YellowKey-Lücke: Microsoft warnt vor BitLocker-Exploit
28.05.2026 - 15:35:28 | boerse-global.de
Der Softwarekonzern Microsoft hat eine formelle Warnung ausgesprochen, nachdem mehrere bislang unbekannte Sicherheitslücken – darunter ein kritischer Fehler in der BitLocker-Verschlüsselung – veröffentlicht wurden. Die unkoordinierte Offenlegung der Exploits sei nicht zu rechtfertigen, so das Unternehmen, da die Veröffentlichung noch vor der Bereitstellung von Sicherheitsupdates erfolgte.
Die YellowKey-Lücke und BitLocker in Gefahr
Die schwerwiegendste der veröffentlichten Sicherheitslücken trägt den Namen YellowKey (CVE-2026-45585) und zielt direkt auf die BitLocker-Verschlüsselung ab. Der Exploit mit einem CVSS-Score von 6,8 ermöglicht Angreifern, die Verschlüsselung mithilfe der Windows-Wiederherstellungsumgebung (WinRE) zu umgehen.
Festplatte kaputt oder Windows streikt? So retten Sie Ihren PC mit einem Boot?Stick. Der kostenlose Report erklärt Schritt für Schritt, wie Sie den Windows?11?USB?Stick erstellen und im Notfall richtig einsetzen. Jetzt kostenlosen Notfall-Ratgeber sichern
Der Angriff erfolgt über einen USB-Stick. Durch das Entfernen einer bestimmten INI-Datei können Angreifer Transactional NTFS ausnutzen, um Shell-Zugriff auf eine entschlüsselte Partition zu erhalten. Sicherheitsexperten empfehlen als Schutzmaßnahme, die automatische Ausführung von Transaktionsprotokollen in der Windows-Registrierung zu deaktivieren oder einen TPM-PIN für den erweiterten Startschutz einzurichten.
Streit um Offenlegungspraxis eskaliert
Das Microsoft Security Response Center (MSRC) betont die Bedeutung der koordinierten Offenlegung von Schwachstellen (Coordinated Vulnerability Disclosure, CVD). Üblicherweise gewährt diese Praxis eine 90-tägige Sperrfrist, damit Hersteller Sicherheitsupdates entwickeln und testen können. Microsoft-Vertreter erklärten, die Veröffentlichung von Proof-of-Concept-Code vor der Bereitstellung eines Patches setze Kunden unnötigen Risiken aus.
Der Forscher hinter der Veröffentlichung, der unter dem Pseudonym Nightmare Eclipse auftritt, stellt sich gegen Microsofts Position. Er habe das Unternehmen zuvor über die Schwachstellen informiert, so der Vorwurf. Zudem kündigte der Forscher an, am 14. Juli 2026 weitere Informationen zu veröffentlichen, die Microsofts Sicherheitsnarrative in Frage stellen sollen.
Sechs Zero-Day-Lücken auf einen Schlag
Der YellowKey-Fehler ist nur eine von sechs Zero-Day-Sicherheitslücken, die in diesem unkoordinierten Batch veröffentlicht wurden. Weitere identifizierte Bedrohungen umfassen:
- RedSun (CVE-2026-41091): Eine Schwachstelle mit einem CVSS-Score von 7,8.
- BlueHammer und UnDefend (CVE-2026-45498): Sicherheitslücken, die die Systemintegrität betreffen.
- GreenPlasma und MiniPlasma: Zusätzliche Exploits, denen offizielle CVE-Bezeichnungen fehlen.
Windows 11 macht Probleme? Diese und viele weitere Fehler können Sie ab sofort selbst beheben. Erfahren Sie im Gratis-Report von Experten, wie Sie Systemfehler und Datenverlust ohne teure IT-Hilfe in den Griff bekommen. Kostenlosen Erste-Hilfe-Report herunterladen
Die aktuellen Enthüllungen folgen auf eine Phase intensiver Sicherheitsaktivität bei Microsoft. Erst im Februar 2026 hatte der Konzern Patches für 58 Schwachstellen veröffentlicht, darunter sechs Zero-Days, die bereits aktiv ausgenutzt wurden. Das hauseigene Programm Zero Day Quest, das ethische Forschung belohnen soll, zahlte im April 2026 Prämien in Höhe von umgerechnet rund 2,1 Millionen Euro aus.
Während Microsoft weiterhin an offiziellen Updates für die jüngst offengelegten Schwachstellen arbeitet, werden Administratoren aufgefordert, das MSRC-Portal für eingehende Patches zu beobachten und die empfohlenen Registrierungs-Anpassungen für BitLocker-geschützte Geräte umzusetzen.
So schätzen die Börsenprofis Aktien ein!
Für. Immer. Kostenlos.
