Pwn2Own Berlin 2026: Die teuersten zwei Tage der Cybersecurity-Geschichte
Jedes Jahr treffen sich die weltbesten Sicherheitsforscher bei Pwn2Own, dem renommiertesten Hacking-Wettbewerb der Branche, um bekannte Software und Betriebssysteme auf unbekannte Schwachstellen zu testen. Die Berliner Ausgabe 2026 hat alle Rekorde gebrochen: In zwei Tagen demonstrierten die Teilnehmer insgesamt 39 Zero-Day-Exploits und kassierten dafür über 908.000 US-Dollar Preisgeld. Windows 11 wurde gleich viermal gehackt, Microsoft Exchange für satte 200.000 Dollar kompromittiert. Das Sicherheits-Erdbeben hat nicht nur Microsoft auf den Plan gerufen.
- ⚡ Quick Facts: Pwn2Own Berlin 2026Preisgeld gesamt: Über 908.000 US-Dollar
- Zero-Days demonstriert: 39 in zwei Tagen
- Tag 1 allein: 523.000 Dollar, 24 Zero-Days
- Windows 11: 4× erfolgreich gehackt (Privilege Escalation)
- Microsoft Exchange: Für 200.000 Dollar kompromittiert
- Weitere Ziele: Microsoft Edge, Red Hat Enterprise Linux, LiteLLM
Tag 1: 523.000 Dollar in wenigen Stunden
Der erste Tag von Pwn2Own Berlin 2026 schlug ein wie eine Bombe: Sicherheitsforscher demonstrierten 24 einzigartige Zero-Days und kassierten dafür 523.000 US-Dollar. Besonders im Fokus: Windows 11 und Microsoft Edge.
Windows 11 wurde an Tag 1 gleich dreimal durch Privilege-Escalation-Exploits kompromittiert. Angelboy und TwinkleStar03 vom DEVCORE Internship Program nutzten eine Improper-Access-Control-Schwachstelle. Marcin Wiązowski demonstrierte einen Heap-based-Buffer-Overflow und kassierte 15.000 Dollar. Kentaro Kawane von GMO Cybersecurity verkettete zwei Use-After-Free-Bugs zu einer erfolgreichen Privilege-Escalation-Kette – ebenfalls 15.000 Dollar Preisgeld.
Microsoft Edge wurde ebenfalls an Tag 1 gehackt. Besonders spektakulär: Auch LiteLLM, ein KI-Gateway für Large Language Models, fiel Angreifern zum Opfer – ein Zeichen dafür, dass KI-Infrastruktur zunehmend ins Visier von Sicherheitsforschern gerät.
Tag 2: Exchange für 200.000 Dollar – ein Rekordbetrag
An Tag 2 sammelten die Forscher weitere 385.750 Dollar ein. Das Highlight: Microsoft Exchange wurde für 200.000 Dollar kompromittiert – der höchste Einzelpreis des gesamten Events. Exchange ist das Herzstück vieler Unternehmens-E-Mail-Infrastrukturen weltweit, und ein Zero-Day in Exchange hat unmittelbare, dramatische Konsequenzen für betroffene Organisationen.
Windows 11 wurde an Tag 2 ein viertes Mal erfolgreich angegriffen: Siyeon Wi nutzte einen Integer-Overflow-Bug, um Privilegien zu eskalieren – 7.500 Dollar Preisgeld. Außerdem fiel Red Hat Enterprise Linux for Workstations einem Zero-Day-Exploit zum Opfer – ein ungewöhnliches Ziel, das zeigt, dass Pwn2Own auch Linux nicht mehr als sicheren Hafen betrachtet. Mehr zu Cybersecurity und Tech-Sicherheit findet ihr auf Wiribu.
Was sind Zero-Days und warum sind sie so gefährlich?
Ein Zero-Day-Exploit ist eine Schwachstelle in Software, die dem Hersteller noch nicht bekannt ist – und für die es daher noch keinen Patch gibt. Der Begriff "Zero Day" bezieht sich auf die Anzahl der Tage, die der Hersteller hatte, um das Problem zu beheben: null. Zero-Days sind die wertvollsten Waren im Cybercrime-Markt und können für Millionen Dollar gehandelt werden.
Bei Pwn2Own werden diese Schwachstellen unter kontrollierten Bedingungen demonstriert: Die Forscher melden die Exploits nach der Demonstration an die betroffenen Hersteller, die dann 90 Tage Zeit haben, einen Patch zu entwickeln und zu veröffentlichen. Dieser koordinierte Offenlegungsprozess gilt als Best Practice in der Sicherheitsbranche und schützt Nutzer vor dem Schlimmsten.
Was das für Windows 11-Nutzer bedeutet
Vier erfolgreiche Zero-Day-Exploits gegen Windows 11 in zwei Tagen klingt alarmierend – ist es in einem wichtigen Kontext aber weniger dramatisch als es scheint. Alle demonstrierten Exploits waren Privilege-Escalation-Angriffe, keine Remote Code Execution. Das bedeutet: Ein Angreifer braucht bereits Zugang zum System, um diese Schwachstellen ausnutzen zu können. Sie sind für gezielte Angriffe relevant, nicht für massive Angriffswellen gegen normale Heimnutzer.
Trotzdem sind die Schwachstellen ernst zu nehmen – besonders in Unternehmensumgebungen, wo ein bereits kompromittiertes System durch Privilege Escalation für Angreifer deutlich gefährlicher wird. Microsoft wird die Patches innerhalb von 90 Tagen nach der Demonstration veröffentlichen.
KI-Infrastruktur als neues Angriffsziel
Ein Novum bei Pwn2Own Berlin 2026 war die Aufnahme von KI-Infrastruktur als Angriffsziel. LiteLLM – ein Open-Source-Gateway, das es Entwicklern ermöglicht, verschiedene LLMs über eine einheitliche API anzusprechen – fiel einem Zero-Day-Exploit zum Opfer. Das ist ein klares Signal: Mit dem Boom von KI-Anwendungen in Unternehmen werden KI-Gateways und -Infrastruktur zu einem neuen, attraktiven Angriffspunkt für Cyberkriminelle.
Die Sicherheitsbranche reagiert bereits: Spezialisierte KI-Security-Tools wie OpenAIs GPT-5.5-Cyber und neue Frameworks für das Testen von KI-Systemen entstehen parallel zur KI-Welle. Doch wie Pwn2Own Berlin 2026 zeigt, läuft die Sicherheit dem Angriff noch hinterher.
Pro und Contra: Pwn2Own aus Sicherheitsperspektive
- ✅ ProKoordinierte Offenlegung schützt Nutzer vor krimineller Ausnutzung
- Hersteller erhalten 90 Tage für geordnete Patch-Entwicklung
- Finanzielle Anreize bringen Top-Forscher zur legalen Arbeit
- KI-Infrastruktur als neues Ziel erhöht Bewusstsein
- Wertvollste Schwachstellen landen nicht im Darknet
- ❌ Contra4 Windows-11-Zero-Days zeigen strukturelle Sicherheitsprobleme
- Exchange-Hack unterstreicht Risiken für Unternehmensinfrastruktur
- 90 Tage Patch-Frist ist für komplexe Systeme oft zu kurz
- Wissen über Exploits könnte trotz Kontrolle leaken
- Wachsende Angriffsfläche durch KI-Infrastruktur bleibt Herausforderung
Key Takeaways
- 🔐 Pwn2Own Berlin 2026 zahlte über 908.000 Dollar für 39 Zero-Days aus
- 🔐 Windows 11 wurde viermal durch Privilege-Escalation-Exploits gehackt
- 🔐 Microsoft Exchange wurde für 200.000 Dollar kompromittiert – Einzelrekord
- 🔐 LiteLLM als KI-Gateway fiel erstmals einem Pwn2Own-Exploit zum Opfer
- 🔐 Hersteller haben 90 Tage, um Patches für alle demonstrierten Schwachstellen zu entwickeln
FAQ: Pwn2Own Berlin 2026
Sind mein Windows 11 und Edge jetzt in Gefahr?
Die demonstrierten Exploits sind Privilege-Escalation-Angriffe, die lokalen Systemzugang erfordern. Für normale Heimnutzer ist das Risiko gering. Microsoft wird die Patches innerhalb von 90 Tagen veröffentlichen.
Was passiert mit den gefundenen Zero-Days nach Pwn2Own?
Die Zero-Initiative (ZDI) übernimmt die koordinierte Offenlegung: Die Hersteller werden informiert und haben 90 Tage, um einen Patch zu entwickeln. Erst danach werden die Details öffentlich gemacht.
Wer organisiert Pwn2Own?
Pwn2Own wird von der Zero Day Initiative (ZDI) von Trend Micro organisiert. Das Event findet mehrmals jährlich statt, unter anderem in Vancouver und Berlin.
Was bedeutet der Exchange-Hack für Unternehmen?
Exchange-Zero-Days sind für Unternehmen kritisch. IT-Admins sollten Patches sofort einspielen, sobald Microsoft sie veröffentlicht, und vorübergehend erhöhte Monitoring-Maßnahmen ergreifen.
Fazit: Pwn2Own zeigt, wie wichtig ethisches Hacking ist
Pwn2Own Berlin 2026 liefert eine ernüchternde, aber wichtige Botschaft: Selbst die meistgenutzten Softwareprodukte der Welt – Windows 11, Microsoft Edge, Exchange – haben noch immer schwerwiegende, unbekannte Sicherheitslücken. Dass diese Schwachstellen unter kontrollierten Bedingungen gefunden und koordiniert gemeldet werden, ist ein Glücksfall für Millionen von Nutzern weltweit.
Besonders bemerkenswert ist die Ausweitung von Pwn2Own auf KI-Infrastruktur. Der LiteLLM-Exploit zeigt, dass KI-Gateways bereits jetzt ernsthafte Angriffsflächen darstellen – und dass die Sicherheitsbranche dringend aufholen muss. Die 90-Tage-Uhr tickt. Mehr zu Tech und Sicherheit gibt es laufend auf Wiribu.
