Sicherheitsforscher von ESET haben aufgedeckt, dass das Sicherheitsfeature Secure Boot von Microsoft über mehr als ein Jahrzehnt hinweg kompromittierbar war. Grund dafür sind von Microsoft signierte Shims – sekundäre Vertrauensanker, die vor allem für Linux-Systeme und Utility-Software zum Einsatz kommen –, die trotz bekannter Sicherheitslücken nie widerrufen wurden.
Angreifer mit grundlegenden Kenntnissen über UEFI-Shims und Zugriff auf eine ältere, nicht widerrufene Shim-Binärdatei können die Schutzmechanismen eines Systems aushebeln. Auf diese Weise eingeschleuste bösartige Firmware bleibt selbst nach einer Neuinstallation des Betriebssystems oder einem Austausch der Festplatte aktiv.
Komplexität verhindert wirksame Widerrufe
Von der Problematik sind sowohl Windows- als auch Linux-Nutzer betroffen. Die Verwaltung der Vertrauensbeziehungen erfolgt über mehrere Datenbanken wie db und dbx sowie über Mechanismen wie SBAT und Secure Boot SVN.
Die ESET-Forscher führen unter den verwundbaren Komponenten unter anderem einen Oracle-Shim mit der Kennung CVE-2015-5381 auf. Da Microsoft als De-facto-Vertrauensanker für die gesamte UEFI-Plattform fungiert, liegt die Verantwortung für die Signierung und den Widerruf zentral beim Konzern.
Die Komplexität des Secure-Boot-Modells mit parallelen Datenbanken und unterschiedlichen Revocation-Methoden verzögerte die Behebung der Schwachstellen massiv. Microsoft räumte die Problematik erst kürzlich ein. Ein automatischer Widerruf findet durch den schlichten Ablauf von Zertifikaten nicht statt.
Wer sich mit der Absicherung seines Systems befasst, sollte den bereits integrierten Schutz optimal konfigurieren, um Viren und Trojaner effektiv abzuwehren. Diese Experten-Anleitung zeigt Ihnen Schritt für Schritt, wie Sie die vorhandenen Sicherheitsfunktionen richtig einstellen. Windows Defender Anleitung kostenlos herunterladen
So lief am 19. Oktober 2026 das letzte Microsoft-Zertifikat aus dem Jahr 2011 ab, der Windows Production PCA 2011. Dieser Ablauf allein verhindert nach Angaben von Microsoft weder den Start von Windows noch blockiert er ältere, fehlerhafte Komponenten. Ohne neuere Ersatzzertifikate aus dem Jahr 2023 erhalten Systeme jedoch keine weiteren Sicherheitsupdates für den Bootvorgang.
Experten wie HD Moore fordern angesichts der strukturellen Mängel einen grundlegenden Neustart des gesamten Secure-Boot-Ökosystems.
Bootkits hebeln Schutzmechanismen aus
UEFI-Code wird noch vor dem Betriebssystem geladen, wodurch Bootkits Kernel-Treiber injizieren können, bevor Sicherheitsmechanismen greifen. Bereits im Jahr 2023 hatte das Bootkit BlackLotus als erstes öffentlich bekanntes Schadprogramm dieser Art Secure Boot auf voll aktualisierten Windows-11-Geräten umgangen. Es nutzte dieselbe Zertifikatslücke aus wie das UEFI-Bootkit BlackX.
Ein falscher Klick kann ausreichen, um die Sicherheit Ihres PCs zu gefährden – doch viele Nutzer wissen nicht, wie sie ihren eingebauten Schutz richtig scharf schalten. Dieser kostenlose PDF-Report liefert Ihnen die entscheidenden Einstellungen für einen lückenlosen Schutz Ihres Systems. Jetzt kostenlosen PDF-Sicherheits-Report sichern
BlackX nutzt die als Baton Drop bekannte Lücke CVE-2022-21894, die Microsoft im Jahr 2022 behoben hatte. Wie der Sicherheitsdienstleister Kaspersky berichtete, wurde BlackX Anfang 2026 bei Angriffen auf diplomatische Vertretungen in Tadschikistan, Usbekistan und Turkmenistan eingesetzt. Kaspersky ordnete die Kampagne mit mittlerer Zuversicht der Gruppe APT41 zu, wobei die Angreifer bereits über Administratorrechte verfügten.
Das Bootkit installiert eigene Schlüssel und stört über einen Kernel-Treiber die Überwachung durch Sicherheitsprodukte. Forscher weisen darauf hin, dass herkömmliche Windows-Updates nicht zwingend die erforderliche Vertrauensentziehung aktivieren. Für einen lückenlosen Schutz verweist Microsoft in der Dokumentation KB5025885 auf manuelle Schritte, die Systemadministratoren zur Prüfung und Durchsetzung der Sperrlisten ergreifen müssen.