YellowKey: Forensik nach dem BitLocker-Bypass in der WinRE
26.07.2026 bitlockerdisk-encryptionwindows-forensicsanti-forensics
Am 12. Mai 2026 veröffentlichte ein Sicherheitsforscher unter dem Pseudonym „Chaotic Eclipse" beziehungsweise „Nightmare-Eclipse" einen Proof-of-Concept mit dem Namen YellowKey, der BitLocker auf Windows 11 sowie Windows Server 2022/2025 aushebelt – ohne Passwort, ohne Cracking, ohne Spezialhardware. Wenige Wochen später erhielt die Lücke die Kennung CVE-2026-45585. Für DFIR-Teams ist das mehr als nur eine weitere CVE-Nummer: YellowKey verschiebt die Grenze dessen, was ein forensischer Datenträger unter TPM-only-Schutz überhaupt noch bedeutet.
Der Mechanismus: WinRE als Einfallstor
Der Angriff funktioniert, indem speziell präparierte ‘FsTx’-Dateien auf einem USB-Laufwerk oder der EFI-Partition platziert werden, das System in die Windows Recovery Environment (WinRE) neu gestartet und eine Shell durch Gedrückthalten der CTRL-Taste ausgelöst wird. Entscheidend ist der Zeitpunkt: Sobald die Shell erscheint, wurde das Betriebsvolume bereits transparent vom TPM entschlüsselt – der Angreifer erbt somit ein vollständig lesbares Dateisystem samt administrativer Tools. Der Grund liegt in der Transactional-NTFS-Funktion, die in der Recovery-Umgebung eigentlich der Absicherung dient, hier aber als Hebel missbraucht wird, um die Datei winpeshl.ini zu löschen und so eine unbeabsichtigte Kommandozeile freizulegen.
Unabhängige Forscher wie Kevin Beaumont und Will Dormann haben den Fund reproduziert. Beaumont bestätigte, dass der YellowKey-Exploit valide ist, stimmte der Einschätzung eines Backdoors zu und empfahl als Gegenmaßnahme eine BitLocker-PIN in Kombination mit einem BIOS-Passwort. Besonders brisant: Auf betroffenen Systemen existiert die Debugging-Komponente auch in regulären Windows-Installationen, nur ohne den auslösenden Kontext – was die Diskussion um einen unbeabsichtigten Backdoor befeuert hat.
YellowKey reiht sich damit in eine wachsende Familie von WinRE-basierten Angriffen ein. Vorläufer war „BitUnlocker" – eine Sammlung von vier WinRE-Zero-Days, die Microsofts eigenes MORSE-Team im Juli 2025 offenlegte und die Windows 10, Windows 11 sowie Windows Server 2016 bis 2025 betraf. Parallel dazu demonstrierte die französische Firma Intrinsec eine Boot-Manager-Downgrade-Kette, die CVE-2025-48804 ausnutzt, um den Verschlüsselungsschutz auf vollständig gepatchten Windows-11-Systemen in unter fünf Minuten zu umgehen. Zwei unabhängige Bypass-Familien innerhalb von elf Monaten – das ist kein Einzelfall, sondern ein struktureller Trend.
Forensische Spuren und die Grenzen der Detektion
Für Incident Responder und Forensiker stellt sich zunächst die Frage: Was bleibt als Artefakt zurück? Der Ordner System Volume Information\FsTx auf der EFI-Partition hat dort keinen legitimen Grund zu existieren; auch veränderte Zeitstempel an winpeshl.ini in der WinRE-Abbilddatei liefern ein Signal. Doch die Erkennung hat eine harte Grenze: Bootet der Angreifer von einem externen USB-Medium, greifen diese Detektionsmechanismen nicht. Damit bleibt der klassische Evil-Maid-Fall – kurzer physischer Zugriff auf ein unbeaufsichtigtes Gerät – praktisch spurenlos, sofern kein Datenträgerabbild vor und nach dem Vorfall verglichen wird.
Auch aus Monitoring-Sicht ist die Lage unkomfortabel: Da der Exploit lokal und im Pre-Boot-Kontext abläuft, existieren keine herstellerseitig veröffentlichten IOCs, weshalb der realistischste Weg zur Risikobewertung eine Asset-Inventur ist – betroffene Systeme identifizieren, TPM-only-Konfigurationen prüfen und den Mitigationsstatus des WinRE-Images verifizieren. Microsoft reagierte mit einem Registry-Fix, der die auslösende Komponente aus dem Boot-Ablauf der Recovery-Umgebung entfernt.
Konsequenzen für IR-Playbooks
Für die forensische Praxis ergeben sich drei konkrete Handlungsfelder. Erstens: Die Beweiswürdigung bei „verschlüsselten, aber physisch zugänglich gewesenen" Geräten muss neu bewertet werden – TPM-only ist kein belastbarer Nachweis für Datenintegrität mehr, wenn ein Zeitfenster für unbeaufsichtigten Zugriff bestand. Zweitens: Asset-Inventare sollten künftig den BitLocker-Schutzmodus (TPM-only vs. TPM+PIN) als Pflichtfeld führen, da sich Risikobewertung und Beweiskraft direkt daraus ableiten. Drittens: Auch aus Sicht der forensischen Datenträgerakquise ist die Lücke relevant – bei rechtmäßigem Zugriff auf beschlagnahmte, TPM-only-verschlüsselte Geräte eröffnet sich ein zusätzlicher, dokumentierbarer Extraktionspfad, der jedoch streng von der forensischen Best Practice der Chain-of-Custody begleitet werden muss, um Integrität und Reproduzierbarkeit der Ergebnisse zu sichern.
Die Kernbotschaft für DFIR-Teams: Physische Sicherheit und BitLocker-Konfiguration gehören untrennbar zusammen. Ohne PIN ist Festplattenverschlüsselung ein Bequemlichkeitsmerkmal, kein forensisch belastbarer Schutzwall.
← Zurück zur Übersicht