Microsoft klärt auf: Kein Prozess gegen Sicherheitsforscher im Eclipse-Skandal

Auch das MSRC nahm die Lage

Auch das MSRC nahm die Lage in einem Beitrag auf X zur Kenntnis. Sicherheitsexperten warnten sofort, dass diese Formulierung eine abschreckende Wirkung auf die gesamte Forschungscommunity haben könnte und zukünftige verantwortungsvolle Offenlegungen unterbinden würde.

In einer nachfolgenden Aufklärung zog Microsoft einen klaren Unterschied zwischen gutgläubiger Forschung und böswilliger Aktivität.

Das Unternehmen erklärte, dass rechtliche Eskalationen nur stattfinden würden, „wenn eine Person das Gesetz bricht und böswillige Aktivitäten ausführt, die unseren Kunden echten Schaden zufügen", wobei die strafbare Ausnutzung Forschung und Veröffentlichung ücken getrennt wurde.

Was die Studie zeigt

Die Erklärung anerkennt, dass einige frühere Interaktionen zwischen dem MSRC und Forschern „nicht den Erwartungen entsprochen haben", und verpflichtet sich erneut zu „Transparenz, klarer Kommunikation und Professionalität" in jeder Offenlegungsinteraktion.

In den letzten Tagen haben wir die Debatte um die koordinierte Offenlegung und die Beziehung zwischen Sicherheitsforschern und Anbietern aufmerksam verfolgt. Wir erkennen an, dass diese Beziehung sowohl entscheidend als auch zuweilen zerbrechlich ist. Wir schätzen die Sicherheitsgemeinschaft sehr,… — Microsoft Security Response Center (@msftsecresponse) 1.

Juni 2026 Microsoft erkannte zudem die Ausmaß und wachsende Komplexität seines Offenlegungsworkloads an und wies darauf hin, dass es jährlich eine „hohe Anzahl", eine Zahl, die weiter steigt, da forschungsgetriebene Sicherheitsanalysen durch KI unterstützt werden.

Technik und Auswirkungen

Die Bug-Bounty-Programme des Unternehmens haben Forschern seit 2013 über 60 Millionen Dollar in 18 Programmen ausgezahlt, die Azure, Windows, Microsoft Defender und KI-Systeme umfassen.

CVD unter dem Mikroskop Die Episode hat die branchenweite Prüfung der Koordinierten Offenlegung (CVD) – der gängigen Praxis, bei der Forscher Mängel vertraulich Hersteller melden, in der Regel innerhalb eines 90-Tage-Embargos, bevor sie öffentlich gemacht werden – verschärft.

Kritiker argumentieren, dass die anfängliche Reaktion Forscher einsetzen wollte, deren Meldungen zuvor ignoriert worden waren, und damit das Vertrauen in das CVD-Ökosystem untergrub. Google Project Zero hält strikt an einer Frist, unabhängig vom Patch-Status, während ZDI einen Zeitrahmen ält.

Sicherheitslage und Risiko

Microsoft betonte erneut, dass die CVD „die Grundlage für den Schutz unserer Kunden und die Verbesserung unserer Produkte bleibt", und kündigte an, Schwachstellenmeldungen über sein öffentliches Portal anzunehmen – unabhängig üheren Interaktionen.

Dies ist ein klares Signal, dass Streitfälle Stil davon abhalten sollen, sich verantwortungsvoll an der Meldung Webinar zu den OWASP API Top 10 und Leitfaden zur Schließung ücken mit WAAP. Der Beitrag „Microsoft klärt auf, dass Sicherheitsforscher nicht verklagen wird – Kontext der Nightmare-Eclipse-Kontroverse" erschien erstmals auf