Der Redmonder Riese reagiert wieder einmal überstürzt. Ein Sicherheitsforscher, bekannt unter dem Pseudonym Chaotic Eclipsehat den Exploit öffentlich bekannt gegeben und dabei den üblichen koordinierten Offenlegungsprozess umgangen. Der Fehler mit einem CVSS-Score von 6,8 betrifft mehrere Versionen von Windows 11 und Windows Server 2025. Die Ursache? Falsches Vertrauen in das Verhalten der Windows-Wiederherstellungsumgebung (WinRE), wodurch ein Angreifer vollständigen Zugriff auf das geschützte Volume erhalten kann, bevor das System überhaupt startet.
Wie kann ein einfaches USB-Laufwerk die BitLocker-Verschlüsselung umgehen?
Der Angriff erfordert kein Passwort oder komplexe Software. Der Mechanismus dieser Sicherheitsverletzung beruht auf der Injektion schädlicher Dateien, genannt „FsTx“, auf einen USB-Stick oder direkt in die EFI-Bootpartition. Durch einen Neustart der Maschine in der Windows-Wiederherstellungsumgebung und das Gedrückthalten einer Taste erhält der Angreifer eine Befehlskonsole mit unbegrenzten Rechten. Die Verschlüsselung wird unterbrochen und die Daten werden offengelegt.
Der wahre Übeltäter ist ein Dienstprogramm namens autofstx.exedas beim Start von WinRE automatisch ausgeführt wird. Es ist sein Verhalten, das ausgenutzt wird, um eine wichtige Konfigurationsdatei zu löschen und so eine klaffende Lücke zu öffnen. Die Tatsache, dass diese Manipulation stattfindet, bevor das Betriebssystem vollständig geladen ist, macht die meisten herkömmlichen Sicherheitstools völlig blind. Dies ist ein perfekter blinder Fleck für einen geduldigen Angreifer.
Welche Lösungen bietet Microsoft ohne Patch an?
Da ein echter Software-Patch noch auf sich warten lässt, hat Microsoft zwei Workaround-Strategien detailliert beschrieben. Die erste ist technischer Natur und richtet sich hauptsächlich an Systemadministratoren. Dabei muss das Windows-Wiederherstellungsabbild auf jedem Computer manuell geändert werden, um zu verhindern, dass das problematische Programm automatisch ausgeführt wird. Eine Operation, die zwar dokumentiert, aber nicht für jedermann zugänglich und schwer in großem Maßstab durchzuführen ist.
Die zweite Lösung ist jedoch viel zugänglicher. Microsoft empfiehlt dringend, von der standardmäßigen „nur TPM“-BitLocker-Konfiguration (Trusted Platform Module, der Sicherheitschip auf Ihrem Motherboard) zur „TPM+PIN“-Authentifizierung zu wechseln.„. Das Hinzufügen dieses einfachen PIN-Codes, der beim Start angefordert wird, reicht aus, um den YellowKey-Angriff vollständig zu blockieren, da die Festplatte verschlüsselt bleibt, bis der richtige Code bereitgestellt wird. Einfacher Schutz für ein komplexes BitLocker-Verschlüsselungsproblem.
Ist dieser körperliche Defekt wirklich eine ernsthafte Bedrohung?
Die Notwendigkeit eines physischen Zugangs an die Maschine relativiert die Bedrohung für den durchschnittlichen Benutzer. Es ist unwahrscheinlich, dass Ihr Desktop-Computer, gemütlich zu Hause, ins Visier genommen wird. Allerdings ändert sich das Szenario für die Unternehmenswelt und mobile Berufstätige drastisch. Ein aus einem Zug gestohlener Laptop, eine Maschine, die unbeaufsichtigt im Büro steht … Das sind die perfekten Ziele. Datendiebstahl wird trivial.
BitLocker wurde genau für den Schutz von Daten in diesen Szenarien entwickelt. Es ist besorgniserregend, dass dieser Schutz so direkt umgangen wird. Dieser Fehler ist eine vernichtende Erinnerung daran, dass physische Sicherheit keine Option, sondern die erste Verteidigungslinie ist. Softwareschutz, so robust er auch sein mag, kann nichts ausrichten, wenn die Tür zum Haus weit offen steht. Warten auf ein Sicherheitsupdate offiziell ist die Aktivierung des PIN-Codes offensichtlich.
Häufig gestellte Fragen (FAQ)
Was ist eine Zero-Day-Schwachstelle?
Ein Zero-Day-Fehler ist eine Softwareschwachstelle, die von Angreifern entdeckt und potenziell ausgenutzt wurde, bevor der Softwarehersteller Zeit hatte, einen Patch zu entwickeln und zu veröffentlichen. „Tag Null“ ist der Tag, an dem der Fehler öffentlich gemacht wird und die Benutzer schutzlos sind, bis ein Patch verfügbar ist.
Bin ich betroffen, wenn ich eine ältere Windows-Version verwende?
Nein. Nach Angaben von Microsoft betrifft die YellowKey-Schwachstelle (CVE-2026-45585) insbesondere Windows 11 (Versionen 24H2, 25H2, 26H1), Windows Server 2025 und Windows Server 2025 (Server Core). Frühere Versionen wie Windows 10 werden nicht als betroffen aufgeführt.
Verlangsamt die Aktivierung einer PIN beim Start meinen Computer?
Der Einfluss auf die Geschwindigkeit ist vernachlässigbar. Durch das Hinzufügen einer PIN wird die Festplattenentschlüsselung nur um einige Sekunden verzögert, während Sie den Code eingeben. Es hat keinen Einfluss auf die Leistung Ihres Computers, sobald das Betriebssystem gestartet ist. Dies stellt zwar eine leichte Unannehmlichkeit dar, bietet jedoch einen großen Sicherheitsgewinn.
