Mobile-Menu

Pwn2Own Berlin 2025 Sicherheitsforscher decken 28 Zero-Day-Schwachstellen auf

Von Marvin Djondo-Pacham 2 min Lesedauer

Anbieter zum Thema

TREND MICRO Deutschland GmbH
Fsas Technologies GmbH
FAST LTA GmbH
FTAPI Software GmbH

28 Zero-Day-Schwachstellen, über eine Millionen US-Dollar Preisgeld und ein neues Siegerteam: Das ist das Ergebnis des diesjährigen White-Hat-Hacking-Contest „Pwn2Own“, der zum ersten mal in Deutschland stattfand.

Der White-Hat-Hacking-Contest „Pwn2Own“ fand dieses Jahr mit KI als neuer Kategorie in Berlin statt.(Bild: Marvin Djondo-Pacham)
Der White-Hat-Hacking-Contest „Pwn2Own“ fand dieses Jahr mit KI als neuer Kategorie in Berlin statt.
(Bild: Marvin Djondo-Pacham)

Die Zero Day Initiative (ZDI) hat den White-Hat-Hacking-Contest „Pwn2Own Berlin 2025“ veranstaltet. Der Contest fand im Rahmen der Offensive Con in Berlin statt. Vom 15. Mai bis 17. Mai versuchten renommierte Sicherheitsforscher, unbekannte Cybersicherheitslücken (Zero-Day-Schwachstellen) in Produkten aus den folgenden Kategorien zu finden:

  • Künstliche Intelligenz (KI)
  • Web Browser
  • Cloud-Native/Container
  • Virtualization
  • Enterprise Applications
  • Server
  • Local Escalation of Privilege
  • Automotive

Neue Kategorie: Künstliche Intelligenz

2025 war das erste Jahr, in dem es bei Pwn2Own eine eigene Kategorie für Angriffe auf KI-Systeme gab. Rund die Hälfte der 34 durchgeführten Exploit-Versuche bezog sich auf KI-Ziele. Das zeigt die hohe Relevanz, die KI mittlerweile bei Cybersecurity hat. Zielsysteme in dieser Kategorie waren unter anderem „Nvidia Triton“ und „Chroma“. Anbieter wie Nvidia arbeiten aktiv mit Pwn2Own zusammen und versuchen ihre Systeme im Vorfeld gegen bekannte Schwachstellen zu härten. Dennoch kam es zu „Collisions“, also Überschneidungen zwischen eingereichten Exploits und bereits bekannten Schwachstellen.

Bei einem erfolgreichen Angriff auf zum Beispiel Nvidia Triton könnte ein Angreifer durch eine Command-Injection-Schwachstelle beliebigen Schadcode ausführen – auch über das Netzwerk. Wäre ein solches System öffentlich erreichbar, könnten Angreifer es sogar für Wurm-Angriffe nutzen. „KI schafft einerseits neue Angriffsflächen, aber andererseits kann sie auch den Sicherheitsanbietern selbst helfen, Schwachstellen vor Veröffentlichung zu erkennen und zu beheben“, sagt Brian Gorenc, Vice President of Threat Research bei ZDI.

Über Brian Gorenc
Brian Gorenc ist Vice President of Threat Research bei Trend Micro und leitet die Zero Day Initiative (ZDI), das weltweit größte herstellerunabhängige Bug-Bounty-Programm. In dieser Rolle koordiniert er die Analyse und Offenlegung von Zero-Day-Schwachstellen und verantwortet die Organisation der renommierten Pwn2Own-Wettbewerbe, die regelmäßig neue Sicherheitslücken in Betriebssystemen, Browsern, Cloud-Umgebungen und KI-Systemen aufdecken. Gorenc ist eine zentrale Figur in der internationalen Sicherheitsforschung und setzt sich dafür ein, dass Schwachstellen verantwortungsvoll gemeldet und behoben werden, um die Sicherheit von Softwareprodukten weltweit zu verbessern.

Bildquelle: ZDI

Welches Team hat gewonnen?

Das Team von STAR Labs SG aus Singapur hat nach Ablauf der drei Tage die meisten Punkte (35) gewonnen. Somit dürfen sie den Titel „Master of Pwn“ für sich beanspruchen. Für die erfolgreichen Exploits erhält das Team ein Preisgeld von 320.000 US-Dollar.

Insgesamt wurden 1.078.750 US-Dollar Preisgeld ausgeschüttet. Während des Wettbewerbs hat die ZDI somit 28 unbekannte Zero-Day-Schwachstellen „angekauft“ und offengelegt – sieben davon stammen aus der neuen Kategorie KI.

Bildergalerie
Bildergalerie mit 6 Bildern

Wiz Research erstmals wegen KI-Kategorie dabei

Wiz Research, das Forschungsteam des kürzlich von Google für 32 Milliarden US-Dollar übernommenen israelischen Security-Startups Wiz, belegte nach Ende des Wettbewerbs den fünften Platz. Es war die erste Pwn2Own-Teilnahme des Teams. Ausschlaggebend dafür sei die neu eingeführte KI-Kategorie gewesen. „Wir haben uns dieses Jahr aufgrund der neuen KI-Kategorie entschieden teilzunehmen. Das Thema ist extrem relevant für unser Unternehmen – wir sind sehr stark im Bereich AI-Security unterwegs, also wollten wir unbedingt etwas beitragen,“ sagt Teammitglied Nir Ohfeld, Head of Vulnerability Research bei Wiz.

Ohfeld betont, dass die KI in der Cybersecurity vor allem bei der Erkennung von Bedrohungen zum Einsatz kommt: „KI beschleunigt den Prozess – für beide Seiten. Sie hilft aber eher beim Erkennen und Automatisieren, nicht beim eigentlichen Entwickeln von Exploits. Diese Arbeit bleibt nach wie vor menschlich.“

(ID:50433576)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte