Rust gilt bei Microsoft ab sofort als Tier-1-Sprache, also als eine der am besten unterstützten Sprachen für die interne Entwicklung. Principal Engineer Victor Ciura, seit 25 Jahren C++-Entwickler, hat den Schritt in einem Gastbeitrag der Rust Foundation öffentlich gemacht.[1] Für Entscheider zählt weniger das Sprach-Label als die Frage, warum ausgerechnet ein C++-Veteran den Wechsel vorantreibt.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Das Wichtigste in Kürze
- Rust erreicht bei Microsoft Tier-1-Status neben C++, C# und TypeScript, mit abgesicherter Toolchain, produktiven Werkzeugen und Pflicht-Konformität zum Secure Development Lifecycle.
- Das Backend rustc_codegen_utc koppelt den Rust-Compiler an Microsofts MSVC-Technik, ist seit Anfang 2026 produktionsreif, und über 100 interne Projekte bauen damit.
- Der eigentliche Hebel ist Speichersicherheit: Rund 70 Prozent der über Jahre gepatchten Microsoft-Schwachstellen gehen auf Speicherfehler in C und C++ zurück.
- Für den Mittelstand rückt Rust damit aus der Nische in den Compliance-Kontext, den die EU mit dem Cyber Resilience Act verschärft.
Was bedeutet Tier-1-Status bei Microsoft?
Tier-1 heißt: von der lokalen Entwicklung bis zur Produktion ein durchgehend abgesicherter Pfad. Konkret verlangt der Rang fünf Bausteine: sichere Toolchain-Builds, produktive Entwicklerwerkzeuge, saubere Qualitäts-Workflows, tiefe Plattform-Integration und die Erfüllung der Vorgaben aus Microsofts Secure Development Lifecycle.
Technisch steht dahinter das Compiler-Backend rustc_codegen_utc, das den Rust-Compiler an Microsofts jahrzehntealte MSVC-Maschinerie andockt und Rust wie C++ auf Windows übersetzt. Seit Version 1.90 baut sich der Compiler damit selbst, produktionsreif seit Anfang 2026.[1] Über 100 interne Projekte laufen bereits darüber.
Warum ist Speichersicherheit die eigentliche Nachricht?
Rust schließt genau die Fehlerklasse, die Microsofts Statistik seit Jahren anführt. Rund 70 Prozent der Schwachstellen, die Microsoft über mehr als ein Jahrzehnt mit einer CVE-Kennung gepatcht hat, entstehen durch Speicherfehler in C und C++, allen voran Use-after-free und Heap-Korruption.[2]
Solche Fehler tauchen bis heute auf. Die Kernel-Lücke Januscape etwa war eine Use-after-free, die 16 Jahre unentdeckt im Linux-Kernel schlummerte. Wie hoch die Last ist, zeigt ein einzelner Microsoft-Patchday mit 570 Schwachstellen.
Rust verhindert diese Fehler bereits zur Kompilierzeit durch sein Eigentumsmodell, nicht erst im nachträglichen Patch. Denselben Zweck verfolgt Fil-C, das bestehenden C-Code nachträglich speichersicher macht. Der Rust-Foundation-Beitrag selbst spricht auffällig wenig über Sicherheit und betont die nahtlose Verzahnung mit C++, doch genau der Sicherheitsgewinn erklärt Microsofts Millioneninvestition in das Rust-Projekt.
Ein C++-Veteran, der nach 25 Jahren öffentlich auf Rust setzt, tut das nicht aus Geschmack. Speicherfehler gelten damit nicht mehr als Betriebsunfall, sondern als vermeidbares Haftungsrisiko.
— Markus Seyfferth, Chefredakteur Dr. Web
Was heißt das für Entscheider im Mittelstand?
Der Schritt ist kein Auftrag, über Nacht Millionen Zeilen C++ neu zu schreiben. Microsoft beschreibt einen schrittweisen Pfad mit enger Verzahnung von Rust und C++, keinen Abriss gewachsener Codebasen. Zugleich ist Rusts Windows-Werkzeugkette jünger als die von C++, was Teams beim Umstieg einplanen sollten.
Rückenwind kommt von den Behörden. CISA, NSA und internationale Partner empfehlen seit Ende 2023 verbindliche Fahrpläne hin zu speichersicheren Sprachen und nennen Rust ausdrücklich.[3] In der EU verschärft der Cyber Resilience Act die Pflicht zu sicherer Software-Entwicklung für vernetzte Produkte.
Für kleine und mittlere Betriebe rückt Speichersicherheit damit aus der Entwickler-Ecke in die Grundlagen der Cybersecurity. Praktisch zählt zweierlei: Neue sicherheitskritische Komponenten gehören in eine speichersichere Sprache, und bei Zulieferern lohnt die Frage nach deren Speichersicherheits-Fahrplan, weil der Cyber Resilience Act die Verantwortung zum Hersteller verschiebt.
Warum ein Sprach-Rang zur Sicherheitsentscheidung wird
Quellen
[1] Rust Foundation: „Guest Post: Rust Is Tier-1 Language at Microsoft“
[2] Microsoft Security Response Center: „A proactive approach to more secure code“
[3] CISA: „The Case for Memory Safe Roadmaps“
Mehr Newshunger?
- MAI-Cyber-1-Flash: Microsofts KI-Modell findet Sicherheitslücken und schreibt den Patch
- 172-mal günstiger: Ciscos offene Mini-KI spürt Sicherheitslücken im Code auf
- Schädliches Rust-Paket arrayref: Der Schadcode startet beim Kompilieren
- Rückstau bei 300 Sicherheitslücken: Microsoft kommt nicht mehr nach mit den Patches
- CrowdStrike Falcon: Zero-Day macht die Schutzsoftware zur Angriffsfläche
- Höchstwertung für Ciscos Firewall-Lücke: CISA warnt vor drei Herstellern
