GitHub senkt Bug-Bounty-Zahlungen ab Juli 2026

Ab dem 27. Juli 2026 wird GitHub die Zahlungen für öffentliche Bug-Bounty-Programme um mindestens 50 % senken. Dies betrifft alle Schweregrade von Sicherheitsanfälligkeiten. Kritische Meldungen, die zuvor zwischen $20.000 und $30.000 lagen, werden auf einen festen Betrag von $10.000 reduziert. Zusätzlich wird GitHub ein neues, dauerhaftes VIP-Programm einführen, das nur auf Einladung zugänglich ist.

Teilnehmer dieses Programms können mit Zahlungen von $30.000 oder mehr rechnen, abhängig von der Schwere der gemeldeten Sicherheitsanfälligkeiten. Diese Maßnahme soll die Anreize für Sicherheitsforscher erhöhen, sich auf schwerwiegende Sicherheitsprobleme zu konzentrieren. Berichte, die vor dem Stichtag eingereicht werden, einschließlich derjenigen, die sich bereits in der Warteschlange von GitHub befinden, behalten die vorherigen Auszahlungskonditionen. Dies bedeutet, dass Forscher, die vor dem 27. Juli Sicherheitsanfälligkeiten melden, die höheren Beträge erhalten können.

GitHub hat die Entscheidung als notwendig erachtet, um die Nachhaltigkeit des Bug-Bounty-Programms zu gewährleisten. Die Plattform sieht sich einem Anstieg von Meldungen gegenüber, was die Notwendigkeit einer Anpassung der finanziellen Anreize zur Aufrechterhaltung der Qualität und Effektivität des Programms unterstreicht. Die Änderungen kommen zu einem Zeitpunkt, an dem Cyberangriffe und Sicherheitsbedrohungen weltweit zunehmen. Laut dem Cybersecurity & Infrastructure Security Agency (CISA) Bericht von 2025 gab es einen Anstieg von 30 % bei gemeldeten Sicherheitsvorfällen im Vergleich zum Vorjahr. GitHub hat in der Vergangenheit hohe Belohnungen für Sicherheitsforscher angeboten, um die Entdeckung und Meldung von Schwachstellen zu fördern.

Die neue Struktur könnte jedoch dazu führen, dass einige Forscher weniger Anreize haben, ihre Zeit und Ressourcen in die Suche nach Schwachstellen zu investieren. Die Plattform hat betont, dass die Änderungen nicht die Qualität der Sicherheitsforschung beeinträchtigen sollen. Stattdessen wird erwartet, dass die VIP-Einladungen an die aktivsten und erfolgreichsten Forscher vergeben werden, um die besten Talente anzuziehen. Die Anpassungen an den Bug-Bounty-Zahlungen sind Teil einer breiteren Strategie von GitHub, die darauf abzielt, die Sicherheitslage der Plattform zu verbessern.

GitHub hat in den letzten Jahren erhebliche Investitionen in Sicherheitsmaßnahmen getätigt, um die Integrität der Softwareentwicklung zu gewährleisten. Die neuen Richtlinien werden ab dem 27. Juli 2026 wirksam und könnten weitreichende Auswirkungen auf die Sicherheitsforschung und die Beziehung zwischen GitHub und der Sicherheitsgemeinschaft haben. GitHub hat angekündigt, dass weitere Details zu den Kriterien für das VIP-Programm und den Auswahlprozess in den kommenden Wochen veröffentlicht werden.