LONDON (IT BOLTWISE) – Ein neuer BitLocker-Bypass namens GreatXML zeigt, wie Windows Recovery Environment und XML-basierte Startpfade zur Umgehung der Laufwerksverschlüsselung ausgenutzt werden können. Der Angriff skizziert einen praktikablen Ablauf: Angreifer platzieren bestimmte XML-Dateien in der Recovery-Partition und starten anschließend in WinRE. Besonders kritisch ist die Verbindung zu „Defender Offline Scan“, weil das Ausnutzen offenbar direkt mit diesem Workflow zusammenhängt. Sicherheitsverantwortliche sollten die Auswirkungen in ihren Incident-Plänen jetzt priorisieren und betroffene Systeme sowie Recovery-Medien prüfen.
Mit GreatXML ist erneut eine Lücke in den Blick geraten, die nicht „klassisch“ über eine Schwachstelle im Entschlüsselungsalgorithmus angreift, sondern über die Umgebungen, die vor dem normalen Betriebssystemstart greifen. Der von einem Security Researcher vorgestellte Angriff nutzt die Windows-Recovery-Mechanik und konkret XML-Dateien, die in der Recovery-Partition liegen. Damit verschiebt sich der Fokus von „Wie stark ist die Kryptografie?“ hin zu „Welche Startpfade und Konfigurationsdateien können in der Praxis beeinflusst werden?“. Gerade bei Unternehmens-PCs und Servern, die BitLocker als zentralen Schutz vor Datenabfluss einsetzen, wirkt das wie ein Warnsignal für die gesamte Kette der Pre-Boot- und Recovery-Prozesse.
Ausgangspunkt der aktuellen Meldung ist die Behauptung, dass Nutzer, die zuvor Windows Defender Offline Scan ausprobiert haben, in einem automatisch verwundbaren Zustand landen können. Der Researcher ordnet den Fund dabei als zeitkritische Entdeckung ein: Er habe die Schwachstelle in wenigen Stunden identifiziert und macht deutlich, dass der Ablauf an bestimmte Schritte gekoppelt ist, die typischerweise genau dann relevant werden, wenn man Offline-Scans im Recovery-Kontext anstößt. Für die Praxis heißt das: Selbst wenn ein System „scheinbar korrekt“ installiert ist, kann der einmalige Einsatz bestimmter Sicherheits-Workflows Pfade öffnen, die später als Angriffsfläche dienen. Die zentrale Botschaft lautet daher: BitLocker schützt nur so gut, wie die Umgebung um den Entschlüsselungsprozess herum gesichert ist.
Technisch beschreibt GreatXML einen konkreten, vergleichsweise greifbaren Ablauf. Angreifer kopieren eine XML-Datei, genannt unauttrennbare „unattend.xml“, und ergänzen sie um eine zweite XML-Datei in einem Recovery-Ordner, darunter „Recovery/WindowsRE/ReAgent.xml“. Entscheidend ist dabei nicht, dass BitLocker selbst entschlüsselt wird, sondern dass WinRE beim nächsten Start so in eine unerwartete Konfiguration gerät, dass am Ende eine Shell mit weitreichenden Rechten entsteht und der Zugriff auf das BitLocker-Volume ermöglicht wird. Damit wird das übliche Sicherheitsmodell unterlaufen, bei dem Recovery nur für legitime Wiederherstellungsvorgänge genutzt werden soll.
Der Wechsel in die Windows Recovery Environment erfolgt über einen standardisierten Nutzerpfad: Beim Neustart in das Recovery-Menü hält man Shift gedrückt und startet dann über den Power-Dialog in WinRE. In dem beschriebenen Szenario, so die Angabe, muss jede Aktion in der richtigen Reihenfolge erfolgen, damit die Shell-Umleitung tatsächlich greift. Für Defender-Offline-Scan-Nutzer ist die Annahme besonders brisant, weil der Offline-Scan als Sicherheitsfeature eigentlich Vertrauen schaffen sollte. Der Researcher äußert zugleich eine Unsicherheit: Falls ein System den Offline-Scan nie initiiert hat, müsse man entweder den Scan im regulären Betrieb starten oder einen Weg finden, in WinRE zu booten, während man „im Offline-Scan-Zustand“ ist. Diese Abhängigkeit ist für die Risikoanalyse entscheidend, weil sie Exploitbarkeit und Häufigkeit stark beeinflusst.
Historisch lässt sich das Muster in eine Reihe von Umgehungsansätzen einordnen, die weniger die Kryptografie selbst, sondern die „Startumgebung als Vertrauensanker“ adressieren. In der Vergangenheit waren verschiedene BitLocker-Umleitungen, Recovery-Mechanismen und Konfigurationsfehler ein Thema, allerdings zeigten viele dieser Fälle, dass Angreifer entweder physischen Zugriff, manipulierte Bootmedien oder Misskonfigurationen brauchten. GreatXML knüpft dagegen an einen alltagsnahen Sicherheitsworkflow an: Offline-Scan im Kontext von Defender ist weit verbreitet, und genau diese Verbreitung kann die Angriffsfläche vergrößern. Zusätzlich fällt auf, dass es sich bei GreatXML um die zweite BitLocker-Umgehung des gleichen Researchers handelt, nach YellowKey (CVE-2026-45585), dessen Fixes laut Bericht im Zuge des aktuellen Patch Tuesday veröffentlicht wurden.
Im Marktkontext ist die Zeitachse ebenso relevant: Direkt im Umfeld von RoguePlanet, einer Zero-Day-Lücke in Microsoft Defender, wird ein weiteres Problem adressiert, das lokale Rechteausweitung (LPE) ermöglichen soll. Auch wenn GreatXML nicht identisch funktioniert, entsteht ein Gesamtbild, in dem Defender-Komponenten nicht nur Bedrohungen erkennen, sondern selbst zur potenziellen Angriffsumgebung werden, wenn bestimmte Zustände und Konfigurationsartefakte zusammenkommen. Für Unternehmen, die neben Microsoft-Lösungen zusätzlich auf EDR- oder Incident-Response-Tools setzen, etwa von Anbietern wie CrowdStrike oder Palo Alto Networks (jeweils als Beispiel für alternative Sicherheitslagen), stellt sich die Frage, wie gut Telemetrie und Containment greifen, wenn ein Angriff bereits vor dem regulären OS-Startverhalten stattfindet.
Wie Branchenexperten häufig betonen, liegt die größte organisatorische Herausforderung solcher Pre-Boot-Szenarien in der Detektionslücke: Viele Monitoring-Strategien enden an der Grenze zwischen „normaler Laufzeit“ und „Recovery/Offline“-Zustand. Wenn ein Angreifer also über WinRE agiert und dabei Shell-Zugriff auf das verschlüsselte Volume erlangt, verschiebt sich die Lage von „Datei wird gelesen“ zu „Vertrauensgrenzen werden neu gezogen“. Hinzu kommt, dass Recovery-Partitionen oft weniger streng behandelt werden als Betriebssystemdateien; sie sind zwar „verwaltet“, aber in vielen Umgebungen nicht gleichermaßen gehärtet, überwacht oder gegen unautorisierte Änderungen abgesichert. Damit steigt die Bedeutung von Integritätsprüfung, Least-Privilege und klaren Runbooks für den Umgang mit Recovery-Konfigurationen.
Für die regulatorische und datenschutzbezogene Bewertung ist das besonders heikel, weil BitLocker häufig als Kontrollmaßnahme in Risiko- und Compliance-Dokumentationen dient. Selbst wenn BitLocker kryptografisch stark ist, kann ein praktikabler Bypass in der Pre-Boot-Kette die Annahmen untergraben, auf denen etwa interne Datenschutzfolgenabschätzungen oder Informationssicherheits-Policies basieren. Unternehmen sollten daher nicht nur Patches betrachten, sondern auch beweisbar sicherstellen, dass Recovery-Partitionen nicht unbemerkt manipuliert werden können. Ergänzend empfiehlt sich, Prozesse rund um Defender Offline Scan zu überprüfen: Welche Geräte nutzen ihn, wie wird er protokolliert, und wie wird sichergestellt, dass keine unerwarteten Startzustände entstehen, die später ausgenutzt werden könnten?
Mit Blick nach vorn dürfte die Reaktion auf GreatXML zwei Linien haben. Erstens wird die technische Abwehrseite zeigen müssen, ob Microsoft den betroffenen Recovery-XML-Pfad beziehungsweise den Zusammenhang zu Offline-Scan-Zuständen in Updates adressiert. Zweitens werden Security-Teams zusätzliche Härtungsmaßnahmen priorisieren: Integritätsmonitoring der Recovery-Partition, klare Einschränkungen für Recovery-Startpfade und konsequentes Management von Geräten im Zustand „Offline Scan“. Der entscheidende Vergleich im Enterprise-Sinne lautet: Klassische EDR-Erkennung hilft vor allem während des OS-Laufs, während in diesem Szenario eher „Pre-Boot“-Schutzmechanismen und Konfigurations-Guardrails den Ausschlag geben.
Für Entwickler und Betreiber verschiebt GreatXML zudem die Anforderungen an „Security by Workflow“. Wenn ein Sicherheitsfeature wie Offline-Scan durch ungewöhnliche Startpfade andere Komponenten berührt, sollten Systeme so designt sein, dass daraus keine Angriffsprimitive entstehen. In der Praxis bedeutet das auch: Automatisiertes Hardening in Provisioning-Pipelines (z. B. über MDM/Imaging-Prozesse), regelmäßige Validierung der Recovery-Struktur sowie eine Teststrategie, die nicht nur Windows-Installationen, sondern auch Recovery-Zustände umfasst. Langfristig ist zu erwarten, dass Angreifer die Recovery-Kette als wiederkehrendes Ziel behandeln werden, weshalb Unternehmen gut beraten sind, Incident-Response-Übungen künftig ausdrücklich WinRE- und Offline-Scan-Szenarien einzubeziehen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "GreatXML: BitLocker-Bypass über WinRE-Recovery-XML unterläuft Laufwerksverschlüsselung" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "GreatXML: BitLocker-Bypass über WinRE-Recovery-XML unterläuft Laufwerksverschlüsselung" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »GreatXML: BitLocker-Bypass über WinRE-Recovery-XML unterläuft Laufwerksverschlüsselung« bei Google Deutschland suchen, bei Bing oder Google News!