Neues Security-Konzept für Windows:
Kein Kernel-Zugang für Antivirus

Nach dem verheerenden Zwischenfall mit CrowdStrike im ver­gan­ge­nen Sommer zieht Microsoft Konsequenzen: Ein neues Sicherheits­konzept für Windows soll künftig Systemabstürze dieser Größen­ordnung verhindern.

Lehren aus CrowdStrike-Katastrophe

Damals hatten fehlerhafte Kernel-Treiber weltweit massive Störungen verursacht - von Ausfällen in Krankenhäusern über lahmgelegte Bankensysteme bis hin zu Flugausfällen. Der Gesamtschaden ging in die Milliarden.

Im Zuge der Aufarbeitung veranstaltete Microsoft ein Sicherheitsgipfeltreffen mit CrowdStrike und weiteren führenden Anbietern von Endpoint-Sicherheitssoftware. Daraus sind neue Leitlinien für die sichere Softwarebereitstellung sowie tiefgreifende Änderungen an der Windows-Architektur hervorgegangen.

Ein zentrales Ergebnis: Microsoft will künftig verhindern, dass Drittanbieter sicherheitsrelevante Treiber direkt im sensiblen Kernel-Bereich von Windows ausführen. Stattdessen sollen diese zukünftig im User Space laufen - also dort, wo auch normale Anwendungen agieren.


Betroffen davon sind in erster Linie auch diverse Antivirus-Anwendungen, die sich bisher tief ins System einklinken. Ziel ist es, potenziell katastrophale Systemabstürze durch fehlerhafte Treiber zu vermeiden und die Stabilität sowie Wiederherstellbarkeit zu verbessern.

Im Juli beginnt eine geschlossene Testphase der neuen Sicherheitsarchitektur für ausgewählte Partner, die am "Microsoft Virus Initiative 3.0"-Programm teilnehmen. Dazu gehören namhafte Hersteller wie Bitdefender, ESET, SentinelOne, Trellix, Trend Micro, WithSecure - und auch CrowdStrike.

Anbieter skeptisch

Allerdings zeigen sich viele Anbieter vorsichtig: Zwar loben sie die Zusammenarbeit mit Microsoft, doch eine klare Verpflichtung zur vollständigen Verlagerung ihrer Sicherheitslösungen aus dem Kernel-Raum gibt es bislang nicht. Besonders ESET, das sich im Vorjahr noch strikt gegen eine solche Änderung ausgesprochen hatte, formuliert seine Bedenken inzwischen diplomatischer, bleibt aber skeptisch.

Komplett fehlte in der aktuellen Ankündigung hingegen Sophos - ein Unternehmen, das sich weiterhin vehement gegen die vorgeschlagene Änderung ausspricht. Für Sophos sind Kernel-Treiber zentraler Bestandteil ihrer Sicherheitsarchitektur. "Der Zugriff auf den Kernel ist entscheidend für moderne Sicherheitsfunktionen", erklärte Simon Reed, Forschungsleiter des Unternehmens. Das letzte Wort dürfte hier trotzdem Microsoft haben.


Siehe auch: