Microsoft arbeitet an einer grundlegenden Umstellung für Sicherheitssoftware unter Windows: Mit einem neuen Kernel-Treiber namens wesp.sys bereitet der Konzern den Auszug von Endpoint-Detection-and-Response-Funktionen (EDR) aus dem sensiblen Kernel-Bereich des Betriebssystems vor.
Das Ziel der Windows Endpoint Security Platform (WESP) besteht darin, dass künftig ein einheitlicher, von Microsoft direkt gepflegter Treiber Telemetriedaten an die Dienste der jeweiligen Sicherheitsanbieter im User-Mode liefert. Bislang entwickeln viele EDR-Hersteller eigene Kernel-Treiber, um systemnahe Überwachungsfunktionen umzusetzen.
Details zu der Architektur gehen aus einer Analyse von Pavel Yosifovich hervor, die Elastic Security Labs am 26. Oktober 2026 veröffentlichte. Demnach sind der Treiber wesp.sys sowie die zugehörige User-Mode-Bibliothek espclient.dll bereits in aktuellen Windows Insider Preview Builds enthalten und mit öffentlichen Debug-Symbolen versehen. Eine offizielle Dokumentation oder ein Software Development Kit von Microsoft liegt bisher jedoch nicht vor.
Technische Architektur im Dateisystem
Bei wesp.sys handelt es sich um einen Dateisystem-Minifilter, der von der Komponente FltMgr.Sys abhängt und auf der Altitude-Stufe 329500 angesiedelt ist. Damit agiert der Treiber hierarchisch oberhalb des Microsoft-eigenen Defender-Minifilters WdFilter. Auf eigene Device Objects verzichtet der Treiber.
Wer sich mit der Absicherung von IT-Systemen beschäftigt, sollte auch die grundlegenden Sicherheitsmechanismen auf der Endnutzer-Ebene nicht vernachlässigen. Dieser kostenlose Experten-Report liefert konkrete Schritt-für-Schritt-Anleitungen, um Windows-Probleme eigenständig zu beheben und das System stabil zu halten. Erste Hilfe für Windows 11 kostenlos sichern
Die Kommunikation zwischen dem Kernel und den Anwendungen im User-Mode wird über den Port ESPFilterPort abgewickelt. Jonathan Johnson zufolge unterstützt diese Schnittstelle bis zu 512 gleichzeitige Verbindungen.
Zudem dokumentierte Marcos Oviedo insgesamt 47 verschiedene Event-Typen sowie einen weiteren Treiber namens wesp_elam.sys, der speziell für die Early-Boot-Phase des Betriebssystems vorgesehen ist.
Für die Zugriffskontrolle nutzt die Plattform das Token-Attribut WESP://Permission, wobei eine der Sicherheitsstufen den geschützten Prozessstatus Antimalware PPL voraussetzt. Als Schnittstelle für Ereignisprotokolle dient der ETW-Provider Microsoft.Windows.WESP.Client.
Offene Fragen zur aktiven Blockierung
Die User-Mode-Bibliothek espclient.dll stellt Funktionen für Regeln und Filter bereit und bindet Schnittstellen wie FilterConnectCommunicationPort, FilterGetMessage und FilterSendMessage ein. Eine zentrale Frage betrifft jedoch die aktive Prävention: Nach Befunden von Elastic Security Labs importiert die Bibliothek nicht die Funktion FilterReplyMessage.
Yosifovich und Elastic leiten daraus ab, dass das direkte Blockieren von Prozesserstellungen aus dem User-Mode heraus bisher wahrscheinlich noch nicht implementiert ist. Im Windows-System kann regulär nur der Kernel über den Callback PsSetCreateProcessNotifyRoutineEx das Starten eines Prozesses unterbinden.
Hinsichtlich künftiger Blockiermöglichkeiten existieren unterschiedliche Ansätze. Marcos Oviedo hält eine Durchsetzung von Verboten direkt im Kernel auf Basis vorkompilierter Regelsätze für möglich, während Jonathan Johnson auf eine entsprechende Demonstration von CrowdStrike verwies.
Während Microsoft an neuen Architektur-Standards arbeitet, bleiben viele alltägliche Systemfehler eine Herausforderung für Nutzer und Administratoren. Erfahren Sie in diesem Gratis-Leitfaden von IT-Profis, wie Sie Update-Fehler und andere typische Windows-Hürden ohne teuren Support selbst lösen können. Kostenlosen Windows-Ratgeber jetzt herunterladen
Verhaltene Erwartungen bei der Umsetzung
Für die Hersteller von Sicherheitssoftware bedeutet die neue Plattform eine technische Umstellung. Bei Elastic Defend laufen bereits Vorbereitungen, um WESP zu unterstützen.
Das Unternehmen rechnet jedoch damit, dass die Einführung in der Branche bestenfalls lückenhaft verlaufen könnte, solange entscheidende Funktionen fehlen. In diesem Fall dürften viele EDR-Anbieter weiterhin eigene Kernel-Treiber beibehalten, diese aber möglicherweise auf einen geringeren Codeumfang reduzieren.
Organisationen empfiehlt Elastic Security Labs, sich frühzeitig bei ihren jeweiligen EDR-Anbietern über die Zeitpläne für die Plattformunterstützung zu informieren. Zudem sollten Unternehmen ihren Bestand an Windows-Versionen erfassen, Vorabversionen in Testumgebungen analysieren, die Überwachung des Manipulationsschutzes anpassen und bestehende Notfall-Wiederherstellungspläne auf dem aktuellen Stand halten.