Je vond de kwetsbaarheid om 1 uur 's nachts, schreef het rapport, en drie weken later belandt een viercijferige uitbetaling op je rekening voor werk dat je in je pyjama hebt gedaan. Het voelt als gevonden geld — totdat je beseft dat de Belastingdienst het als gewoon inkomen ziet, en het platform dat je betaalde hen er mogelijk al over heeft geïnformeerd.
Bug bounty-jagen is uitgegroeid tot serieus geld. HackerOne betaalde $81 miljoen uit aan onderzoekers in een periode van twaalf maanden, een stijging van 13% jaar-op-jaar, waarbij het gemiddelde actieve programma ongeveer $42.000 per jaar uitbetaalt. De meeste individuele uitbetalingen zijn bescheiden — de mediane openbaar gemaakte bounty ligt rond de $500 — maar toponderzoekers verdienen nu zes en zeven cijfers per jaar. Of je nu één uitbetaling van $300 hebt ontvangen of een gestage stroom van kritieke kwetsbaarheden, hier is hoe je de belastingkant correct aanpakt: wat de platforms rapporteren, welke formulieren je kunt verwachten, wanneer je zelfstandigenbelasting verschuldigd bent, en hoe het onderscheid tussen hobby en bedrijf bepaalt of je toolingkosten aftrekbaar zijn.
Elke Dollar aan Bounty-inkomen is Belastbaar
Begin met de regel die eerstejaarsjagers het meest verrast: bounty-uitbetalingen zijn vanaf de eerste dollar gewoon inkomen. Er is geen minimis-uitzondering voor "kleine" uitbetalingen, geen "het was maar een hobby dus het telt niet" uitsluiting, en geen speciale behandeling zoals vermogenswinst omdat het werk als een spel voelde. Als een uitbetaling op je betaalrekening, PayPal of crypto-wallet is beland, hoort het op je belastingaangifte.
Dit zorgt voor problemen omdat bounty-inkomen aankomt zonder de vertrouwde mechanismen van een salaris — geen inhouding, geen W-2, geen werkgever die je eraan herinnert dat belastingen bestaan. De platforms betalen je bruto en laten de belastingberekening volledig aan jou over. Behandel elke uitbetalingsmelding als een loonstrook waar je zelf voor moet afrekenen, en je zult in april nooit verrast worden.
Wat HackerOne en Bugcrowd daadwerkelijk rapporteren
De belastingformulieren die je invult voordat je betaald kunt worden
Beide grote platforms verzamelen belastingdocumentatie van je als onderdeel van de betaalinstallatie, voordat geld kan stromen. Amerikaanse onderzoekers dienen Formulier W-9 in (naam, adres, belastingidentificatienummer); onderzoekers buiten de VS dienen het juiste W-8-formulier in om hun buitenlandse status te documenteren. Bugcrowd's documentatie voor onderzoekersbetalingen behandelt afzonderlijke W-9- en W-8-indieningstrajecten voor Amerikaanse personen, niet-Amerikaanse individuen en niet-Amerikaanse entiteiten. Als je deze stap overslaat, blijven je uitbetalingen in het ongewisse — de platforms geven geen geld vrij zonder belastingformulier in het dossier.
Neem de W-9 serieus, zelfs als informele jager: een ontbrekend of onjuist belastingidentificatienummer kan 24% back-upinhouding op je uitbetalingen triggeren, wat betekent dat het platform bijna een kwart van elke bounty inhoudt en naar de Belastingdienst stuurt. Je verrekent dit uiteindelijk op je aangifte, maar het is een renteloze lening aan de Schatkist die je nooit nodig had.
De 1099-drempel is in 2026 gewijzigd
Jarenlang was de regel simpel: verdien $600 of meer via een platform in een kalenderjaar en je ontvangt een informatieretour (platforms gebruiken historisch Formulier 1099-MISC voor onderzoekersuitbetalingen). Voor 2026 is de meldingsdrempel verhoogd. Onder de One Big Beautiful Bill Act is de drempel voor het afgeven van Formulieren 1099-NEC en de meeste 1099-MISC-betalingen gestegen van $600 naar $2.000 voor betalingen na 31 december 2025, met jaarlijkse inflatiecorrecties vanaf 2027.
In de praktijk: als je totale uitbetalingen in 2026 van één platform onder de $2.000 blijven, ontvang je waarschijnlijk geen 1099 van hen. Dat maakt het inkomen niet belastingvrij. De meldingsdrempel regelt de administratieve verplichting van het platform, niet jouw verplichting om te rapporteren. De $1.400 die je verdiende met drie middelzware meldingen is nog steeds belastbaar inkomen, zelfs zonder formulier in de bus, en de Belastingdienst ontvangt tegenwoordig genoeg gegevens van derden dat "niemand heeft het gemeld" geen plan is. Rapporteer alles; houd je eigen administratie bij in plaats van te wachten op formulieren om te vertellen wat je hebt verdiend.
Niet-Amerikaanse onderzoekers
Als je van buiten de Verenigde Staten jaagt, documenteren de W-8-formulieren je buitenlandse status zodat het platform de juiste inhoudingsbehandeling kan toepassen. Belastingverdragen en regels voor bron van inkomen — betalingen voor diensten die je vanuit je eigen land verricht zijn over het algemeen buitenlandse bron — bepalen of er überhaupt Amerikaanse inhouding van toepassing is. Je thuisland zal het inkomen vrijwel zeker toch belasten, dus houd uitbetalingen bij in je lokale valuta-equivalent op het moment van ontvangst. Deze gids richt zich op Amerikaanse belastingbehandeling; als je in het buitenland bent, bevestig de details met een lokale adviseur.
Hobby of Bedrijf? De Vraag Die je Aftrekposten Bepaalt
De meest ingrijpende belastingvraag voor een bounty-jager is of de Belastingdienst je jagen als bedrijf of als hobby zou classificeren. Het inkomen is in beide gevallen belastbaar — maar alleen een bedrijf mag zijn uitgaven aftrekken.
Hoe de Belastingdienst de grens trekt
De Belastingdienst kijkt of je de activiteit uitvoert met een oprechte intentie om winst te maken, en weegt factoren zoals:
- Voer je de activiteit op zakelijke wijze uit — boekhouding bijhouden, tijd en uitgaven registreren, aparte rekeningen aanhouden?
- Investeer je echte tijd en moeite met het doel inkomen te verdienen?
- Ben je afhankelijk van het inkomen voor je levensonderhoud, of is het bijkomstig?
- Heb je je methoden aangepast om winstgevendheid te verbeteren — specialiseren in beter betalende bug-klassen, richten op programma's met betere beloningsschema's?
- Heb je de expertise, opleiding of studiegeschiedenis van iemand die naar winst streeft?
- Heb je in voorgaande jaren winst gemaakt, en kun je redelijkerwijs toekomstige winst verwachten?
Een jager die inzendingen bijhoudt in een spreadsheet, zich specialiseert in hoogwaardige doelwitten, investeert in tools en gestaag stijgende uitbetalingen verdient, ziet eruit als een bedrijf. Iemand die twee keer per jaar voor de lol op een weekendprogramma prikt, ziet eruit als een hobby. De meeste serieuze jagers vallen duidelijk aan de bedrijfskant — en de eigen richtlijnen van de Belastingdienst merken op dat een activiteit die jaar na jaar bijverdienste oplevert met winstzoekend gedrag een bedrijf is, zelfs als je ook een baan hebt.
Er is ook een heldere vermoedensregel in jouw voordeel: als je activiteit in drie van de laatste vijf belastingjaren winst laat zien, vermoedt de Belastingdienst dat het een bedrijf is. De meeste bounty-jagers, wiens kosten bescheiden zijn ten opzichte van uitbetalingen, halen die lat gemakkelijk zodra ze consistent verdienen.
Waarom het onderscheid belangrijker is dan ooit
Vóór 2018 konden hobbyisten op zijn minst hobby-uitgaven aftrekken tot het bedrag van hobby-inkomen als diverse gespecificeerde aftrekposten. De Tax Cuts and Jobs Act schortte alle diverse gespecificeerde aftrekposten op voor 2018 tot en met 2025 — en de One Big Beautiful Bill Act maakte die opschorting permanent. Hobby-uitgaven zijn nu niet aftrekbaar, punt uit.
Dus als je jagen een hobby is, zijn je VPS-abonnementen, Burp Suite-licentie, VPN, trainingscursussen en conferentiereizen persoonlijke uitgaven wat de belastingwet betreft. Als het een bedrijf is, zijn diezelfde kosten gewone en noodzakelijke zakelijke uitgaven, aftrekbaar op Schema C. Voor een jager die een paar duizend dollar per jaar aan tools en infrastructuur uitgeeft, kan de classificatie alleen al de belastingrekening met honderden dollars laten schommelen.
De keerzijde: bedrijfsbehandeling betekent zelfstandigenbelasting
Er is geen gratis lunch. Bedrijfsinkomen gerapporteerd op Schema C is onderworpen aan zelfstandigenbelasting — 15,3% over 92,35% van de netto-inkomsten (tot aan de Social Security-loonbasis, plus het 2,9% Medicare-deel daarboven) — zodra je netto-inkomsten uit zelfstandigheid $400 voor het jaar bereiken. Hobby-inkomen ontwijkt zelfstandigenbelasting volledig; je betaalt er alleen inkomstenbelasting over.
Doe de wiskunde voor jouw situatie in plaats van aan te nemen dat één uitkomst beter is. Een jager met $8.000 aan uitbetalingen en $1.500 aan aftrekbare uitgaven als bedrijf betaalt inkomstenbelasting plus zelfstandigenbelasting over $6.500 nettowinst. Dezelfde jager als hobbyist betaalt inkomstenbelasting over de volledige $8.000 zonder aftrekposten en zonder zelfstandigenbelasting. Wat wint, hangt af van je marginale inkomstenbelastingtarief — maar merk op dat je niet vrij kunt kiezen. De feiten bepalen de classificatie; jouw taak is om te documenteren welke de feiten ondersteunen. Het opzettelijk verkeerd classificeren van bedrijfsinkomen als hobby-inkomen om zelfstandigenbelasting te ontwijken, is de soort positie die faalt zodra iemand om je boeken vraagt.
Aftrekposten Die de Moeite Waard Zijn om Bij te Houden als Zakelijke Jager
Als je jagen kwalificeert als bedrijf, bewaar dan bonnetjes voor alles wat echt verbonden is met het verdienen van bounty-inkomen:
- Infrastructuur: VPS- en cloudinstanties voor scannen en testen, domeinen voor callback-servers, VPN-abonnementen.
- Tools: commerciële beveiligingstools en licenties, woordenlijsten en datasets, API-tegoeden voor verkenningdiensten.
- Leren: trainingscursussen, certificeringen, boeken en conferentiekaartjes die je jaagvaardigheden onderhouden of verbeteren.
- Thuiswerkplek: als je een deel van je huis regelmatig en uitsluitend gebruikt voor jaagwerk, is de vereenvoudigde aftrek van $5 per vierkante voet (tot 300 vierkante voet) gemakkelijk geld dat de meeste jagers laten liggen.
- Kosten: betalingsplatformkosten en wisselkoersverschillen die in de brutobedragen snijden — het verschil tussen het bountybedrag en wat er daadwerkelijk binnenkomt is een echte kost.
De belangrijkste discipline is scheiding. Voer bounty-inkomen en -uitgaven via een toegewijde rekening of op zijn minst een toegewijd volgsysteem, en log elke uitbetaling met datum, programma, platform, rapport-ID en bruto-versus-netto bedrag. Dat logboek is wat een schoenendoos vol PayPal-meldingen verandert in zakelijke boeken — wat, cirkelvormig, zelf bewijs is dat je een bedrijf runt.
Kwartaalvooruitbetalingen: De Rekening Die Niemand Inhoudt
Omdat geen enkele werkgever inhoudt op bounty-uitbetalingen, moeten zakelijke jagers over het algemeen kwartaalvooruitbetalingen doen (Formulier 1040-ES) zodra ze verwachten $1.000 of meer voor het jaar verschuldigd te zijn. De deadlines — ongeveer half april, half juni, half september en half januari — verrassen eerstejaarsverdieners die aannamen dat belastingen een aprilprobleem waren. Mis ze en je kunt een onderbetalingsboete bovenop de belasting zelf verschuldigd zijn.
Twee safe harbors beschermen je: betaal ten minste 90% van de belasting van het huidige jaar, of ten minste 100% van de totale belasting van vorig jaar (110% als je aangepast bruto-inkomen $150.000 overschrijdt), verdeeld over de vier kwartalen. Als je ook een baan met W-2 hebt, is de eenvoudigste zet vaak om de looninhouding te verhogen genoeg om het bounty-inkomen te dekken in plaats van afzonderlijke kwartaalaangiften te doen — inhouding wordt behandeld als gelijkmatig betaald gedurende het jaar, ongeacht wanneer het daadwerkelijk wordt ingehouden, wat het de meest vergevingsgezinde manier maakt om binnen een safe harbor te blijven.
Veelgemaakte Fouten Die Jagers Echt Geld Kosten
Uitbetalingen onder de 1099-drempel negeren. De meest voorkomende fout in bounty-land. Geen formulier betekent geen inkomen. De Belastingdienst matcht wat het kan en controleert wat het moet; ongerapporteerd inkomen dat later wordt ontdekt, brengt belasting plus boetes plus rente met zich mee.
Uitgaven aftrekken als hobbyist. Retourzendingen na 2018 die hobby-uitgaven claimen zijn simpelweg fout, en de permanente opschorting betekent dat dit nooit terugkomt. Als je tooling-uitgaven aanzienlijk zijn, is dat een argument om je jagen als een echt bedrijf te runnen — met boeken om het te bewijzen — niet om toch af te trekken.
Zelfstandigenbelasting vergeten in het budget. Eerstejaars zakelijke jagers zetten routinematig 22% opzij voor inkomstenbelasting en vergeten de extra ~15% voor Social Security en Medicare. Een goede vuistregel: zet 25–30% van elke netto-uitbetaling opzij op de dag dat het aankomt, op een aparte rekening, voordat je er iets van uitgeeft.
Persoonlijke en jachtfinanciën mengen. Betaal je voor scaninfrastructuur met dezelfde kaart als boodschappen, dan maak je schone boeken onmogelijk en verzwak je je bewijs voor bedrijfsclassificatie. Eén toegewijde rekening kost niets en betaalt zichzelf terug op belastingtijd.
Swag en niet-contante beloningen als gratis behandelen. Conferentiepassen, hardware en cadeaubonnen die via programma's worden toegekend, zijn inkomen tegen reële marktwaarde, net als contant geld. Log ze bij ontvangst.
Houd je Bounty-boeken Vanaf Dag één Audit-klaar
Je uitbetalingsgeschiedenis is verspreid over platforms, PayPal-meldingen en bankstortingen — wat precies is waarom jagers inkomen onderrapporteren en te veel belasting betalen over uitgaven die ze vergaten. Het bijhouden van duidelijke financiële gegevens is wat een leuke bijactiviteit verandert in een verdedigbaar bedrijf op belastingtijd. Beancount.io biedt boekhouding in platte tekst die je volledige transparantie en controle over je financiële gegevens geeft — geen black boxes, geen leveranciersopsluiting. Start gratis en zie waarom ontwikkelaars en financiële professionals overstappen op boekhouding in platte tekst.
