Websites herunterladen, die Bugcrowd nutzen

Über Bugcrowd

Wenn wir Bugcrowd auf einer Website finden, sagt das weniger darüber aus, wie die Website gebaut ist, als darüber, wie die Organisation dahinter reagiert, wenn ein Fremder eine Schwachstelle meldet. Die Plattform gehört nicht zum Stack, der die Seiten ausliefert. Sie verbindet eine Organisation mit einem großen Pool externer Sicherheitsforscher und übernimmt alles, was an dieser Beziehung heikel ist, darunter Eingang, Triage, Deduplizierung, Prämien und den Papierkram, der das Testen für beide Seiten rechtlich absichert.

Entsprechend schmal sind die Spuren auf einer öffentlichen Website. Meist handelt es sich um ein eingebettetes Meldeformular, einen Link von einer Seite mit Disclosure- oder Sicherheitsrichtlinie oder ein Badge, das auf ein bestehendes Programm hinweist. Ein Crawler kann diese Elemente erkennen, aber sie sind nach außen gerichtete Artefakte einer Richtlinienentscheidung und keine Bestandteile einer Anwendung. Deshalb sollte man diese Erkennung als organisatorische und nicht als technische Tatsache lesen.

Nützlich ist diese Tatsache durchaus. Wer ein Disclosure- oder Bug-Bounty-Programm betreibt, braucht eine Sicherheitsabteilung, die eingehende Meldungen bewältigt, ohne darin unterzugehen, einen Budgetposten für Auszahlungen, Entwicklungskapazität, um zu beheben, was hereinkommt, und eine rechtliche Freigabe, die Außenstehenden erlaubt, Produktivsysteme zu testen. Organisationen, die alle vier Hürden nehmen, sind tendenziell größer, in ihrer Sicherheitsreife weiter fortgeschritten oder in einer Branche tätig, in der Aufsichtsbehörden einen veröffentlichten Meldeweg für Schwachstellen erwarten. Der Einsatz hängt daher eher mit dem Unternehmensprofil zusammen als mit der Wahl eines Frameworks oder einer Programmiersprache.

Stand Oktober 2026 erkennen wir die Plattform auf 148 Websites, und es gibt zwei handfeste Gründe, warum die tatsächliche Zahl höher liegt. Viele Programme werden nur in einer Textdatei oder auf einer Richtlinienseite erwähnt, die ein Crawl unter Umständen nicht abruft oder auswertet, und zahlreiche Organisationen betreiben bewusst private Programme ganz ohne öffentliche Spuren. Zählen können wir die Gruppe, die sich entschieden hat, ihr Programm öffentlich zu machen. Sie ist für sich genommen ein aussagekräftiger Bestand, aber nicht der ganze Markt. Der Anbieter ist seit 2012 tätig und vertreibt die Plattform unter dem Lizenzmodell Proprietary, sodass es keine kostenlose selbst gehostete Variante gibt, die die Zählung verkomplizieren würde.

Für eine konkurrierende Plattform ist die Liste der klarste verfügbare Blick auf den öffentlich sichtbaren Kundenstamm eines Wettbewerbers. Für ein Sicherheitsteam, das seinen eigenen Stand einordnen will, lautet die nützliche Frage, welche Unternehmen derselben Branche einen Meldeweg veröffentlichen und welche schweigen, denn dieser Vergleich braucht beide Gruppen. Bei einer Due-Diligence-Prüfung vor einer Übernahme stellt sich eine ähnliche Frage, nämlich ob das Zielunternehmen je einen Kanal für Meldungen von außen geschaffen hat, bevor ein Vorfall es dazu zwang. Keine dieser Fragen lässt sich Domain für Domain beantworten, denn jede von ihnen bezieht sich auf eine Menge und nicht auf eine einzelne Domain.