Microsoft hat auf eine beispiellose Serie von Zero-Day-Veröffentlichungen mit einer scharfen Drohung reagiert. In einem Blogpost des Microsoft Security Response Center (MSRC) vom 27. Mai 2026 kündigt der Konzern an, sowohl die Angreifer als auch den Veröffentlicher der Schwachstellen rechtlich zu verfolgen – „nach Bedarf in Kooperation mit Strafverfolgungsbehörden in aller Welt“. Hintergrund: Binnen sechs Wochen wurden gleich sechs ungepatchte Sicherheitslücken in Microsoft Windows öffentlich gemacht, teils mit funktionsfähigem Exploit-Code.
Die sechs Zero-Days im Überblick
Verantwortlich für die Veröffentlichungen zeichnet ein Sicherheitsforscher unter dem Pseudonym Nightmare Eclipse – auch bekannt als Chaotic Eclipse, Dead Eclipse oder schlicht Eclipse. Die von ihm offengelegten Schwachstellen tragen die Namen BlueHammer (CVE-2026-33825), RedSun (CVE-2026-41091), UnDefend (CVE-2026-45498), YellowKey (CVE-2026-45585) sowie GreenPlasma und MiniPlasma, die beide auf die bereits 2020 dokumentierte Schwachstelle CVE-2020-17103 zurückgehen. Die Lücken betreffen überwiegend den Windows Defender und ermöglichen Angreifern unter anderem die Ausweitung von Benutzerrechten bis hin zu SYSTEM-Privilegien. Besonders brisant: Die Sicherheitsfirma HuntressLabs meldete bereits Mitte April aktive Angriffe auf BlueHammer, RedSun und UnDefend. Während BlueHammer am April-Patchday von Microsoft geschlossen wurde, blieben RedSun und UnDefend zunächst ungepatcht.
Microsofts Argumentation: Schutz der Kunden
Das MSRC stellt in seinem Blogpost klar, dass keine der sechs Schwachstellen im Rahmen einer Coordinated Vulnerability Disclosure (CVD) gemeldet wurde – dem Branchenstandard, bei dem Entdecker den Hersteller vorab informieren und diesem Zeit für die Entwicklung eines Patches einräumen. „Unkoordinierte Veröffentlichungen, die Proof-of-Concept-Code für ungepatchte Lücken Tunichtguten zur Hand geben, sind nicht zu rechtfertigen und haben echte Konsequenzen“, heißt es in dem Beitrag. Microsoft betont, jährlich mit hunderten Sicherheitsforschern im CVD-Verfahren zusammenzuarbeiten und verantwortungsbewusste Meldungen auch finanziell zu honorieren. Das GitHub-Konto von Nightmare Eclipse – GitHub gehört zu Microsoft – wurde inzwischen gelöscht.
Gegenvorwürfe: „Diffamierung“ und gesperrtes MSRC-Konto
Der Forscher selbst weist die Vorwürfe entschieden zurück. In einem Blogpost unter dem Titel „Nightmare Eclipse“ bezeichnet er die Darstellung Microsofts als „Diffamierung“. Er habe sehr wohl versucht, die Schwachstellen über das offizielle MSRC-Portal zu melden – unentgeltlich. Daraufhin sei sein Konto jedoch vorsätzlich gesperrt worden. Auf mehrfache Nachfrage nach dem Grund der Sperre habe Microsoft das Konto schließlich ganz gelöscht, ohne die Fragen je zu beantworten. Im Fall von GreenPlasma handele es sich zudem nicht um eine neue Entdeckung, sondern um eine Kopie von Code, der seit 2020 bei Googles Project Zero öffentlich einsehbar ist. Der Vorwurf, hier sei eine frische Zero-Day-Lücke verantwortungslos publiziert worden, sei daher irreführend.
Kritik aus der Sicherheitsszene
In der IT-Sicherheitsbranche stößt Microsofts Drohgebärde auf gemischte Reaktionen. Der renommierte Sicherheitsforscher Will Dormann äußerte sich Anfang April auf Mastodon kritisch zum Zustand des MSRC: „Um Geld zu sparen, hat Microsoft die begabten Leute gefeuert, was nur noch Paragraphenreiter übrig ließ.“ Er spekulierte, Microsoft habe die Meldung womöglich geschlossen, weil der Einmelder kein Video des Exploits beigefügt habe – eine Anforderung, die das MSRC inzwischen offenbar stellt. Ein rechtlicher Leitfaden der Cyberlaw Clinic der Harvard Law School und der Electronic Frontier Foundation (EFF) warnt seit Jahren davor, Sicherheitsforscher juristisch zu verfolgen: „Unserer Erfahrung nach ist es weniger wahrscheinlich, dass Organisationen mit fortschrittlicheren Sicherheitskonzepten Klagen androhen, weil sie verstehen, dass das die Chancen folgender Schwachstellenmeldungen reduziert.“
Ausblick: Eskalation oder Deeskalation?
Microsoft hat auf konkrete Nachfragen von heise online – etwa ob Videos tatsächlich noch als Einreichungsvoraussetzung verlangt werden und welche Maßnahmen zur Erleichterung von Schwachstellenmeldungen geplant sind – lediglich mitteilen lassen, man habe „nichts mitzuteilen“. Das MSRC betont in seinem Blogpost zwar, weiterhin Meldungen von jedem einreichen zu wollen, „unabhängig von früheren Interaktionen oder Reputation“. Ob diese Tür für Nightmare Eclipse tatsächlich noch offen steht, ist nach der Löschung seines Kontos und der Klagedrohung allerdings fraglich. Für Microsoft birgt die Auseinandersetzung ein doppeltes Risiko: Einerseits droht ein Streisand-Effekt, der die Aufmerksamkeit auf die Sicherheitsmängel des Konzerns noch verstärkt. Andererseits könnte eine Verprellung der Sicherheitsforscher-Community dazu führen, dass künftige Schwachstellen gar nicht mehr gemeldet werden – sondern direkt im Untergrund gehandelt werden.