{"id":136968,"date":"2026-05-24T09:17:16","date_gmt":"2026-05-24T09:17:16","guid":{"rendered":"https:\/\/www.europesays.com\/ch-de\/136968\/"},"modified":"2026-05-24T09:17:16","modified_gmt":"2026-05-24T09:17:16","slug":"cve-2026-45585-yellowkey-bitlocker-bypass-ueber-winre-entschaerfen","status":"publish","type":"post","link":"https:\/\/www.europesays.com\/ch-de\/136968\/","title":{"rendered":"CVE-2026-45585 YellowKey: BitLocker-Bypass \u00fcber WinRE entsch\u00e4rfen"},"content":{"rendered":"

LONDON (IT BOLTWISE) \u2013 Microsoft<\/a> warnt vor CVE-2026-45585 (\u201eYellowKey\u201c): Ein Angreifer mit physischem Zugriff kann in der Windows Recovery Environment WinRE vertrauensw\u00fcrdige Abl\u00e4ufe missbrauchen, um auf BitLocker-verschl\u00fcsselte Daten zuzugreifen. Die Schwachstelle liegt nicht in der Laufwerksverschl\u00fcsselung selbst, sondern im Recovery-Kontext, der beim Booten automatisch mitl\u00e4uft. F\u00fcr Unternehmen wird damit vor allem das Zusammenspiel aus Recovery-Images, USB\/EFI-Zugriff und BitLocker-Trust-Setups zum kritischen H\u00e4rtungsthema.<\/p>\n

\u00a0Eilik \u2013 Der KI-Roboter als Schl\u00fcsselanh\u00e4nger!<\/a>\u00a0 \u02d7\u02cb\u02cf\ud83e\udde0\u02ce\u02ca\u02d7<\/p>\n

BitLocker gilt in vielen Rechenzentren und Endger\u00e4teflotten als letzte Verteidigungslinie gegen Offline-Zugriffe: Das Laufwerk bleibt auch dann gesch\u00fctzt, wenn ein Ger\u00e4t gestohlen, ausgeschaltet oder sp\u00e4ter an fremder Hardware betrieben wird. Genau deshalb sorgt CVE-2026-45585 (\u201eYellowKey\u201c) f\u00fcr Aufmerksamkeit. Microsoft<\/a> beschreibt eine Umgehung von BitLocker \u00fcber die Windows Recovery Environment (WinRE), bei der ein Angreifer mit physischem Zugriff vertrauensw\u00fcrdige Vorab-Boot-Schritte so ausnutzen kann, dass er w\u00e4hrend der Recovery-Phase auf die gesch\u00fctzte Partition zugreift. Entscheidend: Der Angriff zielt nicht auf die Kryptografie des Datentr\u00e4gers, sondern auf die Umgebung, die BitLocker im Wiederherstellungsmodus \u201eerm\u00f6glicht\u201c.<\/p>\n

Technisch betrachtet entsteht das Risiko aus der Rolle des Recovery-Kontexts rund um BitLocker. In den \u00f6ffentlich diskutierten Analyse<\/a>n wird betont, dass die Schwachstelle nicht in der Verschl\u00fcsselungsfunktion selbst liegt, sondern in der Art, wie Windows den Wiederherstellungsablauf vorbereitet und bestimmte Tools automatisiert startet. Damit wird ein typisches Vertrauensmodell angreifbar: Systeme gehen davon aus, dass WinRE-Logik nur im legitimen Wartungsfall greift. Wenn ein Angreifer jedoch \u00fcber pr\u00e4parierte Recovery-Ressourcen (etwa spezielle FsTx-Dateien auf Wechselmedien oder EFI-Pfaden) in diese Abl\u00e4ufe hineinger\u00e4t, kann daraus ein missbr\u00e4uchlicher Pfad entstehen, der die Kontrolle \u00fcber den Boot-Flow verschiebt und schlie\u00dflich unautorisierte Shell-Zugriffe erm\u00f6glicht.<\/p>\n

Aus Sicht der Ausnutzung ist CVE-2026-45585 vor allem lokal und vor-boot-basiert. Der \u00f6ffentlich beschriebene Weg geht \u00fcber das Platzieren manipulierter FsTx-Dateien auf einem USB-Stick oder in einer EFI-Struktur, das anschlie\u00dfende Verbinden dieser Medien mit einem betroffenen System und das Booten in WinRE. W\u00e4hrend des Recovery-Starts kann ein Angreifer dann \u00fcber Tastaturinteraktionen (im Bericht wird das Halten einer CTRL-Taste hervorgehoben) einen eingeschr\u00e4nkten Schutz in einen unbeschr\u00e4nkten Shell-Kontext verwandeln. Das ist weniger ein klassisches \u201eRemote Exploit\u201c-Szenario, sondern eher ein physisches Angriffsmodell: Wer das Ger\u00e4t kontrolliert und einen Reboot ausl\u00f6sen kann, erh\u00e4lt Zeitfenster, in denen die normalerweise gesch\u00fctzten Datenpfade erreichbar werden.<\/p>\n

F\u00fcr die Verteidigung verschiebt sich damit der Schwerpunkt: Detektion und Risikoanalyse sind komplexer, weil kein \u201enormaler\u201c Netzwerk-IOC-Stream (Indikatoren wie IPs, Domains oder typische Payload-Signaturen) erwartet wird. In den vorliegenden Berichten werden zudem keine klaren, vendorseitigen CVE-2026-45585-IOCs genannt. Realistisch ist deshalb ein asset-getriebener Ansatz: betroffene Windows-11-Builds (inklusive 24H2, 25H2 sowie 26H1 auf x64) und Windows Server 2025, einschlie\u00dflich Server Core, m\u00fcssen identifiziert werden. Danach folgt die technische Pr\u00fcfung, ob BitLocker-Trust im WinRE-Kontext \u00fcber Microsoft<\/a>s tempor\u00e4re Ma\u00dfnahme aktualisiert wurde. Da viele Organisationen BitLocker-Images, Recovery-WIMs oder Labor-\/Imaging-Prozesse zentral verwalten, ist diese Pr\u00fcfung h\u00e4ufig schneller erreichbar als eine rein beobachtungsbasierte Erkennung.<\/p>\n

Auch die Unternehmenswirkung l\u00e4sst sich gut historisch einordnen: Seit Jahren existieren in der Praxis Diskussionen dar\u00fcber, wie stark \u201eat rest\u201c-Schutz ist, wenn Recovery-Mechanismen, Pre-Boot-Umgebungen oder Schl\u00fcsselbereitstellung selbst als Angriffsfl\u00e4che dienen. Fr\u00fche Angriffe konzentrierten sich oft auf schwache Passphrase- oder Key-Handling-Prozesse; mit der Verbreitung von TPM-gest\u00fctzter Absicherung und standardisierten Recovery-Flows verlagert sich die Aufmerksamkeit auf die Komponenten \u201edavor und drumherum\u201c. In diesem Sinn ist CVE-2026-45585 ein klassisches Beispiel daf\u00fcr, dass Verschl\u00fcsselung nur so robust ist wie das gesamte \u00d6kosystem aus Boot-Chain, Authentifizierung und Recovery-Logik. Sicherheitsexperten betonen sinngem\u00e4\u00df: \u201eWenn der Recovery-Zugang bequem und automatisiert ist, muss genau dieses Komfortniveau als potenzielle Angriffsfl\u00e4che behandelt werden.\u201c<\/p>\n

Microsoft<\/a> bietet zwei Hauptlinien zur H\u00e4rtung an, die beide auf das Vertrauen in WinRE bzw. auf die Startup<\/a>-Authentifizierung abzielen. Der erste Weg ist eine Anpassung des gemounteten WinRE-Images: Dabei soll autofstx.exe aus dem Session-Manager-\u201eBootExecute\u201c-Setting entfernt werden, was die automatische Startlogik im Recovery-Kontext unterbindet. Operativ erfordert das ein sicheres Mounten des WinRE-Images, das \u00c4ndern der Offline-Registry (insbesondere im SYSTEM-Hive), das Unmounting sowie das erneute \u201eResealing\u201c des BitLocker-Trusts, damit WinRE wieder korrekt eingebunden ist. Laut den ver\u00f6ffentlichten Hinweisen erg\u00e4nzt Microsoft<\/a> die Advisory sp\u00e4ter um einen Skript-Workflow, der genau diese Schritte kontrolliert automatisiert und damit das Risiko von Fehlkonfigurationen im Imaging-Prozess reduziert.<\/p>\n

Der zweite Mitigationspfad verschiebt das Sicherheitsniveau hin zu st\u00e4rkerer Startup<\/a>-Authentifizierung: TPM-only wird durch TPM plus PIN ersetzt. Microsoft<\/a> empfiehlt daf\u00fcr PowerShell, die Command Line oder den Control Panel-Umweg f\u00fcr bereits verschl\u00fcsselte Systeme; bei neuen oder noch nicht verschl\u00fcsselten Ger\u00e4ten sollen Administratoren \u201eRequire additional authentication at startup<\/a>\u201c \u00fcber Group Policy oder Intune aktivieren und einen Startup<\/a>-PIN konfigurieren. In den Analystenberichten wird au\u00dferdem diskutiert, dass Forschende den ersten WinRE-basierten Fix als wirksam einstufen, w\u00e4hrend f\u00fcr den TPM+PIN-Umweg ein separater Bypass vor\u00fcbergehend nicht im Detail offen gelegt sei. F\u00fcr Unternehmen bedeutet das: Wo physischer Zugriff nicht strikt verhindert werden kann, ist TPM+PIN oft langfristig die konservativere Strategie, selbst wenn sie f\u00fcr Nutzer und Prozesse zus\u00e4tzliche H\u00fcrden mitbringt.<\/p>\n

Markt- und Wettbewerbsbetrachtung hilft, die Dringlichkeit realistisch zu skalieren. Disk-Verschl\u00fcsselung ist branchenweit ein Standardbaustein, doch die Angriffsfl\u00e4chen unterscheiden sich. W\u00e4hrend Microsoft<\/a>-Umgebungen stark \u00fcber BitLocker und die UEFI\/WinRE-Kette charakterisiert sind, setzen andere Plattformen wie Apple<\/a> mit FileVault oder bestimmte Linux-Setups auf abweichende Recovery- und Boot-Mechaniken. In der Praxis hei\u00dft das: CVE-2026-45585 ist f\u00fcr heterogene Landschaften keine \u201enur Windows\u201c-Thematik im Sinne von \u201enicht relevant\u201c. Vielmehr sollten Security-Teams ihre Recovery- und Pre-Boot-H\u00e4rtungspraktiken generell \u00fcberpr\u00fcfen, etwa indem sie nachvollziehbar machen, welche Images, Tools und Autostarts im Wiederherstellungsfall tats\u00e4chlich laufen.<\/p>\n

F\u00fcr die zuk\u00fcnftige Roadmap ergibt sich daraus ein klarer Handlungsimpuls: Unternehmen sollten Recovery-Images als Teil der Security Supply Chain betrachten, inklusive Versionierung, Signierung\/Integrit\u00e4t und kontrollierter Bereitstellung in Imaging- und Patch-Prozessen. Ein weiterer Punkt ist der Abgleich zwischen physischer Bedrohung und technischen Schutzma\u00dfnahmen: Wenn ein Angreifer nur kurz Zugang zum Ger\u00e4t bekommt, entscheidet oft das Zeitfenster zwischen Reboot und Recovery-Initialisierung. In der Praxis lassen sich diese Risiken reduzieren, indem Ger\u00e4tezugang st\u00e4rker gerahmt wird (z. B. durch organisatorische Controls), und indem technische H\u00e4rtungen wie WinRE-Anpassungen oder TPM+PIN systematisch gerollt werden. Gleichzeitig sollten Teams erwarten, dass weitere Varianten oder neue Recovery-Pfade nachgezogen werden, sobald Angreifer lernen, welche Teile des Boot-Trust-Containers am flexibelsten sind.<\/p>\n

\t<\/a><\/p>\n

\t\t<\/a><\/p>\n

\ud83d\udcb3 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!<\/a>
\ud83d\udd25 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!<\/a>
\ud83c\udf89 Amazon Haul-Store f\u00fcr absolute Schn\u00e4ppchenj\u00e4ger!<\/a><\/p>\n

<\/a><\/p>\n

<\/p>\n

<\/a><\/p>\n

Bestseller Nr. 1 \u1d43\u293b\u1dbb \u00abKI Gadgets\u00bb<\/p>\n

Bestseller Nr. 2 \u1d43\u293b\u1dbb \u00abKI Gadgets\u00bb<\/p>\n

Bestseller Nr. 3 \u1d43\u293b\u1dbb \u00abKI Gadgets\u00bb<\/p>\n

Bestseller Nr. 4 \u1d43\u293b\u1dbb \u00abKI Gadgets\u00bb<\/p>\n

Bestseller Nr. 5 \u1d43\u293b\u1dbb \u00abKI Gadgets\u00bb<\/p>\n

Bestseller Nr. 6 \u1d43\u293b\u1dbb \u00abKI Gadgets\u00bb<\/p>\n

Bestseller Nr. 7 \u1d43\u293b\u1dbb \u00abKI Gadgets\u00bb<\/p>\n

Bestseller Nr. 8 \u1d43\u293b\u1dbb \u00abKI Gadgets\u00bb<\/p>\n

\n\"Hat<\/a><\/p>\n

<\/p>\n

<\/p>\n


\n \"CVE-2026-45585
\n <\/a>CVE-2026-45585 YellowKey: BitLocker-Bypass \u00fcber WinRE entsch\u00e4rfen (Foto: DALL-E, IT BOLTWISE)<\/p>\n

Erg\u00e4nzungen und Infos bitte an die Redaktion per eMail an de-info[at]it-boltwise.de. Da wir bei KI-erzeugten News und Inhalten selten auftretende KI-Halluzinationen nicht ausschlie\u00dfen k\u00f6nnen, bitten wir Sie bei Falschangaben und Fehlinformationen uns via eMail zu kontaktieren und zu informieren. Bitte vergessen Sie nicht in der eMail die Artikel-Headline zu nennen: «CVE-2026-45585 YellowKey: BitLocker-Bypass \u00fcber WinRE entsch\u00e4rfen».<\/p>\n","protected":false},"excerpt":{"rendered":"LONDON (IT BOLTWISE) \u2013 Microsoft warnt vor CVE-2026-45585 (\u201eYellowKey\u201c): Ein Angreifer mit physischem Zugriff kann in der Windows…\n","protected":false},"author":2,"featured_media":136969,"comment_status":"","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"footnotes":"","_share_on_mastodon":"0"},"categories":[15],"tags":[24497,46,1377,6997,33761,4218,4217,18900,13307,33762,33763,45,60,59,557,44,64,61,33764,31642,558,32069,63,62],"class_list":["post-136968","post","type-post","status-publish","format-standard","has-post-thumbnail","category-wissenschaft-technik","tag-bitlocker","tag-ch","tag-cybersecurity","tag-enterprise","tag-forensics","tag-hacker","tag-it-sicherheit","tag-netzwerksicherheit","tag-patch","tag-pin","tag-recovery","tag-schweiz","tag-science","tag-science-technology","tag-security","tag-switzerland","tag-technik","tag-technology","tag-tpm","tag-vulnerability","tag-windows","tag-winre","tag-wissenschaft","tag-wissenschaft-technik"],"share_on_mastodon":{"url":"https:\/\/pubeurope.com\/@ch_de\/116628798641411616","error":""},"_links":{"self":[{"href":"https:\/\/www.europesays.com\/ch-de\/wp-json\/wp\/v2\/posts\/136968","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.europesays.com\/ch-de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.europesays.com\/ch-de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/ch-de\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/ch-de\/wp-json\/wp\/v2\/comments?post=136968"}],"version-history":[{"count":0,"href":"https:\/\/www.europesays.com\/ch-de\/wp-json\/wp\/v2\/posts\/136968\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/ch-de\/wp-json\/wp\/v2\/media\/136969"}],"wp:attachment":[{"href":"https:\/\/www.europesays.com\/ch-de\/wp-json\/wp\/v2\/media?parent=136968"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.europesays.com\/ch-de\/wp-json\/wp\/v2\/categories?post=136968"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.europesays.com\/ch-de\/wp-json\/wp\/v2\/tags?post=136968"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}