält.
Dass generative KI inzwischen ganze Arbeitsabläufe – im Guten wie im Schlechten – verändert, zeigt sich überall in der Sicherheitsbranche. Wie leistungsfähig die aktuelle Modellgeneration ist, verdeutlicht etwa Anthropics Claude Opus 5. Dieselbe Technik, die Entwickler produktiver macht, erzeugt eben auch die Report-Flut, die GitHub nun ausbremsen muss.
Was gleich bleibt
Meldungen, die vor dem Stichtag eingereicht wurden, werden weiter nach der alten Struktur vergütet – GitHub gewährt der bestehenden Warteschlange Bestandsschutz. Nur Berichte ab dem 27. Juli 2026 fallen unter die neuen Regeln. Für Sicherheitsforscher heißt das konkret: Wer noch offene Funde in der Schublade hat, sollte den Stichtag im Blick behalten.
Quellen
- GitHub Blog: Next chapter – Restructuring GitHub’s bug bounty program (22.07.2026)
- The Register: GitHub slashes public bug bounty payouts as AI report flood buries its security team
- The Hacker News: GitHub Cuts Public Bug Bounty Payouts, Moves Top Rewards to VIP Tier
Diese Analysen als Newsletter
Ein Mal pro Woche Klartext zu KI, Security & Crypto – direkt in dein Postfach.
Jetzt anmelden