Microsofts Bug-Bounty-Auszahlungen erreichen Rekordwert von 20 Millionen US-Dollar

Microsofts Bug-Bounty-Auszahlungen erreichten im letzten Programmjahr des Unternehmens einen Rekordwert von 20 Millionen US-Dollar, da mehr Sicherheitsforscher Schwachstellen in Cloud-, KI- und Open-Source-Technologien meldeten.

Das Unternehmen vergab über seine Bug-Bounty-Programme mehr als 20 Millionen US-Dollar im Zeitraum vom 1. Juli 2025 bis zum 30. Juni 2026. Insgesamt erhielten 562 Forscher Zahlungen, womit die durchschnittliche Belohnung bei rund 35.000 US-Dollar pro Forscher lag.

Microsoft verteilte rund 3 Millionen US-Dollar mehr als im Vorjahr. Allerdings sank die durchschnittliche Zahlung pro Forscher von etwa 49.000 auf 35.000 US-Dollar.

Der niedrigere Durchschnitt deutet nicht auf geringere Investitionen in die Sicherheitsforschung hin. Stattdessen nahm Microsoft Berichte von einer größeren Anzahl von Forschern an und erweiterte die Arten von Schwachstellen, die für Belohnungen infrage kommen.

Zero Day Quest sorgt für mehr Schwachstellenmeldungen

Microsoft Zero Day Quest trug erheblich zur Rekordsumme der Auszahlungen bei.

Forscher reichten im Rahmen der Initiative fast 700 Schwachstellenberichte ein und erhielten 2,3 Millionen US-Dollar an Belohnungen. Teilnehmer aus 20 Ländern untersuchten Sicherheitsprobleme mit hoher Priorität, die die Cloud- und KI-Plattformen von Microsoft betrafen.

Das Programm half Microsoft, Forscher mit unterschiedlichem technischen Hintergrund zu gewinnen, und lenkte deren Aufmerksamkeit auf Produkte, die weitreichende Sicherheitsrisiken verursachen könnten.

Zero Day Quest bot den Forschern außerdem eine strukturierte Möglichkeit, ihre Erkenntnisse direkt mit Microsoft zu teilen, bevor Angreifer die Schwachstellen ausnutzen konnten.

Microsoft erweitert den Umfang seiner Bug-Bounty-Programme

Microsoft erweiterte seine Bug-Bounty-Programme über die traditionellen Produkt- und Dienstleistungsziele hinaus.

Forscher konnten Schwachstellen einreichen, die in Open-Source-Projekten, Drittanbieterkomponenten und zusätzlichen Microsoft-Cloud-Diensten gefunden wurden. Diese Änderungen führten zu mehr als 300 Berichten, die nach den vorherigen Regeln nicht qualifiziert gewesen wären.

Microsoft zahlte über 800.000 US-Dollar für Schwachstellen, die unter den erweiterten Umfang fielen.

Die breiteren Teilnahmebedingungen spiegeln wider, wie moderne Microsoft-Produkte von externen Bibliotheken, Open-Source-Software und vernetzten Cloud-Diensten abhängen. Eine Schwachstelle in einer Komponente kann mehrere Produkte betreffen, selbst wenn Microsoft den ursprünglichen Code nicht erstellt hat.

KI-Tools erhöhen die Zahl der Bug-Bounty-Einreichungen

Microsoft führte einen Teil des Anstiegs der Einreichungen darauf zurück, dass Forscher bei der Entdeckung von Schwachstellen KI-Tools einsetzten.

KI kann Forschern helfen, Code zu analysieren, ungewöhnliches Verhalten zu identifizieren und potenzielle Sicherheitslücken schneller zu testen. Sie kann auch die technischen Hürden für Personen senken, die an Bug-Bounty-Programmen teilnehmen.

Der Anstieg KI-unterstützter Berichte stellt die Sicherheitsteams jedoch vor neue Herausforderungen. Unternehmen müssen mehr Einreichungen bearbeiten, bestätigen, welche Berichte echte Schwachstellen darstellen, und kritische Funde von wenig relevanten oder doppelten Berichten trennen.

Microsoft hat bereits eingeräumt, dass es Schwierigkeiten hat, mit den von Claude Mythos gefundenen Bugs Schritt zu halten, was zeigt, wie KI-Systeme Schwachstellen schneller identifizieren können, als Entwickler sie untersuchen und patchen können.

Die wachsende Zahl der Einreichungen verändert, wie Technologieunternehmen ihre Belohnungsprogramme strukturieren.

GitHub hat kürzlich die Auszahlungsstruktur seines Bug-Bounty-Programms geändert, um für wertvolle Sicherheitsforschung höhere Belohnungen und zusätzliche Vorteile zu bieten.

Microsoft stärkt auch andere Teile seiner Software-Lieferkette. Das Unternehmen hat kürzlich die Gültigkeitsdauer von NuGet-API-Schlüsseln verkürzt, um den Schaden durch gestohlene oder offengelegte Veröffentlichungs-Anmeldeinformationen zu begrenzen.