Microsoft hat neue Zahlen zu seinen Bug Bounty Microsoft-Programmen veröffentlicht. Über den Zeitraum von einem Jahr wurden mehr als 20 Millionen US-Dollar an Forschende ausgezahlt, die verwertbare Schwachstellenmeldungen eingereicht hatten. Damit setzt das Unternehmen seine Strategie fort, Sicherheitslücken frühzeitig aufzuspüren und mit der Forschungsgemeinschaft zusammenzuarbeiten.
Zwischen dem 1. Juli 2025 und dem 30. Juni 2026 meldeten Forschende aus 64 Ländern über 15 Bug Bounty Programme insgesamt zahlreiche potenziell relevante Probleme. Aus dieser Masse wurden viele Meldungen als eligible eingestuft – also als grundsätzlich für eine Prämienbewertung in Frage kommend. Welche Größenordnungen dabei erreicht wurden und wie sich das Meldevolumen entwickelte, zeigt Microsoft in seinem Bericht.
Mehr als 20 Millionen US-Dollar an 562 Forschende
Microsoft gibt an, im genannten Zeitraum 2.531 eligible Reports erhalten zu haben. Gleichzeitig wurden 562 Forschende mit einer Gesamtsumme von über 20 Millionen US-Dollar ausgezeichnet. Der größte einzelne Preis erreichte dabei 200.000 US-Dollar.
Wichtig ist auch die Breite der Beteiligung: Die Meldungen kamen von Forschenden aus 64 Ländern. Das zeigt, dass Bug-Bounty-Programme nicht nur auf einzelne Regionen begrenzt sind, sondern international genutzt werden, um Sicherheitslücken aufzuspüren und der Öffentlichkeit sowie den Betreibern schnellere Gegenmaßnahmen zu ermöglichen.
15 Programme, 2.531 geprüfte Meldungen
Microsoft ordnet die Auszahlungen in 15 Bug Bounty Programme ein. Diese Programme decken typischerweise unterschiedliche Bereiche und Zielsysteme ab. Für Forschende bedeutet das: Je nach Schwerpunkt können sie ihre Meldung in das passende Programm einreichen, sofern die Kriterien erfüllt werden.
Aus Sicht des Unternehmens ist die Zahl der eligible Berichte ein Indikator dafür, dass viele Einreichungen tatsächlich verwertbar waren. Gleichzeitig verdeutlicht die Menge an Programmen, dass Microsoft Schwachstellen in verschiedenen Kontexten adressieren möchte, statt sich auf eine einzelne Kategorie zu beschränken.
Zero Day Quest: 2,3 Millionen US-Dollar extra
Ein Teil der Gesamtsumme stammt nicht nur aus den regulären Bug Bounty Abläufen. Microsoft nennt zusätzlich eine Zahlung von 2,3 Millionen US-Dollar an Teilnehmende der Zero Day Quest. Dabei handelt es sich um einen Hacking-Contest, der gezielt darauf ausgerichtet ist, in kurzer Zeit neue technische Erkenntnisse und potenzielle Schwachstellen zu finden.
Solche Wettbewerbe können die Forschungsgeschwindigkeit erhöhen. Sie schaffen zudem eine zusätzliche Anreizstruktur, um tiefergehende Angriffe oder besonders anspruchsvolle Schwachstellen zu identifizieren. Dass Microsoft diese Summe ausdrücklich in die Gesamtbetrachtung einbezieht, unterstreicht die Bedeutung dieses Bausteins im Bug Bounty Microsoft-Ökosystem.
Neue Initiativen: 800.000 US-Dollar für Drittkode
Darüber hinaus nennt Microsoft 800.000 US-Dollar, die über neuere Initiativen vergeben wurden. Laut Unternehmen richteten sich diese Programme unter anderem gegen Schwachstellen in Third-Party- und Open-Source-Code.
Das ist ein relevanter Punkt für die Praxis: Viele Systeme sind heute von Bibliotheken und Komponenten abhängig, die nicht zwingend vom Hersteller selbst stammen. Wenn sich Bug Bounty Programme auch auf Code aus der Lieferkette und offene Ökosysteme erstrecken, lassen sich Risiken potenziell früher erkennen – bevor sie in Produkte integriert werden oder bereits in der Wildnis ausgenutzt werden.
Mehr Einreichungen im zweiten Halbjahr – auch dank KI
Microsoft beobachtete im zweiten Halbjahr einen deutlichen Anstieg der Einreichungen. Das Unternehmen führt dies auf zwei Faktoren zurück: eine starke Beteiligung aus der Forschungsgemeinschaft sowie die zunehmende Nutzung von KI, um Sicherheitsforschung zu unterstützen.
Gerade im Kontext von Bug Bounty Microsoft ist diese Entwicklung plausibel: KI kann helfen, Arbeitsabläufe zu beschleunigen, Muster in Code zu erkennen oder Hypothesen schneller zu testen. Entscheidend bleibt jedoch, dass am Ende nur solche Meldungen ausgezeichnet werden, die auch wirklich verwertbar sind.
Langfristiger Trend: Warum die Zahlen wichtig sind
Microsoft stellt die aktuellen Werte in einen größeren Zeitverlauf: Für 2024 und 2025 nennt das Unternehmen insgesamt rund 17 Millionen US-Dollar als Auszahlungen. Davor, in dem Zeitraum 2020 bis 2023, habe Microsoft ungefähr 13 Millionen US-Dollar pro Jahr ausgezahlt.
Damit zeichnet sich über mehrere Jahre ein Bild ab, das aus Unternehmenssicht zunehmend erfolgreichere Programme nahelegt. Allerdings sind Bug Bounty Programme nicht nur eine Frage der Auszahlungssummen: Auch Geschwindigkeit bei der Bearbeitung, technische Kommunikation und die Qualität der Meldungen spielen eine Rolle.
Auch Kritik aus der Forschung: Streit um Meldungen und Umgang
Obwohl die Zahlen auf den ersten Blick positiv wirken, berichtet die Quelle auch von Unzufriedenheit aus dem Forschungsbereich. Ein Forschender, der unter den Namen Chaotic Eclipse und Nightmare Eclipse aktiv ist, hat laut Bericht Details zu mehreren Zero-Days veröffentlicht, ohne Microsoft zuvor ausreichend die Möglichkeit zur Patch-Erstellung zu geben.
Einige dieser Schwachstellen seien später offenbar in der Praxis ausgenutzt worden. Der Forschende äußerte laut Bericht deutliche Kritik an Microsoft und behauptete unter anderem, das Unternehmen habe Meldungen nicht korrekt gehandhabt, Kommunikationen ignoriert, Prämien zurückgehalten und sogar das Reporting-Account gelöscht. Außerdem wird in der Darstellung auf einen angeblichen Bruch einer früheren Vereinbarung verwiesen.
Solche Kontroversen sind für die Branche wichtig, weil sie zeigen: Bug Bounty Programme funktionieren nur dann langfristig gut, wenn nicht nur Geld fließt, sondern auch Prozesse transparent und verlässlich sind. Für Forschende ist vor allem entscheidend, wie mit Informationen umgegangen wird, wie schnell Rückmeldungen erfolgen und wie zugesagte Schritte im Ablauf eingehalten werden.
Was bedeutet das für Sicherheitsforschung und Unternehmen?
Für die Praxis lässt sich aus den Zahlen vor allem ableiten: Bug Bounty Programme bleiben ein relevanter Hebel, um Sicherheitsrisiken frühzeitig zu finden. Die Mischung aus regulären Programmen, Contests und Initiativen für Third-Party- und Open-Source-Code zeigt, dass viele Angriffsflächen heute nicht an Unternehmensgrenzen enden.
Für Organisationen, die selbst Bug Bounty-Programme betreiben oder mit solchen Angeboten arbeiten, ist außerdem der Trend interessant, dass das Meldevolumen durch starke Community-Aktivität und KI-gestützte Forschung weiter wächst. Gleichzeitig lohnt es sich, Prozesse zur Bearbeitung von Meldungen, zur Kommunikation und zum Umgang mit Zeitplänen besonders sorgfältig zu gestalten – um Vertrauen aufzubauen.
Fazit: Bug Bounty Microsoft zeigt Wirkung – mit offenen Fragen
Microsofts Bericht macht deutlich, dass die Bug Bounty Microsoft-Programme in der Praxis große Summen mobilisieren können: Im Zeitraum 1. Juli 2025 bis 30. Juni 2026 flossen über 20 Millionen US-Dollar an 562 Forschende. Dazu kamen Zahlungen aus einer Contest-Initiative sowie neue Programme für Schwachstellen in Drittkode und Open Source.
Gleichzeitig zeigt die begleitende Kritik, dass neben der Höhe der Prämien auch der Umgang mit Meldungen, Kommunikation und Erwartungen der Forschenden entscheidend ist. Wer die Ergebnisse für Sicherheit nutzen möchte, sollte daher nicht nur auf Kennzahlen schauen, sondern auch auf Prozessqualität und Zusammenarbeit im Ökosystem.
Quelle: https://www.securityweek.com/microsoft-bug-bounty-program-20-million-paid-to-500-researchers/
