Pwn2Own Berlin 2026: Windows 11 und Microsoft Exchange gehackt – Was IT-Verantwortliche jetzt wissen müssen

Veröffentlicht: 15. Mai 2026 | Lesedauer: ca. 8 Minuten

Einleitung: Wenn Weltklasse-Hacker zeigen, was wirklich möglich ist

Am zweiten Tag des renommierten Hacking-Wettbewerbs Pwn2Own Berlin 2026 demonstrierten Sicherheitsforscher eindrucksvoll, wie verwundbar selbst die verbreitetsten Unternehmenssysteme sind: Windows 11, Microsoft Exchange und Red Hat Enterprise Linux for Workstations wurden erfolgreich kompromittiert. Insgesamt sammelten die Teilnehmer an diesem einzigen Tag 385.750 US-Dollar an Preisgeld ein – für die Ausnutzung von 15 einzigartigen Zero-Day-Schwachstellen.

Für IT-Verantwortliche und Geschäftsführer in Deutschland ist das keine abstrakte Nachricht aus der Welt der Hacker-Wettbewerbe. Es ist ein konkretes Warnsignal: Die betroffenen Produkte laufen in Tausenden deutschen Unternehmen, Behörden und kritischen Infrastrukturen. Und was heute auf einer Bühne in Berlin demonstriert wird, landet morgen in den Werkzeugkästen echter Angreifer.

Technischer Hintergrund: Was ist Pwn2Own – und warum sollte mich das interessieren?

Was ist Pwn2Own?

Pwn2Own ist ein seit 2007 jährlich stattfindender Wettbewerb, organisiert von der Zero Day Initiative (ZDI) des Unternehmens Trend Micro. Hochspezialisierte Sicherheitsforscher aus aller Welt treten gegeneinander an, um in streng kontrollierten Umgebungen bekannte Produkte zu hacken – unter Verwendung von bislang unbekannten Sicherheitslücken, sogenannten Zero-Day-Exploits.

Der Begriff „Zero-Day" bedeutet: Der Hersteller hatte null Tage Zeit, die Schwachstelle zu schließen – er kannte sie bis zu diesem Moment nicht. Das macht diese Lücken besonders gefährlich.

Was wurde konkret angegriffen?

Beim Pwn2Own Berlin 2026 standen unter anderem folgende Systeme im Fokus:

Wie funktioniert ein solcher Exploit?

Ohne zu tief in technische Details zu gehen: Die Sicherheitsforscher nutzten Schwachstellen in der Art, wie diese Systeme Daten verarbeiten, Berechtigungen vergeben oder Netzwerkanfragen beantworten. In vielen Fällen kombinierten sie mehrere kleine Schwachstellen zu einer sogenannten Exploit-Chain – eine Technik, die auch echte Angreifer regelmäßig einsetzen.

Wichtig zu verstehen: Was auf der Bühne in kontrollierten Bedingungen in Minuten gelingt, kann in freier Wildbahn – mit etwas Anpassungsaufwand – gegen echte Unternehmensnetzwerke eingesetzt werden. Die Zeitspanne zwischen einer Pwn2Own-Demonstration und dem ersten realen Angriff auf Basis ähnlicher Techniken wird erfahrungsgemäß immer kürzer.

Nach den Regeln des Wettbewerbs werden alle gefundenen Schwachstellen anschließend verantwortungsvoll an die Hersteller gemeldet (Responsible Disclosure). Microsoft, Red Hat und andere erhalten dann eine Frist, Patches bereitzustellen. Bis dahin existiert jedoch eine gefährliche Lücke.

NIS2-Relevanz: Welche Pflichten haben deutsche Unternehmen?

NIS2 und Zero-Days: Eine direkte Verbindung

Die EU-Richtlinie NIS2 (Network and Information Security Directive 2), die in Deutschland durch das BSI-Gesetz (BSIG) und das NIS2UmsuCG umgesetzt wird, verpflichtet betroffene Unternehmen zu einem hohen Maß an Cybersicherheit. Betroffen sind Unternehmen in 18 kritischen Sektoren – von Energie über Gesundheit bis hin zu digitaler Infrastruktur und Lebensmittelversorgung.

Die Erkenntnisse aus Pwn2Own 2026 sind dabei aus mehreren Gründen NIS2-relevant:

1. Risikomanagement-Pflicht (Art. 21 NIS2)
NIS2 verlangt, dass Unternehmen ein aktives Risikomanagement betreiben. Das schließt ausdrücklich die zeitnahe Anwendung von Sicherheits-Updates ein. Wenn ein Patch für eine bei Pwn2Own demonstrierte Schwachstelle erscheint, beginnt für NIS2-pflichtige Unternehmen die Uhr zu ticken.

2. Meldepflichten bei Sicherheitsvorfällen
Sollte eine Zero-Day-Schwachstelle in Windows 11 oder Exchange ausgenutzt werden und zu einem erheblichen Sicherheitsvorfall führen, greift die strenge Meldepflicht gegenüber dem Bundesamt für Sicherheit in der Informationstechnik (BSI):

• Innerhalb von 24 Stunden: Erstmeldung bei Verdacht auf einen erheblichen Vorfall
• Innerhalb von 72 Stunden: Detaillierter Folgebericht
• Nach einem Monat: Abschlussbericht mit Analyse und Maßnahmen

3. Haftung der Geschäftsführung
NIS2 macht Vorstände und Geschäftsführer persönlich verantwortlich für die Umsetzung von Cybersicherheitsmaßnahmen. Wer bekannte Risiken ignoriert – und ein Pwn2Own-Ergebnis ist ein öffentlich dokumentiertes Risiko – riskiert empfindliche Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes.

BSI-Empfehlungen beachten

Das BSI veröffentlicht regelmäßig Sicherheitshinweise und Warnmeldungen (BSI-Bulletins), sobald kritische Schwachstellen bekannt werden. IT-Verantwortliche in NIS2-pflichtigen Unternehmen sollten diese Kanäle aktiv monitoren:

• BSI-Warn- und Informationsdienst (WID): wid.cert-bund.de
• CERT-Bund-Meldungen für kritische Infrastrukturen
• Microsoft Security Response Center (MSRC) für Windows- und Exchange-Patches

Praktische Schutzmaßnahmen: Was Sie jetzt konkret tun sollten

Die gute Nachricht: Auch wenn Sie Zero-Day-Exploits nicht im Voraus kennen können, lässt sich die Angriffsfläche erheblich reduzieren. Hier sind fünf konkrete Maßnahmen, die Sie zeitnah umsetzen sollten:

1. Patch-Management beschleunigen und automatisieren

Sicherheits-Updates für Windows und Microsoft Exchange müssen innerhalb von Stunden bis wenigen Tagen eingespielt werden – nicht erst beim nächsten monatlichen Wartungsfenster. Setzen Sie auf:

• Automatisierte Patch-Rollouts für unkritische Systeme
• Priorisierungsregeln nach CVSS-Score (ab Score 9.0: sofort)
• Einen definierten Emergency-Patching-Prozess für Zero-Days

2. Microsoft Exchange: Cloud oder gehärtet

Microsoft Exchange On-Premises ist historisch gesehen eines der am häufigsten angegriffenen Systeme weltweit (Stichwort: ProxyLogon, ProxyShell, ProxyNotShell). Prüfen Sie:

• Migration zu Exchange Online (Microsoft 365): Microsoft patcht Cloud-Dienste deutlich schneller und ohne Ihr Zutun
• Falls On-Premises unabdingbar: Strikte Netzwerksegmentierung, kein direktes Internet-Facing, regelmäßige Härtigungsprüfungen gemäß BSI-Grundschutz

3. Privileged Access Management (PAM) einführen

Viele Exploit-Chains bei Pwn2Own beginnen mit begrenzten Rechten und eskalieren dann zu Administratorrechten. Begrenzen Sie diesen Weg durch:

• Least Privilege Principle: Kein Nutzer erhält mehr Rechte als unbedingt notwendig
• Multi-Faktor-Authentifizierung (MFA) für alle administrativen Zugänge
• Regelmäßige Überprüfung und Bereinigung von Berechtigungen

4. Netzwerksegmentierung und Monitoring stärken

Selbst wenn ein Angreifer eine Schwachstelle ausnutzt, darf er nicht frei durch Ihr Netzwerk bewegen können. Setzen Sie auf:

• Zero-Trust-Architekturen: Kein implizites Vertrauen, auch nicht intern
• Endpoint Detection & Response (EDR): Erkennung von ungewöhnlichem Verhalten auf Endpoints
• SIEM-Systeme mit regelbasierter Alarmierung bei Anomalien

5. Incident-Response-Plan aktualisieren

Wann haben Sie zuletzt Ihren Notfallplan für einen Cyberangriff auf Exchange oder Windows geübt? Stellen Sie sicher, dass:

• Ihr IR-Team weiß, wie Exchange-Kompromittierungen isoliert werden
• Offline-Backups existieren und regelmäßig getestet werden (3-2-1-Regel)
• Die BSI-Meldepflicht in den Plan integriert ist – inklusive zuständiger Ansprechpartner und vorbereiteter Meldeformulare

Fazit: Zero-Days sind real – Ihre Reaktion muss es auch sein

Pwn2Own ist kein Schauspiel für Hacker-Enthusiasten. Es ist ein Frühwarnsystem der Cybersicherheitsbranche – und die Botschaft aus Berlin 2026 ist eindeutig: Windows 11 und Microsoft Exchange, die Rückgrate unzähliger deutscher Unternehmens-IT, sind angreifbar. Nicht theoretisch, sondern demonstriert, dokumentiert, öffentlich.

Für NIS2-pflichtige Unternehmen ist das kein optionales Signal zum Nachdenken. Es ist eine konkrete Handlungsaufforderung, die mit messbaren Pflichten verknüpft ist: Risikomanagement, schnelles Patching, Meldewege, Geschäftsführerhaftung.

Die Frage ist nicht ob, sondern wann ähnliche Exploits in echten Angriffen eingesetzt werden. Wer jetzt handelt, schützt nicht nur seine IT – sondern auch seine Haftung, seinen Ruf und im schlimmsten Fall die Versorgungssicherheit seiner Kunden.

💡 Praxis-Tipp: NIS2-Compliance strukturiert managen

Die Anforderungen aus NIS2 – von der Risikoanalyse über das Patch-Management bis hin zur Meldepflicht – lassen sich in der Praxis kaum noch manuell überblicken. Spezialisierte NIS2-Compliance-Softwarelösungen helfen IT-Teams dabei, Risiken zu dokumentieren, Maßnahmen zu tracken und im Ernstfall BSI-konforme Meldungen strukturiert vorzubereiten. Wenn Sie noch kein solches Tool im Einsatz haben, lohnt sich ein Vergleich entsprechender Anbieter – gerade im Kontext aktueller Bedrohungslagen wie den Erkenntnissen aus Pwn2Own 2026.

Quellen: Bleeping Computer (15.05.2026), BSI – Bundesamt für Sicherheit in der Informationstechnik, ENISA Threat Landscape 2025, Zero Day Initiative / Trend Micro, NIS2-Richtlinie (EU) 2022/2555, BSI-Gesetz (BSIG)