Microsoft hat einen neuen Rekord bei der Ausschüttung von Bug-Bounty-Prämien aufgestellt: 20 Millionen US-Dollar gingen an IT-Sicherheitsforscher, die Schwachstellen in Microsoft-Produkten entdeckt und verantwortungsvoll offengelegt haben. Dies ist die höchste Summe, die das Unternehmen je in einem Zyklus ausgeschüttet hat.
Während dies zunächst als Sieg für die Security-Community wirken könnte, offenbaren die hohen Ausschüttungen auch eine unbequeme Realität: Die grosse Menge und Kritikalität der gefundenen Sicherheitslücken. Jede Prämie steht für eine Schwachstelle, die Angreifer hätten ausnutzen können. Die Rekordsumme deutet darauf hin, dass die Anzahl und Schwere der in Microsofts Portfolio entdeckten Lücken weiter steigen.
Dies betrifft nicht nur Microsoft selbst. Das Unternehmen stellt zentrale Infrastruktur-Software bereit, die weltweit in Millionen von Organisationen läuft: Windows, Office, Azure, Outlook und viele weitere. Jede ungepatzte Lücke in diesen Produkten ist ein potenzielles Sicherheitsrisiko für Unternehmen aller Grössen.
Für KMU-IT-Leiter ist dies ein Alarmsignal mit zwei Implikationen. Erstens unterstreicht es die Notwendigkeit, Microsoft-Updates schnell und konsequent einzuspielen. Mit so vielen entdeckten Lücken ist die Wahrscheinlichkeit hoch, dass auch Updates für Systeme relevant sind, die im eigenen Unternehmen laufen. Zweitens zeigt es, dass die Sicherheit von IT-Infrastruktur ein kontinuierlicher Prozess ist, nicht ein einmaliges Ziel. KMU sollten Patch-Management als regelmässige, priorisierte Aktivität verankern und nicht als Gelegenheitstätigkeit behandeln. Die hohen Bug-Bounty-Summen deuten auch darauf hin, dass externe Sicherheitsüberprüfungen wertvoll sind, sowohl für kommerzielle Softwarehersteller als auch für Organisationen, die ihre Systeme regelmässig auditieren lassen sollten.