Windows-Wiederherstellung gefährdet verschlüsselte Nutzerdaten

Auf den Sicherheitskonferenzen Black Hat USA 2025 und DefCon hat das Microsoft-Team für "Security Testing & Offensive Research" (STORM) neue Sicherheitslücken in der Windows-Wiederherstellungsumgebung (WinRE) demonstriert.

Es ist kompliziert

Die entdeckten Schwachstellen ermöglichen es Angreifern, den Festplattenverschlüsselungsdienst BitLocker zu umgehen und auf eigentlich geschützte Benutzerdaten zuzugreifen. WinRE lässt sich leicht starten - etwa durch Gedrückthalten der Umschalttaste beim Klick auf "Neu starten" am Windows-Anmeldebildschirm.

BitLocker, in Windows teils auch als "Device Encryption" bezeichnet, schützt gespeicherte Daten mittels vollständiger Laufwerksverschlüsselung (Full Volume Encryption, FVE) vor physischen Zugriffen, etwa wenn ein Gerät entwendet wird. Um sicherzustellen, dass WinRE auch bei verschlüsselten Systemlaufwerken funktionsfähig bleibt und den Nutzern bei größeren Problemen weiterhelfen kann, hatte Microsoft in der Vergangenheit allerdings mehrere Anpassungen vorgenommen.


Dazu zählen die Auslagerung der Datei WinRE.wim in eine unverschlüsselte Wiederherstellungspartition, die Einführung des "Trusted WIM Boot" zur Integritätsprüfung der Wiederherstellungsdatei sowie ein Mechanismus, der den Zugriff auf das Laufwerk erneut sperrt, wenn riskante Werkzeuge wie die Eingabeaufforderung genutzt werden.

Laut den hauseigenen Forschern wird WinRE nach erfolgreicher Integritätsprüfung automatisch entsperrt und kann dabei auf ungeschützte Partitionen wie die EFI-Systempartition und die Wiederherstellungspartition zugreifen. Genau in diesem Prozess fanden sie mehrere Schwachstellen, die erst durch die BitLocker-bedingten Änderungen an WinRE überhaupt relevant geworden seien.

Patches verfügbar

Microsoft rät Nutzern, den Einsatz eines TPM-Chips mit zusätzlicher PIN-Abfrage vor dem Systemstart zu aktivieren. So werde die Abhängigkeit vom automatischen Entsperren reduziert. Zudem empfiehlt der Konzern, die unter KB5025885 dokumentierte "REVISE"-Absicherung gegen Downgrade-Angriffe einzurichten.

Die Sicherheitslücken sind unter den Kennungen CVE-2025-48800, CVE-2025-48003, CVE-2025-48804 und CVE-2025-48818 erfasst. Geschlossen wurden sie mit Patches, die im Juli für Windows 10 und Windows 11 bereitgestellt wurden. Da Microsoft kumulative Updates veröffentlicht, sind die Korrekturen auch im August-Update enthalten, das in dieser Woche erschien. Die detaillierte technische Analyse hat Microsoft im offiziellen Sicherheitsblog veröffentlicht.


Siehe auch: