Bug-Bounty-Rekord: Microsoft verteilt 20 Millionen US-Dollar an IT-Forscher

Ein neuer Höchststand bei Sicherheitsprämien

Microsoft hat im Zeitraum vom 1. Juli 2025 bis zum 30. Juni 2026 eine Rekordsumme im Rahmen seines Bug-Bounty-Programms ausgezahlt. Insgesamt flossen 20 Millionen US-Dollar an 562 Sicherheitsforscher aus 64 verschiedenen Ländern. Damit übertrifft der Konzern das Vorjahresergebnis von 17 Millionen US-Dollar deutlich. Dennoch zeigt die Statistik eine ambivalente Entwicklung für die beteiligte Community.

Rückgang der durchschnittlichen Vergütung

Obwohl die Gesamtsumme der Prämien stieg, sank die durchschnittliche Auszahlung pro Forscher spürbar. Während im Vorjahreszeitraum noch 344 Experten im Durchschnitt rund 49.400 US-Dollar erhielten, fiel dieser Wert im aktuellen Berichtszeitraum auf etwa 35.600 US-Dollar. Dies entspricht einem Rückgang von rund 28 Prozent. Die höchste Einzelprämie für eine einzige Schwachstelle belief sich dabei auf 200.000 US-Dollar.

Einfluss von KI auf die Sicherheitsforschung

Der Anstieg der gemeldeten Schwachstellen wird maßgeblich auf den verstärkten Einsatz von Künstlicher Intelligenz zurückgeführt. Die Technologie ermöglicht es Forschern, Sicherheitslücken in einem deutlich höheren Tempo zu identifizieren. Laut Microsoft führte dies in der zweiten Jahreshälfte zu einem rapiden Anstieg des Einreichungsvolumens.

Die Branche reagiert auf diese Entwicklung mit einer veränderten Vergütungsstruktur. Bei vielen Projekten wurden die Prämien pro Meldung gekürzt oder in einigen Fällen sogar vollständig gestrichen. Dies deutet auf eine strategische Anpassung der Unternehmen hin, um der Flut an automatisiert generierten Funden entgegenzuwirken.

Strategische Erweiterungen und Wettbewerbe

Ein wesentlicher Treiber für die hohen Auszahlungen war der Hackerwettbewerb „Zero Day Quest“, der Anfang 2026 stattfand. Allein hier wurden 2,3 Millionen US-Dollar für knapp 700 entdeckte Sicherheitslücken ausgeschüttet. Der Fokus der Teilnehmer lag dabei primär auf den Cloud- und KI-Plattformen des Unternehmens.

Zudem hat Microsoft Ende 2025 den Rahmen seines Programms erweitert. Sicherheitslücken in Open-Source-Projekten und Drittanbietersoftware, die in direktem Zusammenhang mit Microsoft-Diensten stehen, sind nun ebenfalls prämienberechtigt. In diesem neuen Segment wurden bereits 300 Meldungen verzeichnet, die mit insgesamt 800.000 US-Dollar honoriert wurden.

Kontext und Ausblick

Die Entwicklung verdeutlicht, wie stark die Sicherheitslandschaft durch den Einsatz von KI-Tools transformiert wird. Während die Quantität der Funde zunimmt, stehen Unternehmen vor der Herausforderung, die Qualität der Meldungen zu bewerten und die Kosten für Bug-Bounty-Programme effizient zu steuern. Für die Zukunft ist zu erwarten, dass die Kriterien für Prämien weiter verfeinert werden, um den Fokus auf kritische Sicherheitslücken zu lenken, anstatt eine reine Masse an Meldungen zu incentivieren.