Auf den Punkt: Über den „System Volume InformationFsTx“-Ordner und einen präparierten USB-Stick lässt sich BitLocker auf Windows 11 sowie Server 2022/2025 mit lokalem Zugriff umgehen, ohne dass PIN-Abfrage oder TPM-Schutz greifen.
Ein Sicherheitsforscher, der bereits unter den Namen „RedSun“, „UnDefend“ und „BlueHammer“ Windows-Schwachstellen veröffentlicht hat, zeigt mit „YellowKey“ nun einen BitLocker-Bypass sowie mit „MiniPlasma“ eine weitere Rechteausweitung. Für den BitLocker-Angriff genügt lokaler Zugriff und ein präparierter USB-Stick.
Der unter den Pseudonymen „NightmareEclipse“ (GitHub) beziehungsweise „Chaotic Eclipse“ (Blogspot) auftretende Forscher hat zwei neue Sicherheitsprobleme in Windows dokumentiert. „YellowKey“ betrifft die BitLocker-Laufwerksverschlüsselung, „MiniPlasma“ eine Rechteausweitungslücke im „Windows Cloud Files Mini Filter“-Treiber. Letztere ist im Kern nicht neu: Microsoft hatte 2020 versucht, sie mit CVE-2020-17103 (CVSS 7.0, Risiko „hoch“) zu schließen – eine Schwachstelle, die ursprünglich von Googles Project Zero gemeldet wurde. Unklar bleibt, ob der damalige Patch zurückgezogen wurde oder nie flächendeckend verteilt wurde. Fest steht laut dem veröffentlichten Proof-of-Concept auf GitHub: Sowohl der neue Exploit als auch der alte PoC von Google verschaffen weiterhin SYSTEM-Rechte.
Deutlich mehr Aufmerksamkeit verdient „YellowKey“, eine Methode, BitLocker mit lokalem physischem Zugriff zu umgehen. Angreifer kopieren den Ordner „System Volume InformationFsTx“ auf einen USB-Stick mit windowskompatiblem Dateisystem (FAT, FAT32, exFAT oder NTFS) und stecken diesen an einen Rechner mit aktiviertem BitLocker. Durch Gedrückthalten von Shift beim Systemstart gelangt man in die Windows-Wiederherstellungsumgebung; nach Klick auf „Restart“ und Halten von Strg öffnet sich eine Shell mit uneingeschränktem Zugriff auf das eigentlich verschlüsselte Laufwerk. Betroffen sind Windows 11 sowie Windows Server 2022 und 2025 – Windows 10 ist laut den Angaben nicht betroffen. Anders als bei der kürzlich bekannt gewordenen, auf BitUnlocker basierenden Attacke helfen PIN-Abfrage vor der Entschlüsselung und TPM-Schutz hier offenbar nicht.
Der IT-Sicherheitsexperte Will Dormann hat den Exploit nachgestellt und berichtet auf Mastodon, dass das Halten der Strg-Taste in seinen Tests gar nicht notwendig war, um Zugriff auf das BitLocker-Laufwerk zu erhalten. Der genaue Mechanismus ist weiterhin unklar; es deutet einiges darauf hin, dass der zu Transactional NTFS gehörende „FsTx“-Ordner Inhalte anderer Laufwerke freischaltet. Ein Nutzerbericht unter Dormanns Beitrag widerspricht dem teilweise: Dort wurde das C-Laufwerk freigegeben, das D-Laufwerk jedoch nicht – die Bedingungen für einen erfolgreichen Angriff sind also noch nicht vollständig geklärt.
Für Windows-Administratoren mit vollverschlüsselten Endgeräten oder Servern ist die fehlende Kontrolle über physischen Zugriff der entscheidende Risikofaktor: BitLocker gilt gemeinhin als Schutz gegen Datendiebstahl bei Geräteverlust oder -diebstahl, genau dieses Szenario wird durch „YellowKey“ ausgehebelt. Da bislang weder ein offizieller CVE-Eintrag noch ein Patch für YellowKey vorliegt, sollten physische Zugriffskontrollen und BIOS/UEFI-Boot-Restriktionen (etwa Deaktivierung des Boots von USB-Medien) als Kompensationsmaßnahme geprüft werden. Bemerkenswert ist zudem, dass Microsoft laut dem Blogbeitrag des Forschers die im April gemeldete „RedSun“-Lücke, die Angreifern Adminrechte verschafft, mit den Updates des jüngsten Patchdays offenbar stillschweigend behoben hat – ohne begleitenden CVE-Eintrag.
Quelle: www.heise.de · Erschienen 18. Mai 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.2.