Das TYPO3 Security Team hat am 9. September 2026 mit sofortiger Wirkung das öffentliche Bug-Bounty-Programm eingestellt. Finanzielle Belohnungen für gemeldete Sicherheitslücken entfallen damit vollständig – die koordinierte Meldung und Bearbeitung von Schwachstellen bleibt jedoch unverändert bestehen.
TL;DR: Das TYPO3 Bug-Bounty-Budget für 2026 ist aufgebraucht, und das Programm ließ sich nach Einschätzung des Security-Teams in seiner bisherigen Form nicht mehr nachhaltig betreiben. Grund ist vor allem die stark gestiegene Zahl der Meldungen, viele davon mit geringer bis mittlerer Relevanz und zunehmend mithilfe von KI-Werkzeugen erstellt. Für Betreiber und Entwickler ändert sich an der eigentlichen Sicherheitsarbeit nichts: Responsible Disclosure, Security-Advisories, CVEs und die Nennung von Forschenden bleiben bestehen, nur die finanzielle Vergütung entfällt.
Was sich ändert – und was nicht
Bug-Bounty-Programme belohnen Sicherheitsforschende finanziell dafür, Schwachstellen verantwortungsvoll gegenüber dem Hersteller statt öffentlich zu melden. Bei TYPO3 lief dieses Programm zuletzt bereits eingeschränkt: Bereits im Mai 2026 hatte die TYPO3-Association finanzielle Belohnungen für Extension-Meldungen gestrichen und die Bounty ausschließlich auf den TYPO3-Kern und die zugehörige Infrastruktur konzentriert. Diese Ankündigung wird nun durch die vollständige Einstellung ersetzt.
Was bleibt: Sicherheitslücken können weiterhin über den etablierten Responsible-Disclosure-Prozess an security(at)typo3.org gemeldet werden. Das Security Team prüft und koordiniert diese Meldungen wie bisher, veröffentlicht Advisories und CVEs und nennt die meldende Person, sofern gewünscht. Was entfällt, ist ausschließlich die finanzielle Belohnung im Rahmen des öffentlichen Programms.
Warum das Programm an seine Grenzen kam
Ein Bug-Bounty-Programm lebt davon, dass die eingehenden Meldungen tatsächlich neue, relevante Schwachstellen enthalten. Genau das ist zunehmend schwieriger geworden. Das TYPO3 Security Team begründet die Einstellung mit zwei Faktoren: Zum einen ist das für 2026 vorgesehene Budget bereits ausgeschöpft, zum anderen ist die Zahl der eingehenden Meldungen deutlich gestiegen, während deren durchschnittliche Qualität gesunken ist. Ein wachsender Anteil der Meldungen wird nach Angaben des Teams mithilfe von KI-Werkzeugen erstellt, teils werden dieselben Funde mehrfach von unterschiedlichen Personen eingereicht.
Diese Kernthese formuliert das Security Team selbst unmissverständlich: Ein Sicherheitsprozess funktioniert nur dann, wenn das Team ausreichend Zeit hat, Schwachstellen gründlich zu untersuchen und dort anzusetzen, wo es tatsächlich zählt. Der finanzielle Anreiz hatte zuletzt genau den gegenteiligen Effekt – er band Kapazität, die für die eigentliche Sicherheitsarbeit am TYPO3-Ökosystem fehlte. Nach aktuellem Stand ist für die kommenden Jahre kein Budget für ein Nachfolgeprogramm vorgesehen.
Einordnung: ein Muster, das auch andere Open-Source-Projekte kennen
Ich sehe in dieser Entscheidung weniger einen Rückschritt bei der Sicherheit als eine nüchterne Reaktion auf ein Problem, das derzeit viele Open-Source-Projekte mit eigenem Bug-Bounty-Programm beobachten: Automatisiert oder KI-gestützt erzeugte, oft wenig belastbare Meldungen verdrängen zunehmend die Kapazität für sorgfältige, manuelle Sicherheitsarbeit. Wer als Agentur oder Unternehmen TYPO3 einsetzt, sollte aus dieser Meldung vor allem mitnehmen, dass sich am eigentlichen Sicherheitsniveau des Projekts nichts ändert. Die Qualität der Advisories und die Reaktionszeit auf gemeldete Lücken hängen von der Arbeit des Security-Teams ab, nicht von der Existenz eines Kopfgelds. Für Personen mit TYPO3-Expertise, die sich stärker einbringen wollen, bietet sich stattdessen der direkte Weg an: die Mitarbeit im TYPO3 Security Team selbst.
Fazit
- Das öffentliche TYPO3 Bug-Bounty-Programm ist seit dem 9. September 2026 eingestellt, finanzielle Belohnungen für Sicherheitsmeldungen entfallen
- Grund sind ein ausgeschöpftes Jahresbudget sowie eine stark gestiegene Zahl an Meldungen mit sinkender durchschnittlicher Qualität, darunter zunehmend KI-generierte Einreichungen
- Der reguläre Prozess für verantwortungsvolle Offenlegung bleibt unverändert: Meldungen an security(at)typo3.org, Prüfung durch das Security Team, Advisories, CVEs und Namensnennung für Forschende
Häufige Fragen
Wird TYPO3 dadurch unsicherer?
Nicht direkt. Die eigentliche Sicherheitsarbeit – Prüfung gemeldeter Schwachstellen, Veröffentlichung von Advisories und CVEs, koordinierte Offenlegung – läuft nach Angaben des TYPO3 Security Teams unverändert weiter. Was entfällt, ist ausschließlich die finanzielle Belohnung für externe Meldungen.
Wie melde ich als Entwicklerin oder Entwickler weiterhin eine gefundene Sicherheitslücke?
Über die etablierte Adresse security(at)typo3.org, wie bisher auch. Der Meldeprozess selbst ändert sich durch die Einstellung des Bug-Bounty-Programms nicht.
Warum verzichten Open-Source-Projekte wie TYPO3 zunehmend auf Bug-Bounty-Programme?
Ein häufig genannter Grund ist die wachsende Zahl automatisiert oder KI-gestützt erstellter Meldungen mit geringer Relevanz, die die begrenzten Kapazitäten der Sicherheitsteams stärker binden, als sie zur eigentlichen Sicherheitsarbeit beitragen. TYPO3 nennt genau diesen Punkt als einen der beiden Hauptgründe für die Einstellung.
Als Softwareentwickler und CTO beschäftige ich mich mit der Frage, wie moderne Software und digitale Plattformen nachhaltig entwickelt werden können. Weitere Einblicke in meine Arbeit rund um Software und Technologie findest du auf meiner Themenseite.
Quellen: