Sie haben die Sicherheitslücke um 1 Uhr nachts gefunden, sie dokumentiert, und drei Wochen später landet eine vierstellige Auszahlung auf Ihrem Konto – für Arbeit, die Sie im Pyjama erledigt haben. Es fühlt sich an wie gefundenes Geld – bis Ihnen klar wird, dass das IRS es wie jedes andere Einkommen betrachtet, und die Plattform, die Sie bezahlt hat, möglicherweise bereits darüber informiert wurde.
Bug-Bounty-Jagd ist zu einem ernsthaften Geschäft geworden. HackerOne zahlte in einem einzigen Zeitraum von zwölf Monaten 81 Millionen US-Dollar an Forscher aus – ein Anstieg von 13 % im Jahresvergleich –, wobei das durchschnittliche aktive Programm etwa 42.000 US-Dollar pro Jahr auszahlt. Die meisten einzelnen Auszahlungen sind bescheiden – die mittlere veröffentlichte Prämie liegt bei etwa 500 US-Dollar –, aber Top-Forscher verdienen inzwischen sechs- und siebenstellige Beträge pro Jahr. Ob Sie nun eine einzelne Auszahlung von 300 US-Dollar oder einen stetigen Strom kritischer Schwachstellen eingesammelt haben, hier erfahren Sie, wie Sie die Steuerseite korrekt handhaben: was die Plattformen melden, welche Formulare Sie erwarten können, wann Sie Selbstständigensteuer schulden und wie die Hobby-vs.-Geschäft-Unterscheidung entscheidet, ob Ihre Werkzeugkosten absetzbar sind.
Jeder Dollar Bounty-Einkommen ist steuerpflichtig
Beginnen wir mit der Regel, die Erstjäger am meisten überrascht: Bounty-Auszahlungen sind ab dem ersten Dollar normales Einkommen. Es gibt keine De-minimis-Ausnahme für „kleine" Auszahlungen, keinen „es war doch nur ein Hobby, also zählt es nicht"-Ausschluss und keine Sonderbehandlung im Stil von Kapitalgewinnen, nur weil sich die Arbeit wie ein Spiel anfühlte. Wenn eine Auszahlung auf Ihrem Bankkonto, PayPal oder in Ihrer Krypto-Wallet gelandet ist, gehört sie in Ihre Steuererklärung.
Das verwirrt die Leute, weil Bounty-Einkommen ohne die übliche Gehaltsabrechnungs-Maschinerie ankommt – keine Steuereinbehaltung, kein W-2, kein Arbeitgeber, der Sie daran erinnert, dass es Steuern gibt. Die Plattformen zahlen Ihnen brutto und überlassen die Steuerberechnung komplett Ihnen. Behandeln Sie jede Auszahlungsbenachrichtigung wie einen Gehaltszettel, den Sie selbst ausgleichen müssen, und Sie werden im April nie überrascht sein.
Was HackerOne und Bugcrowd tatsächlich melden
Die Steuerformulare, die Sie einreichen, bevor Sie bezahlt werden können
Beide großen Plattformen sammeln von Ihnen Steuerdokumente im Rahmen der Zahlungseinrichtung, bevor Geld fließen kann. US-amerikanische Forscher reichen das Formular W-9 ein (Name, Adresse, Steueridentifikationsnummer); Forscher außerhalb der USA reichen das entsprechende W-8-Formular ein, um ihren Auslandsstatus zu dokumentieren. Bugcrowds Dokumentation zur Forscherzahlung führt separate W-9- und W-8-Einreichungspfade für US-Personen, Nicht-US-Einzelpersonen und Nicht-US-Unternehmen auf. Wenn Sie diesen Schritt überspringen, bleiben Ihre Auszahlungen in der Schwebe – die Plattformen geben Gelder ohne hinterlegtes Steuerformular nicht frei.
Nehmen Sie die W-9 auch als Gelegenheitsjäger ernst: Eine fehlende oder falsche Steueridentifikationsnummer kann eine Sicherungseinbehaltung von 24 % auf Ihre Auszahlungen auslösen, was bedeutet, dass die Plattform fast ein Viertel jeder Prämie einbehält und an das IRS sendet. Sie gleichen das letztendlich in Ihrer Steuererklärung aus, aber es ist ein zinsloser Kredit an das Finanzministerium, den Sie nie hätten aufnehmen müssen.
Die 1099-Schwelle änderte sich 2026
Jahrelang war die Regel einfach: Verdienen Sie 600 US-Dollar oder mehr über eine Plattform in einem Kalenderjahr, erhalten Sie eine Informationsrückmeldung (Plattformen haben historisch Formular 1099-MISC für Forscherzahlungen verwendet). Für 2026 ist die Meldeschwelle gestiegen. Gemäß dem One Big Beautiful Bill Act stieg die Schwelle für die Ausstellung von Formularen 1099-NEC und der meisten 1099-MISC-Zahlungen von 600 auf 2.000 US-Dollar für Zahlungen, die nach dem 31. Dezember 2025 geleistet werden, mit jährlichen Inflationsanpassungen ab 2027.
In der Praxis: Wenn Ihre gesamten Auszahlungen 2026 von einer Plattform unter 2.000 US-Dollar bleiben, werden Sie wahrscheinlich keine 1099 von ihnen erhalten. Das macht das Einkommen nicht steuerfrei. Die Meldeschwelle regelt die Papierkrampflicht der Plattform, nicht Ihre Meldepflicht. Die 1.400 US-Dollar, die Sie über drei Schwachstellen mittlerer Schwere verdient haben, sind auch ohne Formular im Briefkasten immer noch steuerpflichtiges Einkommen, und das IRS erhält heutzutage genug Daten von Dritten, sodass „niemand hat es gemeldet" kein Plan ist. Melden Sie alles; führen Sie Ihre eigene Buchhaltung, anstatt auf Formulare zu warten, die Ihnen sagen, was Sie verdient haben.
Nicht-US-Forscher
Wenn Sie außerhalb der USA jagen, dokumentieren die W-8-Formulare Ihren Auslandsstatus, damit die Plattform die korrekte Einbehaltungsbehandlung anwenden kann. Steuerabkommen und Quellenregeln – Zahlungen für Dienstleistungen, die Sie aus Ihrem eigenen Land erbringen, sind im Allgemeinen ausländischer Herkunft – bestimmen, ob überhaupt eine US-Steuer einbehalten wird. Ihr Heimatland wird das Einkommen fast sicher unabhängig davon besteuern, also verfolgen Sie Auszahlungen in Ihrem lokalen Währungsäquivalent zum Zeitpunkt des Erhalts. Dieser Leitfaden konzentriert sich auf die US-Steuerbehandlung; wenn Sie im Ausland sind, bestätigen Sie die Details mit einem lokalen Berater.
Hobby oder Geschäft? Die Frage, die über Ihre Abzüge entscheidet
Die folgenreichste Steuerfrage für einen Bounty-Jäger ist, ob das IRS Ihre Jagd als Geschäft oder als Hobby einstufen würde. Das Einkommen ist in beiden Fällen steuerpflichtig – aber nur ein Geschäft darf seine Ausgaben absetzen.
Wie das IRS die Grenze zieht
Das IRS prüft, ob Sie die Aktivität mit der echten Absicht ausüben, Gewinn zu erzielen, und wägt Faktoren wie diese ab:
- Führen Sie die Aktivität geschäftsmäßig aus – führen Sie Bücher, verfolgen Sie Zeit und Ausgaben, führen Sie getrennte Konten?
- Investieren Sie echte Zeit und Mühe mit dem Ziel, Einkommen zu erzielen?
- Sind Sie für Ihren Lebensunterhalt auf das Einkommen angewiesen, oder ist es nebensächlich?
- Haben Sie Ihre Methoden geändert, um die Rentabilität zu verbessern – Spezialisierung auf besser bezahlte Schwachstellenklassen, Zielen auf Programme mit besseren Belohnungstabellen?
- Verfügen Sie über das Fachwissen, die Ausbildung oder die Studienhistorie von jemandem, der auf Gewinn hinarbeitet?
- Haben Sie in früheren Jahren einen Gewinn erzielt, und können Sie vernünftigerweise zukünftigen Gewinn erwarten?
Ein Jäger, der Einreichungen in einer Tabellenkalkulation verfolgt, sich auf Hochwertziele spezialisiert, in Werkzeuge reinvestiert und stetig steigende Auszahlungen erzielt, sieht wie ein Geschäft aus. Jemand, der zweimal im Jahr zum Spaß an einem Wochenendprogramm herumstochert, sieht wie ein Hobby aus. Die meisten ernsthaften Jäger fallen klar auf die Geschäftsseite – und die IRS-eigene Anleitung stellt fest, dass eine Aktivität, die Jahr für Jahr Nebeneinkommen erzielt und gewinnorientiertes Verhalten zeigt, ein Geschäft ist, auch wenn Sie zusätzlich einen regulären Job haben.
Es gibt auch eine klare Vermutung zu Ihren Gunsten: Wenn Ihre Aktivität in drei der letzten fünf Steuerjahre einen Gewinn zeigt, vermutet das IRS, dass es ein Geschäft ist. Die meisten Bounty-Jäger, deren Kosten im Verhältnis zu Auszahlungen bescheiden sind, überschreiten diese Hürde leicht, sobald sie konstant verdienen.
Warum die Unterscheidung wichtiger ist als je zuvor
Vor 2018 konnten Hobbyisten zumindest Hobbyausgaben bis zur Höhe des Hobbyeinkommens als sonstige Einzelabzüge absetzen. Das Tax Cuts and Jobs Act setzte alle sonstigen Einzelabzüge für 2018 bis 2025 aus – und das One Big Beautiful Bill Act machte diese Aussetzung dauerhaft. Hobbyausgaben sind jetzt nicht absetzbar, Punkt.
Wenn Ihre Jagd also ein Hobby ist, sind Ihre VPS-Abonnements, Burp-Suite-Lizenz, VPN, Schulungskurse und Konferenzreisen nach Ansicht des Steuergesetzes private Ausgaben. Wenn es ein Geschäft ist, sind dieselben Kosten gewöhnliche und notwendige Geschäftsausgaben, die auf Schedule C absetzbar sind. Für einen Jäger, der ein paar tausend Dollar pro Jahr für Werkzeuge und Infrastruktur ausgibt, kann die Einstufung allein die Steuerrechnung um Hunderte von Dollar beeinflussen.
Der Haken: Geschäftsbehandlung bedeutet Selbstständigensteuer
Es gibt kein kostenloses Mittagessen. Geschäftseinkommen, das auf Schedule C gemeldet wird, unterliegt der Selbstständigensteuer – 15,3 % auf 92,35 % des Nettoverdienstes (bis zur Sozialversicherungs-Bemessungsgrundlage, plus der 2,9-%-Medicare-Anteil darüber hinaus) – sobald Ihr Nettoverdienst aus selbstständiger Arbeit für das Jahr 400 US-Dollar erreicht. Hobbyeinkommen entgeht der Selbstständigensteuer vollständig; Sie zahlen nur Einkommensteuer darauf.
Machen Sie die Rechnung für Ihre Situation, anstatt anzunehmen, dass ein Ergebnis besser ist. Ein Jäger mit 8.000 US-Dollar Auszahlungen und 1.500 US-Dollar absetzbaren Ausgaben als Geschäft zahlt Einkommensteuer plus Selbstständigensteuer auf 6.500 US-Dollar Nettogewinn. Derselbe Jäger als Hobbyist zahlt Einkommensteuer auf die vollen 8.000 US-Dollar ohne Abzüge und ohne Selbstständigensteuer. Welches gewinnt, hängt von Ihrem Grenzeinkommensteuersatz ab – aber beachten Sie, dass Sie nicht frei wählen können. Die Fakten entscheiden über die Einstufung; Ihre Aufgabe ist es, diejenige zu dokumentieren, die die Fakten stützen. Die absichtliche Falscheinstufung von Geschäftseinkommen als Hobbyeinkommen, um die Selbstständigensteuer zu umgehen, ist die Art von Position, die in dem Moment scheitert, in dem jemand nach Ihren Büchern fragt.
Abzüge, die sich als Geschäftsjäger lohnen zu verfolgen
Wenn Ihre Jagd als Geschäft qualifiziert, bewahren Sie Belege für alles auf, was wirklich mit dem Verdienst von Bounty-Einkommen verbunden ist:
- Infrastruktur: VPS- und Cloud-Instanzen für Scans und Tests, Domains für Callback-Server, VPN-Abonnements.
- Werkzeuge: Kommerzielle Sicherheitswerkzeuge und Lizenzen, Wortlisten und Datensätze, API-Guthaben für Reconnaissance-Dienste.
- Lernen: Schulungskurse, Zertifizierungen, Bücher und Konferenztickets, die Ihre Jagdfähigkeiten erhalten oder verbessern.
- Homeoffice: Wenn Sie einen Teil Ihres Zuhauses regelmäßig und ausschließlich für Jagdarbeit nutzen, ist der pauschale Abzug von 5 US-Dollar pro Quadratfuß (bis zu 300 Quadratfuß) leicht verdientes Geld, das die meisten Jäger liegen lassen.
- Gebühren: Zahlungsplattform-Gebühren und Währungsumrechnungsspannen, die die Bruttoauszahlungen schmälern – die Differenz zwischen dem Bounty-Betrag und dem, was tatsächlich ankommt, ist eine echte Kosten.
Die wichtigste Disziplin ist Trennung. Führen Sie Bounty-Einkommen und -Ausgaben über ein dediziertes Konto oder zumindest ein dediziertes Verfolgungssystem und protokollieren Sie jede Auszahlung mit Datum, Programm, Plattform, Berichts-ID und Brutto-vs.-Netto-Betrag. Dieses Protokoll ist das, was einen Schuhkarton voller PayPal-Benachrichtigungen in geschäftsmäßige Bücher verwandelt – was, zirkulär, selbst ein Beweis dafür ist, dass Sie ein Geschäft betreiben.
Vierteljährliche Steuervorauszahlungen: Die Rechnung, die niemand einbehält
Da kein Arbeitgeber Steuern von Bounty-Auszahlungen einbehält, müssen Geschäftsjäger im Allgemeinen vierteljährliche Steuervorauszahlungen (Formular 1040-ES) leisten, sobald sie erwarten, für das Jahr 1.000 US-Dollar oder mehr zu schulden. Die Fristen – ungefähr Mitte April, Mitte Juni, Mitte September und Mitte Januar – überraschen Erstverdiener, die annahmen, Steuern seien ein April-Problem. Verpassen Sie sie, und Sie können zusätzlich zur Steuer selbst eine Unterzahlungsstrafe schulden.
Zwei sichere Häfen schützen Sie: Zahlen Sie mindestens 90 % der Steuer des laufenden Jahres oder mindestens 100 % der Gesamtsteuer des letzten Jahres (110 %, wenn Ihr bereinigtes Bruttoeinkommen 150.000 US-Dollar übersteigt), verteilt auf die vier Quartale. Wenn Sie auch einen W-2-Job haben, ist der einfachste Schritt oft, die Lohnsteuereinbehaltung zu erhöhen, um das Bounty-Einkommen abzudecken, anstatt separate Quartalszahlungen zu leisten – einbehaltene Steuern gelten als gleichmäßig über das Jahr verteilt gezahlt, unabhängig davon, wann sie tatsächlich einbehalten wurden, was sie zum verzeihendsten Weg macht, innerhalb eines sicheren Hafens zu bleiben.
Häufige Fehler, die Jäger echtes Geld kosten
Auszahlungen unter der 1099-Schwelle ignorieren. Der häufigste Fehler im Bounty-Land. Kein Formular bedeutet kein Einkommen. Das IRS gleicht ab, was es kann, und prüft, was es muss; nicht gemeldetes Einkommen, das später entdeckt wird, bringt Steuer plus Strafen plus Zinsen.
Ausgaben als Hobbyist absetzen. Steuererklärungen nach 2018, die Hobbyausgaben beanspruchen, sind schlicht falsch, und die dauerhafte Aussetzung bedeutet, dass das nie zurückkommt. Wenn Ihre Werkzeugausgaben erheblich sind, ist das ein Argument dafür, Ihre Jagd als echtes Geschäft zu führen – mit Büchern als Beweis –, nicht dafür, trotzdem abzusetzen.
Selbstständigensteuer im Budget vergessen. Erstjährige Geschäftsjäger legen routinemäßig 22 % für Einkommensteuer beiseite und vergessen die zusätzlichen ~15 % für Sozialversicherung und Medicare. Eine gute Faustregel: Legen Sie 25–30 % jeder Nettoauszahlung am Tag des Erhalts auf einem separaten Konto beiseite, bevor Sie etwas davon ausgeben.
Persönliche und Jagdfinanzen vermischen. Die Bezahlung von Scan-Infrastruktur mit derselben Karte wie Lebensmittel macht saubere Bücher unmöglich und schwächt Ihre Beweise für die Geschäftseinstufung. Ein dediziertes Konto kostet nichts und zahlt sich zur Steuerzeit aus.
Swag und nicht-monetäre Belohnungen als kostenlos behandeln. Konferenzpässe, Hardware und Geschenkkarten, die über Programme vergeben werden, sind Einkommen zum fairen Marktwert, genau wie Bargeld. Protokollieren Sie sie bei Erhalt.
Halten Sie Ihre Bounty-Bücher von Tag eins prüfungsbereit
Ihre Auszahlungshistorie ist über Plattformen, PayPal-Benachrichtigungen und Bankeinzahlungen verstreut – genau das ist der Grund, warum Jäger Einkommen untermelden und zu viel Steuer auf vergessene Ausgaben zahlen. Klare Finanzunterlagen zu führen, ist das, was eine unterhaltsame Nebenaktivität zur Steuerzeit in ein verteidigungsfähiges Geschäft verwandelt. Beancount.io bietet Klartext-Buchhaltung, die Ihnen vollständige Transparenz und Kontrolle über Ihre Finanzdaten gibt – keine Blackboxes, keine Herstellerbindung. Starten Sie kostenlos und sehen Sie, warum Entwickler und Finanzprofis auf Klartext-Buchhaltung umsteigen.
