Microsoft hat am Montag mitgeteilt, innerhalb eines Jahres mehr als 20 Millionen Dollar über seine Bug-Bounty-Programme ausgezahlt zu haben. Nach Angaben des Unternehmens bezieht sich die Summe auf den Zeitraum zwischen dem 1. Juli 2025 und dem 30. Juni 2026. In dieser Zeit gingen über 15 Programme hinweg Schwachstellenmeldungen von Forschern aus 64 Ländern ein.

Laut Microsoft wurden 2.531 Berichte als prämienfähig eingestuft. Insgesamt erhielten 562 Sicherheitsforscher Auszahlungen von zusammen mehr als 20 Millionen Dollar. Die höchste einzelne Belohnung betrug 200.000 Dollar.

In der genannten Gesamtsumme sind auch 2,3 Millionen Dollar enthalten, die Microsoft an Teilnehmer des Hacking-Wettbewerbs Zero Day Quest zahlte. Hinzu kamen weitere 800.000 Dollar aus neuen Initiativen, etwa für die Meldung von Schwachstellen in Drittanbieter- und Open-Source-Code.

Microsoft erklärte zudem, dass das Volumen der eingereichten Meldungen in der zweiten Hälfte des Jahres deutlich gestiegen sei. Das Unternehmen führte das auf „eine starke Beteiligung der Forschungsgemeinschaft und die zunehmende Nutzung von KI zur Unterstützung der Sicherheitsforschung“ zurück.

Im Vergleich zu den Vorjahren setzt sich damit ein Aufwärtstrend fort. Microsoft zahlte 2024 und 2025 nach eigenen Angaben zusammen rund 17 Millionen Dollar aus. Zwischen 2020 und 2023 lagen die jährlichen Auszahlungen demnach jeweils bei ungefähr 13 Millionen Dollar.

Die neuen Zahlen deuten aus Sicht des Unternehmens auf den wachsenden Erfolg seiner Bug-Bounty-Programme hin. Gleichzeitig verweist der Bericht darauf, dass nicht alle Forscher mit Microsofts Umgang mit Schwachstellenmeldungen zufrieden sind.

Ein Forscher, der unter den Online-Namen Chaotic Eclipse und Nightmare Eclipse auftritt, hat Details zu mehreren Zero-Day-Schwachstellen veröffentlicht, ohne Microsoft Gelegenheit zu geben, vorab Patches bereitzustellen. Einige dieser Lücken wurden anschließend bei Angriffen unter realen Bedingungen ausgenutzt.

Chaotic Eclipse äußerte deutliche Unzufriedenheit mit Microsoft und wirft dem Unternehmen vor, Schwachstellenmeldungen falsch behandelt, Kommunikation ignoriert, Prämienzahlungen zurückgehalten, das Meldekonto des Forschers gelöscht und eine frühere Vereinbarung verletzt zu haben. Diese Vorwürfe stammen von dem Forscher selbst.