Microsoft wegen Zero-Day-Forscher zum Rückzug gezwungen

Microsoft ist offiziell von seiner aggressiven rechtlichen Haltung gegenüber dem unabhängigen Sicherheitsforscher abgerückt, der unter dem Pseudonym „Nightmare Eclipse“ agiert. Nach heftiger Kritik aus der weltweiten Cybersicherheits-Community ruderte der Tech-Riese stillschweigend zurück und verzichtet fortan auf Formulierungen, die die unkoordinierte Offenlegung von Sicherheitslücken mit böswilligem Verhalten gleichsetzen.

Dieser plötzliche Kurswechsel ist der Versuch einer Schadensbegrenzung seitens Microsoft, um die rapide schlechter werdenden Beziehungen zu externen Bedrohungsanalysten und Sicherheitsexperten zu kitten. Sie bilden das Rückgrat für die Verteidigung moderner Software-Ökosysteme.

Einblick in die Zero-Day-Kampagne von Nightmare Eclipse

Der Streit entbrannte ursprünglich, nachdem Nightmare Eclipse die traditionellen Meldekanäle von Unternehmen umgangen hatte, um funktionsfähigen Proof-of-Concept-Code für mehrere schwerwiegende Windows-Schwachstellen zu veröffentlichen. Die Kampagne nutzte Zero-Day-Sicherheitslücken in grundlegenden Verteidigungssystemen erfolgreich als Werkzeug und setzte lokale Rechteausweitungsketten wie „BlueHammer“ (CVE-2026-33825) sowie das Tool „RedSun“ ein, das dazu entwickelt wurde, den Microsoft Defender blind zu machen.

Microsofts anfängliche Gegenreaktion – die aggressive rechtliche Drohungen seiner Digital Crimes Unit und weitreichende Kontosperrungen auf Code-Hosting-Plattformen wie GitHub und GitLab beinhaltete – stieß bei Sicherheitsverantwortlichen in Unternehmen auf breite Verurteilung. Diese warnten, dass ein derart rücksichtsloses Vorgehen des Konzerns die Verteidigungsforschung ersticken und aktive Netzwerke böswilligen Akteuren schutzlos ausliefern würde.

Der Übergang zurück zur koordinierten Offenlegung von Schwachstellen

In seiner neuesten Richtlinienaktualisierung stellte Microsoft ausdrücklich klar, dass das Unternehmen nicht beabsichtigt, rechtliche Schritte gegen Personen einzuleiten, die legitime Schwachstellen identifizieren. Bemerkenswerterweise hat der Software-Riese den umstrittenen Begriff „Responsible Disclosure“ (verantwortungsvolle Offenlegung) vollständig aus seinen offiziellen Kommunikationskanälen gestrichen.

Das Unternehmen ist stattdessen zu seinem klassischen Framework der „Coordinated Vulnerability Disclosure“ (koordinierten Offenlegung von Schwachstellen) zurückgekehrt. Dabei räumte Microsoft ein, dass einige seiner jüngsten automatisierten Plattform-Sperren den professionellen Standards der Community nicht gerecht wurden, und versprach für die Zukunft eine auf gutem Glauben basierende Strategie für das Meldeverfahren.

Ungelöste Angriffsvektoren und drohende Patch-Gefahren im Juni

Trotz Microsofts offiziellem Einlenken bei den Richtlinien bleibt das eigentliche Problem in der Software-Architektur ungelöst. Nightmare Eclipse hat das Friedensangebot des Konzerns ignoriert und bestätigt, dass mehrere unabhängige Exploit-Entwickler nun ungepatchte Sicherheitslücken direkt an sie weiterleiten, um die Melde-Pipelines der Unternehmen komplett zu umgehen.

Der unter Pseudonym arbeitende Entwickler hat bereits eine bevorstehende Exploit-Nutzlast für Juni angedeutet, die auf Schwachstellen im Lebenszyklus des veralteten Secure Boot abzielt. Er behauptet, dass der kommende Code-Release die BitLocker-Hardwareverschlüsselung auf aktiven virtuellen Maschinen noch vor einer für Mitte des Sommers prognostizierten Vergeltungsfrist vollständig umgehen wird.