Der Streit entzündete sich an der Vorwurfskette gegen Nightmare Eclipse: Der Forscher wirft Microsoft vor, sein Security Response Center-Konto gelöscht, Bug-Bounty-Zahlungen einbehalten und seine Namensnennung aus Sicherheitsadvisories entfernt zu haben. Als Microsoft daraufhin auf dem Blog zur Eskalation ansetzte, mobilisierte sich die internationale Sicherheitscommunity. Forscher zeigten Verständnis für Eclipse’ Frustration über Microsofts Umgang und kritisierten die aggressive Rhetorik des Konzerns.
Microsoft reagierte diesmal umsichtiger — nicht via Blog, sondern via Social Media. Das Unternehmen räumte ein, dass “einige Interaktionen” dem Anspruch nicht genügten, und kündigte an, aus den Vorfällen zu lernen. Allerdings vermied Microsoft weiterhin, Nightmares Eclipse’ spezifische Vorwürfe direkt zu adressieren.
Ein semantischer Schachzug zeigt Microsofts Sensibilität: Der vielfach verwendete Begriff “Responsible Disclosure” verschwand aus dem neuen Statement. Stattdessen nutzt Microsoft jetzt wieder “Coordinated Vulnerability Disclosure” — ein Begriff, den Katie Moussouris, eine ehemalige Microsoft-Mitarbeiterin, 2010 einführte, um nicht implizieren zu müssen, dass abweichende Forscher “unverantwortlich” handeln. Moussouris hatte das Comeback des alten Begriffs als “Manipulation” kritisiert.
Die praktischen Implikationen sind erheblich: Nightmare Eclipse kündigte an, dass andere Forscher infolge der jüngsten Ereignisse Schwachstellen direkt an sie herangetragen haben. Im Juni soll eine neue Secure Boot-Lücke veröffentlicht werden, die BitLocker vollständig umgehen und kritische Virtual Machines kompromittieren könnte.
Für deutsche Institutionen ist dies besorgniserregend: Bundesämter und Kritische Infrastrukturen setzen vielfach auf Windows-Systeme. Das BSI wird diese Entwicklung genau beobachten müssen. Gleichzeitig unterstreicht der Fall die Spannung zwischen Disclosure-Verantwortung und legitimen Forschungsinteressen — ein Konflikt, den auch deutsche Behörden im Rahmen ihrer Koordinationsmodelle adressieren sollten.