Microsoft startet Abwehr des "YellowKey"-Windows-Zero-Day-Angriffs

Neue Zero-Day-Lücke in Windows: Die BitLocker-Schwachstelle "YellowKey" ermöglicht Zugriff auf eigentlich geschützte Laufwerke - wir berichteten bereits. Microsoft liefert jetzt erste Gegenmaß­nahmen, ein Patch fehlt allerdings noch.

Und wieder die Festplattenverschlüsselung BitLocker

Microsoft hat auf die Windows-Sicherheitslücke reagiert und erste Schutzmaßnahmen veröffentlicht. Die Schwachstelle mit dem Namen "YellowKey" betrifft die Festplattenverschlüsselung BitLocker und kann Angreifern Zugriff auf eigentlich geschützte Laufwerke ermöglichen.

Entdeckt wurde die Lücke von einem Sicherheitsforscher mit dem Pseudonym "Nightmare Eclipse". Dieser hatte bereits in den vergangenen Wochen mehrere bislang unbekannte Schwachstellen öffentlich gemacht und teilweise funktionsfähige Angriffscodes veröffentlicht. Auch im Fall von YellowKey existiert ein sogenannter Proof of Concept, der die Ausnutzung demonstriert.

Angreifer kann weitreichende Zugriffsrechte erlangen

Nach Angaben des Forschers lässt sich die Lücke über speziell präparierte Dateien ausnutzen, die etwa auf einem USB-Stick oder in einer EFI-Partition abgelegt werden. Beim Start in die Windows-Wiederherstellungsumgebung (WinRE) kann so eine Systemkonsole mit weitreichenden Zugriffsrechten geöffnet werden und das selbst auf BitLocker-geschützten Datenträgern.

Microsoft führt die Schwachstelle inzwischen unter der Kennung CVE-2026-45585 und bestätigt, dass es sich um eine Umgehung von Sicherheitsfunktionen handelt. Ein reguläres Sicherheitsupdate steht noch aus. Bis dahin empfiehlt das Unternehmen mehrere Gegenmaßnahmen.

Windows-Startkonfiguration sollte geändert werden

Im Fokus steht dabei eine Änderung in der Windows-Startkonfiguration: Der automatische Start eines Systemtools (autofstx.exe) soll deaktiviert werden, um den Angriffspfad zu unterbinden. Zudem rät Microsoft dazu, die Vertrauenskette von BitLocker in der Wiederherstellungsumgebung neu zu konfigurieren.

Ein erfolgreicher Angreifer könnte die BitLocker-Geräteverschlüsselung auf dem Speichergerät des Systems umgehen. Ein Angreifer mit physischem Zugriff auf das Zielsystem könnte diese Sicherheitslücke ausnutzen, um Zugriff auf verschlüsselte Daten zu erlangen.

Darüber hinaus empfiehlt der Konzern, BitLocker nicht mehr ausschließlich im TPM-Modus zu betreiben. Stattdessen soll zusätzlich eine PIN beim Systemstart erforderlich sein. Diese Kombination erhöht die Sicherheit deutlich, da ein physischer Zugriff allein dann nicht mehr ausreicht.

Für noch nicht verschlüsselte Geräte können Administratoren entsprechende Richtlinien zentral vorgeben, etwa über Gruppenrichtlinien oder Microsoft Intune. Dabei sollte die zusätzliche Authentifizierung beim Start verpflichtend aktiviert werden.

Wie bewertet ihr die Gefahr durch solche BitLocker-Lücken - eher theoretisch oder ein echtes Risiko im Alltag?


Siehe auch: