Mobile-Menu

Genial oder aus Versehen? Microsoft stellt Windows 11 Source Code versehentlich auf Github

Von Melanie Staudacher 2 min Lesedauer

Anbieter zum Thema

Vogel IT-Medien GmbH
Fsas Technologies GmbH
Insider Research

In der vergangenen Nacht war der Quellcode von Windows 11 für mehrere Stunden auf Github öffentlich einsehbar. Es dauerte nicht lange, bis Security-Forscher erste Sicherheitslücken entdeckten. Microsoft behauptet, dies sei Teil einer neuen Transparenzstrategie gewesen.

In der Nacht auf den 1. April gab es für Entwickler und Security-Forscher eine unerwartete Überraschung.(Bild: Archiv)
In der Nacht auf den 1. April gab es für Entwickler und Security-Forscher eine unerwartete Überraschung.
(Bild: Archiv)

Es ist der Albtraum jeder Security-Abteilung – und gleichzeitig ein Feiertag für Sicherheitsforscher weltweit: Der vollständige Quellcode von Windows 11 ist in der Nacht vom 31. März auf den 1. April 2025 für mehrere Stunden frei auf Github verfügbar gewesen. Verantwortlich war laut Microsoft ein „unerwarteter Automatisierungsfehler“ im CI/CD-Prozess.

Forscher entdecken Sicherheitslücken im Quellcode von Windows 11

Schon wenige Stunden nach der Offenlegung des Source Codes von Windows 11 berichteten erste Sicherheitsforscher von mehreren bislang unbekannten Zero-Day-Schwachstellen, darunter eine kritische Sicherheitslücke in der Kernel-Speicherverwaltung und ein neuer Angriffsvektor im Secure-Boot-Modul. Die Repository-Seite wurde mittlerweile gelöscht – jedoch zu spät: Forks kursieren bereits in einschlägigen Entwicklerforen.

Reakion von Microsoft

Besonders bemerkenswert: Microsoft äußerte sich binnen weniger Minuten in einer Pressemitteilung, in der der Vorfall als „Teil einer neuen Open-Source-Initiative“ bezeichnet wurde. Wörtlich heißt es: „Wir glauben an radikale Transparenz. Unsere Nutzer verdienen Einblick – bis auf Byte-Ebene.“

Insider vermuten, dass es sich um eine interne Verwechslung zweier Github-Repositories handelt: Ein neues Entwicklerhandbuch sollte automatisiert veröffentlicht werden. Stattdessen landete der interne Kernel-Branch in der Öffentlichkeit. Reaktionen aus der Branche reichen von schadenfroher Begeisterung bis hin zu ernsten Bedenken. „Wir patchen gerade mit Hochdruck Sicherheitslücken, die wir seit Monaten vermutet, aber nie belegen konnten“, so ein deutscher CISO gegenüber Security-Insider. Ein anderer Experte merkt an: „Wenn das Schule macht, brauchen wir demnächst alle einen Red-Team-Tarif bei Github.“

Microsoft rät derzeit von Änderungen an bestehenden Systemen ab und verspricht in Kürze einen neuen Sicherheitsbericht mit Empfehlungen. Entwickler sollen künftig mit signierten Builds arbeiten, deren Hash-Werte regelmäßig überprüft werden. Ob das Leck wirklich ein Unfall war oder ein stiller Testlauf für Open-Source-Windows ist unklar. Die Spekulationen reißen jedoch nicht ab. Sicher ist nur: Die Open-Source-Community hat gerade ihren heiligen Gral gefunden.

Diese Meldung ist ein #Aprilscherz! Sie wurde am 1. April 2025 auf Security-Insider veröffentlicht.

(ID:50367983)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte