Werbung
Mit einem neuen Tool namens "BitUnlocker" lässt sich die Laufwerksverschlüsselung von Windows-11-Systemen weiterhin erfolgreich aushebeln. Voraussetzung für den Angriff ist allerdings ein physischer Zugriff auf den betroffenen Rechner. Sicherheitsforscher warnen deshalb insbesondere Unternehmen davor, ihre bestehenden BitLocker-Konfigurationen zu überprüfen.
Die Methode selbst basiert auf der bereits bekannten Schwachstelle CVE-2025-48804, die Microsoft im Juli 2025 im Rahmen eines Patch Tuesday behoben hatte. Laut dem Sicherheitsunternehmen Intrinsec bleibt der Angriff jedoch unter bestimmten Voraussetzungen weiterhin möglich. Entdeckt wurde die Sicherheitslücke ursprünglich vom internen Forschungsteam Security Testing & Offensive Research (STORM).
Der Angriff nutzt eine Besonderheit im Zusammenspiel von Secure Boot und älteren Signaturzertifikaten aus. Secure Boot überprüft beim Systemstart die Echtheit des Windows-Bootmanagers anhand eines Zertifikats, kontrolliert jedoch nicht die konkrete Versionsnummer der verwendeten Datei. Das veraltete Zertifikat "Microsoft Windows PCA 2011" wird dabei auf vielen Geräten weiterhin als vertrauenswürdig akzeptiert, wodurch es Angreifern möglich ist, einen älteren und verwundbaren Bootmanager zu laden, obwohl aktuelle Sicherheitsupdates installiert wurden.
Für die Durchführung des Angriffs braucht es laut den Forschern nicht mehr als einen USB-Stick oder PXE-Bootserver. Spezielle Hardware oder tiefgreifende Änderungen am System sind nicht erforderlich. Besonders anfällig sind Systeme, bei denen BitLocker ausschließlich mit TPM-Schutz abgesichert ist. In solchen Konfigurationen gibt das Trusted Platform Module den Schlüssel automatisch frei, sobald das System den Startvorgang als vertrauenswürdig einstuft. Zusätzliche Schutzmechanismen wie eine PIN-Abfrage vor dem Bootvorgang verhindern den Angriff dagegen wirkungsvoll. Ebenfalls besser abgesichert sind Systeme, die bereits auf das neuere Zertifikat "Windows UEFI CA 2023" umgestellt wurden.
Sicherheitsexperten empfehlen Unternehmen daher dringend, die Microsoft-Aktualisierung KB5025885 einzuspielen und die verwendeten Bootmanager-Zertifikate zu kontrollieren. Zusätzlich sollte nach Möglichkeit eine TPM-plus-PIN-Konfiguration aktiviert werden, um den Zugriff auf verschlüsselte Laufwerke besser abzusichern.
