Der Pwnie Award ist eine jährliche, humorvolle Auszeichnung der Sicherheitsgemeinschaft, die ironischerweise diejenigen ehrt, die Cybersicherheit beschädigt haben oder absurd agiert haben. Dieses Jahr hat Microsoft diese fragwürdige Ehre erhalten, weil das Unternehmen Hacker mit strafrechtlicher Verfolgung drohte, statt mit einer Sicherheitslücke vertrauensvoll umzugehen.
Der Hintergrund: Die Sicherheitsgruppe Chaotic Eclipse hatte eine Sicherheitslücke in Microsoft-Software gefunden und wollte diese verantwortungsvoll offenbaren. Stattdessen wurde sie mit rechtlichen Drohungen konfrontiert. Microsoft handelte damit kontraproduktiv zur etablierten Praxis in der Sicherheitsbranche. Responsible Disclosure bedeutet, dass Sicherheitsforscher eine Lücke erst berichten, dem Hersteller Zeit zur Behebung geben und dann erst öffentlich machen. Diese Praxis funktioniert nur durch gegenseitiges Vertrauen.
Das Ironische an der Pwnie-Preisverleihung war, dass niemand den Award im Namen der Forscher anzunehmen wagte. Der potenzielle Annehmende hatte Angst vor weiteren juristischen Konsequenzen durch Microsoft. Dies unterstreicht, wie sehr Microsofts aggressive rechtliche Taktik die Sicherheitsgemeinschaft einschüchtert und damit langfristig der Cybersicherheit schadet.
Für KMU ist dies ein Lehrstück in Krisenkommunikation. Wenn ein Sicherheitsanbieter defensiv und aggressiv auf verantwortungsvolle Disclosure-Versuche reagiert, schadet das dem Vertrauen in das Unternehmen massiv. Es signalisiert auch, dass das Unternehmen möglicherweise andere Sicherheitsprobleme vertuschen könnte. KMU sollten bei der Wahl ihrer Sicherheits-Software bedenken, dass Hersteller, die konstruktiv mit Sicherheitsforschern zusammenarbeiten, langfristig sicherer sind.