Ein Sicherheitsforscher hat einen Angriff veröffentlicht, der BitLocker-verschlüsselte Laufwerke ohne jeden Schlüssel öffnen soll. Es braucht angeblich nur einen USB-Stick und einen Neustart.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügenDas Wichtigste in Kürze
Der unter dem Namen YellowKey kursierende Zero-Day soll vollen Zugriff auf ein gesperrtes BitLocker-Laufwerk gewähren, indem ein Angreifer Dateien auf einen USB-Stick kopiert und in die Windows-Wiederherstellungsumgebung neu startet. Betroffen sind laut den Veröffentlichungen Windows 11 sowie Windows Server 2022 und 2025, nicht jedoch Windows 10. Microsoft hat sich bislang weder zu YellowKey noch zu einem zweiten Zero-Day namens GreenPlasma öffentlich geäußert, es gibt bisher keine CVE-Nummer und keinen Patch.
Wie soll der Angriff funktionieren?
Der Ablauf ist nach Darstellung des Forschers verblüffend simpel. Ein Angreifer benötigt Schreibzugriff auf den Bereich „System Volume Information“ eines USB-Sticks und kopiert dort einen präparierten Ordner samt Inhalt hinein. Über Shift und Neustart gelangt das System in die Wiederherstellungsumgebung, anschließend landet der Angreifer ohne Passwortabfrage in einer Kommandozeile mit vollem Zugriff auf das zuvor verschlüsselte Laufwerk.
Auffällig ist, dass die Exploit-Dateien nach einmaliger Nutzung vom Stick verschwinden, ein Verhalten, das der Forscher als Indiz für eine bewusst angelegte Hintertür wertet. Diese Darstellung stammt vom Entdecker selbst und ist von unabhängiger Seite bislang nicht vollständig bestätigt.
Was bedeutet das für Unternehmen?
BitLocker schützt Millionen Geräte in Privathaushalten, Unternehmen und Behörden, zumal die Verschlüsselung unter Windows 11 standardmäßig aktiv ist. Ein gestohlenes Notebook galt bislang als beherrschbares Risiko, solange das Laufwerk verschlüsselt war.
Sollte sich der Angriff bestätigen, fällt dieser Schutz weg, sobald ein Angreifer physischen Zugriff auf das Gerät erlangt. Der Forscher behauptet zudem, eine Variante für den Schutz per TPM und PIN zu besitzen, hat dafür aber keinen funktionierenden Nachweis veröffentlicht. Solange Microsoft keine Stellungnahme abgibt, gilt: Geräte mit sensiblen Daten gehören nicht unbeaufsichtigt liegen gelassen, und der physische Schutz von Hardware gewinnt an Gewicht.
Solange keine Bestätigung des Herstellers vorliegt, behandeln wir das als ernsten Verdacht, nicht als gesicherte Tatsache. Trotzdem gilt jetzt schon: Wer vertrauliche Daten auf mobilen Geräten hat, sollte den physischen Zugriff genauso ernst nehmen wie das Passwort.
— Michael Dobler, Herausgeber Dr. Web
IT-Verantwortliche sollten die offiziellen Microsoft-Kanäle in den kommenden Tagen im Auge behalten und parallel prüfen, wie gut der physische Zugriff auf Endgeräte im eigenen Haus tatsächlich geregelt ist. Eine belastbare Reaktion ist erst nach einer Stellungnahme des Herstellers möglich.
Mehr Newshunger?
