Windows 11 BitLocker-Sicherheitslücke: Downgrade-Angriff auf Verschlüsselung möglich

Der Exploit basiert auf CVE-2025-48804, einer Schwachstelle innerhalb der Windows-Wiederherstellungsumgebung und des Mechanismus für System-Deployment-Images. Obwohl im Juli 2025 ein Patch veröffentlicht wurde, nutzt das Tool einen Downgrade-Angriff, um den Schutz unwirksam zu machen.

Um den Angriff auszuführen, muss ein Angreifer physischen Zugriff auf das Gerät haben. Mithilfe eines USB-Sticks speist der Angreifer dem Boot-Manager eine legitime Datei im Windows Imaging Format zu. Während das System Integritätsprüfungen an dieser sauberen Datei durchführt und sie als authentisch verifiziert, bootet es gleichzeitig eine an die Datei angehängte bösartige Payload, wodurch der Angreifer Zugriff auf das entschlüsselte Volume erhält.

Der Kern der Schwachstelle liegt in dem anhaltenden Vertrauen in das veraltete Windows PCA 2011-Zertifikat. Da Secure Boot dieses Zertifikat weiterhin als gültig anerkennt, können Angreifer das System dazu zwingen, eine ältere, anfällige Version des Boot-Managers zu laden. In diesem Fall vergleicht das Trusted Platform Module (TPM) die Systemmesswerte mit dem PCA 2011-Zertifikat. Da keine Unregelmäßigkeiten festgestellt werden, gibt das TPM den BitLocker-Volume-Master-Key frei, wodurch das Laufwerk entsperrt werden kann, ohne Sicherheitswarnungen auszulösen.

Diese Schwachstelle betrifft insbesondere Benutzer, die auf Standard-TPM-Konfigurationen setzen. Es stehen jedoch wirksame Gegenmaßnahmen zur Sicherung der Daten zur Verfügung. Systeme, die ein TPM in Verbindung mit einer Pre-Boot-PIN nutzen, sind gegen diesen Angriff vollständig immun, da die Hardware einen manuellen Code erfordert, bevor die Verschlüsselungsschlüssel freigegeben werden.

Zudem lässt sich das Risiko durch Software-Updates mindern. Geräte, die die Umstellung auf das digitale Sicherheitszertifikat „Windows UEFI CA 2023“ über das Update KB5025885 abgeschlossen haben, sind vor diesem spezifischen Downgrade-Pfad geschützt, da das System nicht mehr auf das veraltete Zertifikat von 2011 zurückgreift.