Was passiert
Auf Pwn2Own Ireland, dem internationalen Hacking-Contest im irischen Cork, gelang es drei unabhängigen Forschungsteams am 8. Oktober 2026, das Google Pixel 10 erfolgreich zu hacken. Die Besonderheit: Der Contest sieht vor, dass alle Ziele vollständig gepatcht sein müssen – das macht solche erfolgreichen Attacken technisch deutlich anspruchsvoller als gegen veraltete Systeme.
Pwn2Own ist eines der renommiertesten Events der Security-Forschungsszene. Der Contest funktioniert nach einem klaren Modell: Forschungsteams präsentieren funktionsfähige Exploits gegen vordefinierte Ziele – ob Smartphones, Browser, Server oder IoT-Geräte. Wer erfolgreich einen Exploit demonstriert, erhält Preisgelder und trägt gleichzeitig zur Sicherheit bei, denn die gefundenen Schwachstellen werden den betroffenen Herstellern direkt gemeldet, bevor sie öffentlich bekannt gemacht werden.
Beim Google Pixel 10 demonstrierten die drei Teams, dass auch neu gepatchte Geräte Sicherheitslücken aufweisen können, die unter Laborbedingungen ausgenutzt werden. Das wertvollste dieser Exploits stammte von Ikotas Labs, das sich damit die Topprämie von 300.000 Dollar sicherte. Dieser Preis machte das Team zudem zum Gesamtsieger des Events – ein klares Zeichen dafür, dass das Exploit besonders schwierig zu entwickeln war oder mehrere Sicherheitsebenen des Devices durchbrechen musste.
Das Pixel 10 ist Googles aktuelles Flagship-Smartphone und repräsentiert den neuesten Stand von Googles eigenem Sicherheits-Hardwaresystem, das die Verarbeitung sensibler Daten wie biometrische Authentifizierung durch spezialisierte Komponenten schützen soll. Dass gleich drei unabhängige Teams Schwachstellen fanden und exploitieren konnten, unterstreicht, wie komplex die Sicherheitsherausforderungen in modernen Smartphones bleiben – trotz massiver Investitionen der Hersteller in Security-Architektur.
Das Event zeigt auch die Bedeutung kontrollierter Sicherheitsforschung: Durch die Zusammenarbeit mit Pwn2Own erhalten Vulnerability-Forscher finanzielle Anreize, ihre Erkenntnisse responsibly zu teilen, statt sie auf dem Schwarzmarkt zu verkaufen oder zu lagern.
Einordnung
Pwn2Own existiert seit 2007 und hat sich zum Standard-Showcase für Zero-Day-Forschung entwickelt. Der Contest wird von Trend Micro organisiert und zeichnet sich dadurch aus, dass nur vollständig gepatchte Systeme Ziel sein dürfen – das schließt Known Vulnerabilities aus und zwingt Forscher, neue, unbekannte Lücken zu finden und auszunutzen. Das ist technisch aufwendiger und zeitintensiver als das Exploiten bekannter CVEs.
Google Pixel-Geräte sind eine beliebte Klasse bei Pwn2Own, weil sie eine enge Integration von Software, Hardware und spezialisierter Security-Hardware wie dem Titan-Chip darstellen. Das macht sie sowohl interessant für Sicherheitsforscher als auch potenziell anfällig für komplexe, mehrstufige Attacken. Ein erfolgreicher Remote-Exploit auf einem solchen Device erfordert typischerweise das Verkettern mehrerer kleinerer Schwachstellen – etwa eine Memory-Corruption-Lücke im Kernel, kombiniert mit einem Privilege-Escalation-Bug.
Die Tatsache, dass Ikotas Labs mit ihrer Entdeckung die Top-Prämie von 300.000 Dollar erreichte, deutet darauf hin, dass es sich um einen besonders wertvollen Fund handelt. Im Pwn2Own-Preismodell sind hoch prämierte Exploits normalerweise solche, die mehrere Sicherheitsschichten durchbrechen oder einen Remote-Code-Execution ohne Benutzerinteraktion ermöglichen – also maximale praktische Auswirkung mit minimalen Voraussetzungen.
Die bisherige Markttrends zeigen, dass Smartphone-Exploits auf dem legalen Sicherheitsmarkt zunehmend wertvoller werden, während gleichzeitig die Hersteller ihre Schutzmaßnahmen verschärfen. Diese gegenseitige Eskalation führt zu größeren Prämien und aufwendigeren Exploit-Techniken. Dass gleich drei Teams beim Pixel 10 erfolgreich waren, könnte ein Indiz für eine ungewöhnlich reichhaltige Angriffslandschaft sein – oder einfach für die Attraktivität des Gerätes als Forschungsobjekt.
Was das bedeutet
Die wiederholten erfolgreichen Angriffe auf das Pixel 10 zeigen eine zentrale Realität: Vollständig gepatchte Systeme sind nicht gleichbedeutend mit sicheren Systemen. Sicherheitspatches beheben bekannte Lücken, aber sie können keine unbekannten Vulnerabilities schließen – per Definition. Pwn2Own-Events demonstrieren dies eindrucksvoll und regelmäßig.
Für Google ist das Ergebnis ein klarer Forschungsauftrag. Die Funde werden dem Unternehmen jetzt mitgeteilt, und Google muss die Ursachen analysieren und Fixes entwickeln. Das ist der Zweck des Contests: Nicht zu beschämen, sondern die Hersteller auf neue, unbekannte Sicherheitslücken hinzuweisen, bevor Kriminelle oder staatliche Akteure sie finden. Aus Nutzersicht bedeutet das konkret, dass in den kommenden Wochen oder Monaten neue Sicherheitspatches für Pixel-10-Nutzer zu erwarten sind – gerade weil das Exploit von Ikotas Labs als „wertvoll" klassifiziert wurde und die Schwachstelle daher wahrscheinlich breit anwendbar und schwer zu schließen ist.
Die größere Lektion: Kein Gerät ist unhackbar, und Sicherheit ist ein kontinuierlicher Prozess. Pwn2Own macht diese Wahrheit jedes Jahr aufs Neue sichtbar und trägt damit zur Gesamtsicherheit des Ökosystems bei – indem es Forscher bezahlt, Bugs zu melden statt sie zu missbrauchen.
