Viele in diesem Beruf suchen auch außerhalb der Arbeitszeit nach Schwachstellen – aus Interesse, zur Übung, gelegentlich für Prämien. Sobald daraus Geld oder eine öffentliche Nennung wird, ist es eine Nebentätigkeit, und dann gelten Regeln. Dieser Text beschreibt sie. Er ersetzt im Einzelfall keine Rechtsberatung, und die Steuerfragen gehören ohnehin in fachliche Hände.
Der Grundsatz und seine Grenzen
Nebentätigkeit ist grundsätzlich erlaubt: Die Berufsfreiheit schützt auch die Tätigkeit außerhalb des Hauptberufs. Der Arbeitgeber kann sie nicht pauschal verbieten – er kann aber Verfahren vorsehen und in bestimmten Fällen widersprechen.
Anzeigeklauseln sind verbreitet und unproblematisch: Sie melden die Tätigkeit, der Arbeitgeber nimmt sie zur Kenntnis. Genehmigungsklauseln sind ebenfalls üblich; die Genehmigung darf aber nicht willkürlich verweigert werden, sondern nur, wenn berechtigte betriebliche Interessen entgegenstehen. Solche Interessen sind vor allem drei:
Wettbewerb. Während des Arbeitsverhältnisses darf man dem Arbeitgeber keine Konkurrenz machen. Für eine Sicherheitsberatung heißt das: Prüfungen für Kunden des eigenen Arbeitgebers oder für dessen Wettbewerber sind heikel, auch wenn sie über eine Plattform laufen.
Arbeitszeit. Arbeitszeiten aus mehreren Beschäftigungen werden nach dem Arbeitszeitgesetz zusammengerechnet. Wer tagsüber acht Stunden arbeitet und nachts weitere Stunden für Prämien sucht, kann damit die Höchstarbeitszeit und die Ruhezeit überschreiten – das ist kein theoretisches Problem, wenn Bereitschaft dazukommt, siehe Rufbereitschaft und Arbeitszeitrecht.
Leistungsfähigkeit. Eine Nebentätigkeit, die dazu führt, dass die Hauptleistung leidet, darf untersagt werden.
Dazu kommt der Urlaub: Nach dem Bundesurlaubsgesetz darf der Arbeitnehmer während des Urlaubs keine dem Urlaubszweck widersprechende Erwerbstätigkeit leisten. Eine Urlaubswoche vollständig mit Schwachstellensuche gegen Prämien zu füllen, passt dazu nicht.
Was Sie melden sollten, und wie
Lesen Sie zuerst Ihren Arbeitsvertrag: Steht dort eine Anzeige- oder Genehmigungspflicht, gilt sie. Melden Sie dann sachlich und knapp: Art der Tätigkeit, Umfang in Stunden je Woche, Auftraggeber oder Plattform, und die Zusicherung, dass keine Betriebsmittel und keine Arbeitszeit verwendet werden und dass kein Kunde oder Wettbewerber des Arbeitgebers betroffen ist.
Diese Meldung ist in Ihrem Interesse. Sie verhindert den Fall, der in diesem Feld am häufigsten zu Konflikten führt: dass der Arbeitgeber von einer Tätigkeit aus einer öffentlichen Nennung erfährt, in einem Fachvortrag oder einer Hall of Fame – und daraus schließt, Sie hätten etwas verborgen.
Interessenkonflikte, die man sehen muss
Drei Konstellationen sind in diesem Beruf besonders heikel.
Der eigene Arbeitgeber. Suchen Sie niemals privat nach Schwachstellen in Systemen Ihres Arbeitgebers, auch nicht „zum Beweis". Ohne Auftrag ist das nicht nur ein arbeitsrechtlicher, sondern möglicherweise ein strafrechtlicher Vorgang – siehe Pentest und Strafrecht.
Kunden und Lieferanten des Arbeitgebers. Auch wenn ein Programm öffentlich ist: Ein Fund bei einem Kunden Ihres Arbeitgebers bringt Sie und Ihren Arbeitgeber in eine unmögliche Lage. Führen Sie eine Ausschlussliste, und halten Sie sie ein.
Wissen aus dem Beruf. Was Sie über ein Produkt oder eine Architektur im Dienst erfahren haben, dürfen Sie privat nicht verwenden. Geschäftsgeheimnisse sind geschützt, und die Grenze zwischen allgemeinem Fachwissen und geschütztem Wissen verläuft nicht dort, wo es bequem wäre.
Betriebsmittel und Daten
Keine Dienstgeräte, keine Dienstzugänge, keine Lizenzen des Arbeitgebers, kein Dienstanschluss, keine Arbeitszeit. Das ist die einfachste und die wichtigste Regel, weil ihre Verletzung leicht nachweisbar ist.
Ebenso wichtig: Trennen Sie die Daten. Funde, Notizen und Berichte aus privater Tätigkeit gehören nicht auf dienstliche Systeme und nicht in dienstliche Postfächer. Umgekehrt gilt dasselbe.
Die anderen Nebentätigkeiten dieses Feldes
Bug Bounty ist nur der bekannteste Fall. Vier weitere kommen häufig vor, und für sie gelten dieselben Regeln mit eigenen Besonderheiten:
Lehrtätigkeit. Kurse an einer Hochschule, Schulungen bei einem Bildungsträger, Prüfertätigkeit bei einer Kammer. Arbeitgeber stimmen meist zu, weil es ihr Ansehen hebt; achten Sie darauf, dass Unterlagen, die Sie im Dienst erstellt haben, dem Arbeitgeber gehören können.
Fachvorträge und Veröffentlichungen. Unproblematisch, solange kein vertrauliches Wissen einfließt. Lassen Sie Beiträge, die Ihren Arbeitgeber erkennbar betreffen, vorher freigeben – schriftlich.
Beratung auf eigene Rechnung. Hier ist das Wettbewerbsverbot der entscheidende Punkt. Wer bei einem Beratungshaus angestellt ist, wird dafür in aller Regel keine Genehmigung bekommen.
Ehrenamtliche Tätigkeit, etwa als Informationssicherheitsbeauftragter in einem Verein. Kein Wettbewerb und meist gern gesehen – aber es ist eine Rolle mit Verantwortung, und der Zeitaufwand wird regelmäßig unterschätzt; siehe Informationssicherheitsbeauftragter werden.
Die steuerliche Seite
Prämien sind Einkünfte und zu erklären. Ob sie als Einkünfte aus selbständiger Arbeit oder aus einem Gewerbebetrieb zu behandeln sind, hängt vom Einzelfall ab; bei regelmäßiger, auf Dauer angelegter Tätigkeit mit Gewinnabsicht liegt eine unternehmerische Tätigkeit nahe. Dann kommen weitere Pflichten hinzu: Anmeldung beim Finanzamt, gegebenenfalls Gewerbeanmeldung, Aufzeichnungen, und umsatzsteuerlich die Frage nach der Kleinunternehmerregelung. Bei Plattformen im Ausland stellt sich zusätzlich die Frage, wo die Leistung steuerlich erbracht wird und wer die Umsatzsteuer schuldet.
Das ist mehr, als sich nebenbei klären lässt. Die verlässliche Auskunft geben Steuerberater oder – bei einfachen Fällen mit Einkünften aus nichtselbständiger Arbeit – ein Lohnsteuerhilfeverein. Sammeln Sie von Anfang an Belege: Abrechnungen der Plattform, Zeitraum, Kurse bei Zahlungen in anderer Währung.
Ein Hinweis zur Sozialversicherung: Eine selbständige Nebentätigkeit neben einer Hauptbeschäftigung kann Auswirkungen auf die Kranken- und Rentenversicherung haben, wenn sie einen bestimmten Umfang erreicht. Fragen Sie bei Ihrer Krankenkasse nach, bevor die Tätigkeit wächst.
Wenn der Arbeitgeber die Genehmigung verweigert
Das kommt vor, und es ist nicht immer unberechtigt. Bevor Sie widersprechen, klären Sie den Grund: Geht es um Wettbewerb, um Arbeitszeit, um Vertraulichkeit, oder um ein allgemeines Unbehagen?
Bei den ersten drei Gründen lässt sich meist eine Lösung finden – eine Ausschlussliste von Zielen, eine Begrenzung der Stunden, eine Vereinbarung über Veröffentlichungen. Beim vierten lohnt ein sachliches Gespräch darüber, was Sie tatsächlich tun: Viele Vorbehalte beruhen auf der Vorstellung, es handle sich um eine rechtliche Grauzone, während Programme mit veröffentlichten Regeln das Gegenteil sind – die Regeln sind die Erlaubnis.
Wenn es dabei bleibt: Üben Sie im eigenen Labor und in Wettbewerben weiter, ohne Prämien. Der Nachweiswert für die nächste Bewerbung bleibt fast derselbe, und eine Auseinandersetzung mit dem Arbeitgeber über eine Nebentätigkeit ist selten das Geld wert.
Der Übergang in die Selbständigkeit
Manche machen aus der Nebentätigkeit einen Beruf. Das ist in diesem Feld möglich, und es lohnt sich, die Rechnung vorher aufzustellen.
Die Auftragslage. Prämien aus Programmen sind kein verlässliches Einkommen: Der Ertrag schwankt, und er hängt von der Zahl und Qualität der Programme ab. Wer selbständig arbeitet, lebt in der Regel von Prüfaufträgen und nicht von Prämien – und Prüfaufträge kommen über Beziehungen, nicht über Plattformen.
Die Kalkulation. Ein Tagessatz muss Angebotsarbeit, Fortbildung, Urlaub, Krankheit, Versicherung, Vorsorge und leere Wochen tragen. Wer den Bruttomonatslohn durch zwanzig teilt, rechnet sich arm.
Die Absicherung. Kranken- und Rentenversicherung, eine Berufs- oder Betriebshaftpflicht für die Prüftätigkeit, und Verträge, die Auftrag und Haftung abgrenzen – siehe Pentest und Strafrecht.
Der Weg dorthin. Üblich ist der Umweg über eine Anstellung bei einem Dienstleister: Dort lernen Sie Angebote, Berichte und Kundengespräche auf Kosten des Arbeitgebers. Wer direkt aus einer Betriebsstelle in die Selbständigkeit geht, lernt beides auf eigene Kosten.
Und der nüchterne Punkt: Der Markt für Prüfstellen in Deutschland ist klein – die Größenordnung steht unter Ethical Hacker als Suchwort. Selbständig lebt es sich davon, aber nicht nebenbei.
Was Sie gewinnen
Bei all den Regeln sollte der Nutzen nicht untergehen: Privates Üben und gemeldete Funde sind in diesem Feld belegbare Nachweise, und sie sind für Bewerbungen wertvoll – siehe CTF und Bug Bounty und Heimlabor als Nachweis. Viele Arbeitgeber sehen das ausdrücklich gern, weil ihre Leute dabei fachlich wachsen.
Manche gehen weiter und erlauben die Teilnahme an Programmen ausdrücklich, teils in Arbeitszeit, mit einer Regelung über die Prämien. Das ist eine Frage, die man beim Einstieg stellen kann und die zugleich etwas über das Haus verrät – siehe Vorstellungsgespräch. Wenn Sie die Regelung aushandeln, halten Sie zwei Punkte fest: dass die Tätigkeit genehmigt ist, und wem die Prämie zusteht.
Und wenn Sie feststellen, dass Ihnen diese Arbeit mehr liegt als Ihr Hauptberuf: Der Markt für Prüfstellen ist klein, aber er existiert – die Größenordnung steht unter Ethical Hacker als Suchwort, und die offenen Stellen finden Sie bei den Stellen für Penetrationstester und in den übrigen Stellenangeboten.
Wenden Sie das direkt an: Im Stellenmarkt stehen Anzeigen aus ganz Deutschland, und zu jedem Beruf finden Sie die Aufgaben und die üblichen Gehälter daneben.