Pwnie Award: Microsoft gewinnt Schampreis für angedrohte Strafverfolgung

Ein zweifelhafter Preis für Microsoft

Im Rahmen der renommierten Hackerkonferenz Defcon wurde Microsoft mit einem Pwnie Award ausgezeichnet. Der Konzern erhielt den sogenannten Schampreis in der Kategorie „Lamest Vendor Response“. Diese Auszeichnung wird traditionell für besonders unglückliche oder fragwürdige Reaktionen von Unternehmen auf Sicherheitsvorfälle vergeben. Dass Microsoft den Preis nicht persönlich entgegennahm, unterstreicht die angespannte Atmosphäre rund um den Vorfall.

Der Konflikt mit Chaotic Eclipse

Auslöser für die Vergabe war der Umgang des Unternehmens mit dem Sicherheitsforscher Chaotic Eclipse, der auch unter dem Namen Nightmare Eclipse bekannt ist. Seit April 2026 hatte der Forscher eine Reihe von Zero-Day-Exploits veröffentlicht, die sich gegen verschiedene Windows-Komponenten richteten. Zu den betroffenen Systemen zählten unter anderem der Microsoft Defender sowie Bitlocker. Die Liste der veröffentlichten Exploits umfasste Namen wie Bluehammer, Redsun, Undefend, Yellowkey, Greenplasma und Miniplasma.

Der Forscher begründete die Veröffentlichung dieser kritischen Sicherheitslücken mit internen Streitigkeiten mit dem Microsoft Security Response Center (MSRC). Details zu diesen Differenzen blieben aufgrund einer mutmaßlichen Verschwiegenheitsvereinbarung öffentlich ungeklärt.

Drohung mit Strafverfolgung als Wendepunkt

Die Situation eskalierte Ende Mai 2026, als Microsoft offiziell auf die Aktivitäten des Forschers reagierte. Anstatt den Dialog zu suchen, drohte der Konzern mit rechtlichen Schritten. Microsoft kündigte an, im Bedarfsfall weltweit mit Strafverfolgungsbehörden zusammenzuarbeiten, um gegen Akteure vorzugehen, die durch die Nutzung ungepatchter Sicherheitslücken kriminelle Handlungen ermöglichen würden.

Diese Reaktion stieß in der Sicherheits-Community auf deutliche Kritik, was letztlich zur Nominierung und Auszeichnung mit dem Pwnie Award führte. Während der Preisverleihung betonten die Moderatoren den symbolischen Charakter der Auszeichnung: Wer den Preis gewinne, solle die damit verbundene Scham auch spüren.

Angst vor arbeitsrechtlichen Konsequenzen

Ein bemerkenswerter Aspekt der Preisverleihung war das Ausbleiben einer Reaktion seitens Microsoft. Laut den Organisatoren der Defcon wurden Mitarbeiter des Unternehmens kontaktiert, um die Trophäe entgegenzunehmen. Dies geschah jedoch ohne Erfolg. Die Begründung der Angesprochenen war eindeutig: Es herrschte die Sorge, dass eine öffentliche Annahme des Preises den Verlust des Arbeitsplatzes zur Folge haben könnte.

Die Moderatoren der Veranstaltung zogen hierbei einen Vergleich zu früheren Preisträgern. So hatte vor zwei Jahren der Präsident des Cybersecurity-Unternehmens Crowdstrike seinen Pwnie Award für eine globale Update-Panne, die Millionen Computer weltweit beeinträchtigte, persönlich entgegengenommen. Im Gegensatz dazu scheint die Unternehmenskultur bei Microsoft im aktuellen Fall keinen Raum für eine solche Form der öffentlichen Auseinandersetzung mit Fehlern zu lassen.

Einordnung und Ausblick

Der Vorfall wirft ein Schlaglicht auf das angespannte Verhältnis zwischen großen Softwarekonzernen und unabhängigen Sicherheitsforschern. Während Unternehmen ihre Produkte durch Sicherheitsupdates schützen wollen, kritisieren Forscher oft mangelnde Transparenz oder langsame Reaktionszeiten bei der Behebung von Schwachstellen. Die Androhung von Strafverfolgung durch Microsoft wird in der Branche als drastisches Mittel wahrgenommen, das den Austausch zwischen der Industrie und der Sicherheits-Community eher belasten als fördern könnte. Ob Microsoft seine Kommunikationsstrategie im Umgang mit Sicherheitsforschern nach dieser öffentlichen Kritik anpassen wird, bleibt abzuwarten.