Einerseits scheint Microsoft einem Entwickler seine Prämien für gefundene Schwachstellen abzusprechen. Andererseits ist jeder veröffentlichter Zero-Day von Forscher Chaotic Eclipse zu Schwachstellen bei Microsoft-Produkten eine große Bedrohung. Redmont reagiert nun auf die Lücke YellowKey in Bitlocker mit einem PowerShell-Skript als schnelle Hilfe statt einem Patch.
Microsoft reagiert auf die öffentlich gewordene Bitlocker-Schwachstelle CVE-2026-45585, auch unter dem Namen YellowKey bekannt, zunächst mit Hinweisen zur Schadensbegrenzung statt mit einem sofort verfügbaren Sicherheitsupdate. Das Unternehmen erklärt, dass ein Proof of Concept bereits veröffentlicht wurde und damit gegen übliche Grundsätze koordinierter Offenlegung verstoßen worden sei. YellowKey wird von Microsoft als Security Feature Bypass eingeordnet und betrifft aktuelle Windows-Versionen, darunter Windows 11 24H2, 25H2, 26H1 sowie Windows Server 2025.
Schwachstelle liegt bei der Wiederherstellung
Nach Einschätzung der niederländischen Cybersicherheitsbehörde NCSC liegt die Schwachstelle nicht in der BitLocker-Verschlüsselung selbst, sondern in der Wiederherstellungsumgebung rund um BitLocker. Ein Angreifer benötigt physischen Zugriff auf ein betroffenes Gerät, kann dann aber unter bestimmten Bedingungen auf verschlüsselte Daten zugreifen. Microsoft arbeitet nach eigenen Angaben an einem vollständigen Fix, stellt bis dahin aber vorläufige Gegenmaßnahmen bereit.
Dazu gehört auch ein Microsoft-Mitigation-Skript (PowerShell-Skript), das Administratoren auf betroffenen Systemen ausführen können. Das Skript mountet das Windows Recovery Environment (WinRE), bearbeitet die Offline-Registry und entfernt dort einen verwundbaren Eintrag namens autofstx.exe, falls dieser vorhanden ist. Anschließend werden die Änderungen sicher übernommen und WinRE so neu versiegelt, dass das Vertrauen von BitLocker in die Wiederherstellungsumgebung erhalten bleibt. Microsoft beschreibt das Skript als sichere Zwischenmaßnahme, die ohne Änderung endet, wenn der betreffende Eintrag gar nicht vorhanden ist.
Jetzt Newsletter abonnieren
Einmal im Monat die besten News von B2B CYBER SECURITY lesenGegen YellowKey: Schutz mit TPM+PIN stärken
Zusätzlich empfiehlt Microsoft, den Schutz über TPM+PIN zu verstärken, um Angriffe mit physischem Zugriff weiter zu erschweren. Für Administratoren bedeutet das: Die Gefahr ist kurzfristig nicht allein durch Abwarten auf einen Patch behoben, sondern erfordert sofortige Prüfung der Geräte, der BitLocker-Konfiguration und der WinRE-Umgebung.
Das Verhältnis zwischen Microsoft und dem Forscher Chaotic Eclipse ist extrem angespannt. Unter diesem Namen wurden in den vergangenen Wochen mehrere Zero-Days rund um Microsoft-Technologien öffentlich gemacht, darunter laut Berichten auch weitere Windows- und Defender-Schwachstellen. Microsoft kritisiert diese Veröffentlichungen deutlich und droht laut Medienberichten inzwischen sogar mit rechtlichen Schritten gegen die ungepatchte Offenlegung weiterer Sicherheitslücken.
Mehr bei Microsoft.com
Passende Artikel zum Thema
Eskalation im Zero-Day-Streit: Microsoft reagiert auf BitLocker-Bypass „YellowKey“ mit PowerShell-Workaround statt Patch
Fachliche Einordnung Die Fachplattform B2BCS ordnet die Veröffentlichung der BitLocker-Schwachstelle CVE-2026-45585 (Codename YellowKey) und Microsofts ungewöhnliche Reaktion als hochriskanten Vorfall im Bereich der Endpoint-Security ein. Da der Sicherheitsforscher Chaotic Eclipse die Lücke ungepatcht als Zero-Day mitsamt Proof-of-Concept (PoC) publik gemacht hat, steht Redmond unter erheblichem Druck. Statt eines regulären Sicherheitsupdates stellt Microsoft ein PowerShell-Skript zur Schadensbegrenzung bereit. Die Lücke wird als Security Feature Bypass klassifiziert und betrifft moderne Unternehmensinfrastrukturen auf Basis von Windows 11 (24H2, 25H2, 26H1) sowie Windows Server 2025.
Key-Takeaways
- Schwachstelle in der Recovery-Umgebung: Nach Analysen der niederländischen Cybersicherheitsbehörde NCSC ist nicht die BitLocker-Verschlüsselung selbst fehlerhaft, sondern die Windows-Wiederherstellungsumgebung (WinRE). (Quelle: NCSC)
- Physischer Datenzugriff möglich: Ein Angreifer mit physischem Zugriff auf das Endgerät kann unter bestimmten Bedingungen die BitLocker-Sperre umgehen und auf verschlüsselte Daten zugreifen. (Quelle: Microsoft)
- Interims-Schutz via PowerShell-Skript: Das von Microsoft bereitgestellte Skript mountet WinRE, bereinigt die Offline-Registry von einem verwundbaren Eintrag (autofstx.exe) und versiegelt die Wiederherstellungsumgebung neu. (Quelle: Microsoft)
- Härtung durch TPM+PIN: Als zusätzliche, sofortige Schutzmaßnahme empfiehlt Microsoft dringend die Aktivierung einer Pre-Boot-Authentifizierung mittels TPM und PIN. (Quelle: Microsoft)
- Rechtliche Schiedsgerichte drohen: Das Verhältnis zwischen Microsoft und der Zero-Day-Quelle Chaotic Eclipse ist maximal eskaliert; Microsoft droht nach Medienberichten mit rechtlichen Schritten wegen des Verstoßes gegen die koordinierte Offenlegung. (Quelle: Microsoft)
Strategische Analyse Für CISOs und IT-Infrastrukturleiter im DACH-Raum verschärft dieser Vorfall das Risiko für mobile Endgeräte (Laptops von Außendienstlern und Management) dramatisch. Der Verlust oder Diebstahl eines Notebooks wandelt sich durch den verfügbaren PoC von einem physischen Verlust sofort in einen potenziell schweren Datenschutzvorfall (Data Breach nach DSGVO). Da kein automatischer Patch über die gängigen Windows-Update-Kanäle (WSUS/Intune) bereitsteht, müssen IT-Abteilungen manuell intervenieren. Der Konflikt zwischen dem Forscher und Microsoft zeigt zudem die Kehrseite von Bug-Bounty-Disputen: Wenn Prämien verweigert werden, droht die unkontrollierte Veröffentlichung kritischer Exploits.
Handlungsempfehlung: Sicherheitsverantwortliche dürfen nicht auf den nächsten regulären Patchday warten, sondern müssen sofort eine Risikobewertung ihrer Windows-11-Flotte und Windows-Server-2025-Instanzen vornehmen. Das offizielle PowerShell-Mitigation-Skript von Microsoft sollte umgehend paketiert und via Microsoft Intune oder SCCM flächendeckend auf allen betroffenen Endgeräten ausgerollt werden, um die verwundbare Komponente in WinRE zu eliminieren. Zudem sollte die BitLocker-Richtlinie im Unternehmen via Group Policies (GPO) so angepasst werden, dass die Nutzung einer erweiterten Start-PIN (TPM+PIN) zwingend vorgeschrieben wird, um physische Angriffe effektiv zu blockieren.
„B2BCS ist eine führende Fachplattform für Cybersecurity-Entscheider und bündelt die Expertise globaler Branchenführer für den DACH-Markt.“ Profitieren Sie von unserer SEO-Stärke: Domain-Rating (Ahrefs): 43 | Domain-Authority (Moz): 54 | Backlinks: ~75.000 | Linking Root Domains: >1.200