Ex-Microsoft-Forscher aus Deutschland steckt hinter monatelangem Zero-Day-Feldzug

Der Sicherheitsforscher setzte Windows monatelang mit Exploit-Meldungen unter Druck, jetzt hat er sich zu erkennen gegeben: Hinter Nightmare Eclipse steckt Abdelhamid Naceri, ein früherer Microsoft-Sicherheitsforscher mit deutschem Wohnsitz.

In einer Reihe aufschlussreicher Beiträge auf X erklärte Naceri am Wochenende, er sei zum Zeitpunkt der Entlassung nur wenige Monate von der dauerhaften EU-Aufenthaltserlaubnis in Deutschland entfernt gewesen.

Naceri behauptet zudem, Microsoft habe sein Konto nach Ablauf der Kündigungsfrist noch zwei Monate offen gelassen, um einen „legitimen Weg“ für seine Entlassung zu provozieren. Er habe der Versuchung widerstanden.

Tag der Enthüllung für Nightmare Eclipse

Inmitten eines erbitterten und zutiefst persönlichen Streits mit seinem früheren Arbeitgeber veröffentlichte er mehrfach Windows-Exploits unter Pseudonymen wie Chaotic Eclipse, MS Nightmare und Infinite Nightmare.

Es ist die jüngste Wendung in einer Saga, die vergangene Woche ihren vorläufigen Höhepunkt erreichte, als Nightmare Eclipse Microsofts September-Patchday sprengte und ShieldCrash veröffentlichte – einen Proof of Concept, der den ShieldBreak-Patch für Defender nach seinen Angaben vollständig aushebelt.

Eine Reihe offenherziger Posts auf X unter dem Hashtag „STORY TIME“ zeigt, wie sehr der Rechtsstreit mit Microsoft Naceri zugesetzt hat. Er gibt an, inzwischen in einer psychiatrischen Klinik behandelt zu werden.

Erstmals veröffentlichte er auch sein Kündigungsschreiben von Microsoft. Darin wurde ihm im März 2025 mitgeteilt, dass sein Arbeitsverhältnis im Juni desselben Jahres ende.

Das auf Deutsch verfasste Schreiben nennt die Daten der Kündigung und zeigt, dass Naceri sofort für drei Monate freigestellt wurde. Einen Grund für die Entlassung nennt es nichtf.

Trotz der ausgesprochenen Kündigung habe Microsoft sein Konto zwei weitere Monate lang nicht gesperrt, behauptet er. So habe er weiter Zugriff auf interne Ressourcen gehabt.

Die Kündigung hatte offenbar Folgen weit über den Job hinaus. Naceri zufolge fehlten ihm nur wenige Monate bis zur dauerhaften Aufenthaltserlaubnis in Deutschland, als Microsoft ihn vor die Tür setzte.

Im Land bleiben zu können sei deshalb einer der zentralen Punkte in seinem Kampf gegen die Kündigung.

Der Streit habe ihn am Ende mehr als 200.000 Dollar gekostet, sagt er. Ein Angebot von Microsoft über 55.000 Euro plus ein Jahresgehalt für die Rücknahme der Klage habe er abgelehnt, weil er wollte, dass ihm das Unternehmen beim Verbleib in Deutschland helfe.

Meine einzige Bedingung war, in Deutschland bleiben zu können. Für Microsoft wäre das ein Leichtes gewesen, doch sie haben abgelehnt.

– Abdelhamid Naceri alias Nightmare Eclipse auf X

Nicht alles, was Naceri bisher über den Streit erzählt hat, hat sich als zutreffend erwiesen. In einem seiner jüngsten Beiträge nahm er die frühere Behauptung zurück, sein Ex-Arbeitgeber habe ihn verklagt: „MS hat nie geklagt, ich habe gelogen.“

Die Enthüllung seiner Identität fällt in eine Phase, in der Naceris Beiträge deutlich persönlicher geworden sind. Er schreibt über den Konflikt mit seinem früheren Arbeitgeber und über seine psychische Verfassung.

Derzeit werde er in einer psychiatrischen Klinik behandelt, sagt er.

Weitere aktuelle Beiträge handeln von „extremer Isolation und Einsamkeit“ und von den persönlichen Folgen des Streits.

Cybernews hat Microsoft um eine Stellungnahme gebeten.

„Idol“ der Windows-Sicherheitsszene

In der Sicherheitsszene kannte man Naceris Arbeit offenbar schon lange vor seiner Zeit als Nightmare Eclipse.

Ein Forscher bezeichnete Naceri als „Idol“ und erinnerte daran, dessen Windows-Forschung schon vor Jahren verfolgt zu haben. Er lobte die Fähigkeit, ungewöhnlich kreative Schwachstellen in großen Sicherheitsprodukten und Windows-Komponenten aufzuspüren.

Andere Leser zeigten weniger Mitgefühl und warfen dem Forscher vor, schon während seiner Zeit bei Microsoft Zero-Days veröffentlicht zu haben.

Ich kann mich irren, aber es sieht so aus, als hättest du schon vor deiner Kündigung Zero-Day-Schwachstellen auf Webseiten veröffentlicht, und genau deshalb wurdest du entlassen. So liest sich das für mich jedenfalls.

– Nutzer @Flatlinedixie13 auf X.

@gmhzxy riet dagegen: „Trenne das Hobby vom Job. Nur so überleben beide.“

Von GitHub verbannt

Seit April hat Nightmare Eclipse insgesamt rund 14 Zero-Day-Exploits offengelegt: neun davon zielen direkt auf Windows und Defender ab, die übrigen auf Sicherheitslösungen von Drittanbietern wie CrowdStrike, NVIDIA, Kaspersky und Avast.

Die größten Code-Plattformen GitHub und GitLab sperrten die Konten des Forschers und löschten seinen Code. Das hielt ihn jedoch nicht auf. Er änderte seinen Namen und veröffentlichte weiter in mehreren unabhängigen Repositories.