Stand: 18. April 2026. Die hier beschriebene Schwachstelle ist zum Zeitpunkt der Veröffentlichung dieses Artikels noch nicht vollständig geschlossen. Microsoft hat eine Erkennung für die bekannte Exploit-Variante veröffentlicht, aber nicht das zugrundeliegende Problem behoben. Halten Sie Windows und Windows Defender durch automatische Updates aktuell und beachten Sie die Hinweise am Ende des Artikels.

Was ist BlueHammer?

Am 3. April 2026 veröffentlichte ein anonymer Sicherheitsforscher unter dem Pseudonym „Chaotic Eclipse" auf GitHub funktionstüchtigen Exploit-Code für eine bisher unbekannte Schwachstelle in Windows. Er gab ihr den Namen BlueHammer – und stellte sie absichtlich ohne vorherige Absprache mit Microsoft online, aus Frustration über den Umgang des Unternehmens mit früheren Meldungen.

BlueHammer betrifft Windows 10, Windows 11 und verschiedene Server-Editionen – also potenziell über eine Milliarde Geräte weltweit. Unabhängige Sicherheitsexperten haben bestätigt, dass der Exploit funktioniert. Inzwischen ist die Schwachstelle unter der Kennung CVE-2026-33825 registriert.

Was „lokaler Zugang" bedeutet – und warum das trotzdem gefährlich ist

BlueHammer ist eine sogenannte Local Privilege Escalation – auf Deutsch: eine Schwachstelle, die eine Rechteausweitung aus lokaler Position ermöglicht. Das bedeutet: Ein Angreifer muss bereits auf dem betroffenen Computer eingeloggt sein oder zumindest ein normales Benutzerkonto auf dem System haben – er kann den Angriff nicht direkt aus dem Internet starten, ohne vorher irgendwie Zugang erlangt zu haben.

Das klingt zunächst nach einer Einschränkung. Tatsächlich ist es das nicht:

  • Gemeinsam genutzte Computer – in Büros, Schulen oder Haushalten mit mehreren Nutzerkonten: Ein Angreifer mit einem normalen Konto kann das gesamte System übernehmen.
  • Schadsoftware als Einstiegspunkt – eine Phishing-Mail, ein infizierter Download, ein Browserfehler: All das kann einem Angreifer zunächst eingeschränkten Zugang verschaffen. BlueHammer ermöglicht ihm dann, diesen eingeschränkten Zugang zur vollständigen Systemkontrolle auszuweiten.
  • Gestohlene Zugangsdaten – Benutzername und Passwort, die etwa durch eine andere Sicherheitslücke oder Datenpanne gestohlen wurden, reichen als Einstieg aus.

Kurz: „Lokaler Zugang" bedeutet nicht „ungefährlich". Es bedeutet nur, dass ein Angreifer zuerst auf anderem Weg einen ersten Fuß in die Tür bekommen muss – was in der Praxis häufig gelingt.

Wie funktioniert BlueHammer – vereinfacht erklärt

BlueHammer nutzt kein Programmierfehler im klassischen Sinne – keine falsch programmierten Zeilen, keinen Speicherüberlauf. Stattdessen nutzt es ein Zusammenspiel mehrerer legitimer Windows-Funktionen, die in einer bestimmten Reihenfolge kombiniert ein Sicherheitsproblem erzeugen. Alle beteiligten Komponenten tun genau das, wofür sie entwickelt wurden – zusammen ergeben sie trotzdem eine Lücke.

Der Ablauf in verständlichen Worten

  1. Einstieg über Windows Defender: Windows Defender – das eingebaute Antivirenprogramm – läuft mit höchsten Systemrechten. Wenn Defender eine verdächtige Datei findet und bereinigt, erstellt er dabei eine Art „Systemschnappschuss" (technisch: Volume Shadow Copy), um sicherzugehen, dass nichts verloren geht.
  2. Das Zeitfenster ausnutzen: BlueHammer bringt Defender dazu, genau in dem Moment innezuhalten, in dem dieser Schnappschuss erstellt wurde, aber bevor Defender die Kontrolle darüber vollständig übernommen hat. Das ist die sogenannte TOCTOU-Lücke – zwischen „prüfen" und „verwenden" liegt ein kurzer Moment, den der Exploit ausnutzt.
  3. Zugang zur Passwort-Datenbank: Während Defender pausiert, greift der Exploit auf die SAM-Datenbank zu. SAM steht für Security Account Manager – das ist die Datenbank, in der Windows die Passwörter aller lokalen Nutzerkonten (in verschlüsselter Form) speichert. Normalerweise ist diese Datenbank für normale Nutzer vollständig gesperrt.
  4. Vollständige Systemkontrolle: Mit den Passwort-Hashes aus der SAM-Datenbank kann ein Angreifer das Administratorkonto übernehmen – und hat danach vollständige Kontrolle über das gesamte System: alle Dateien, alle Programme, alle Einstellungen.
Was „Passwort-Hash" bedeutet: Windows speichert keine Passwörter im Klartext, sondern eine Art mathematischen Fingerabdruck davon – den sogenannten Hash. Angreifer können diesen Hash nutzen, um sich ohne das eigentliche Passwort anzumelden (Pass-the-Hash-Angriff) oder das Passwort mit Werkzeugen zu entschlüsseln.

Was Microsoft bisher getan hat – und was fehlt

Am 7. April 2026 veröffentlichte Microsoft ein Sicherheitsupdate für Windows Defender, das die bekannte Exploit-Variante als Schadcode erkennt und blockiert. Das ist jedoch ausdrücklich kein vollständiger Patch für das zugrundeliegende Problem.

Das eigentliche Problem liegt darin, wie mehrere Windows-Komponenten miteinander interagieren – nicht in einem bestimmten Codeabschnitt. Der veröffentlichte Exploit-Code lässt sich mit kleinen Änderungen neu kompilieren, sodass Defender ihn nicht mehr erkennt. Die Technik selbst bleibt unentdeckt. Ein stabiler, umfassender Fix steht noch aus.

Microsoft hat sich bisher nur mit einer allgemeinen Stellungnahme geäußert und betont, dass das Unternehmen „koordinierte Sicherheitsveröffentlichungen" bevorzuge – also dass Forscher Lücken zuerst an Microsoft melden, bevor sie sie öffentlich machen. Im konkreten Fall war die Situation zwischen Forscher und Microsoft offenbar eskaliert, bevor die Lücke ohne Patch veröffentlicht wurde.

RedSun: Eine weitere Lücke im gleichen Zeitraum

BlueHammer ist nicht die einzige Schwachstelle, die im April 2026 bekannt wurde. Innerhalb von 13 Tagen wurden mehrere Zero-Day-Exploits gegen Windows Defender öffentlich. RedSun ist eine weitere dieser Lücken: Hier nutzt ein Angreifer das Verhalten von Defender aus, wenn dieser Dateien als „verdächtig" markiert und in die Cloud hochlädt – der Exploit bringt Defender dazu, manipulierte Dateien zurückzuschreiben, Systemdateien zu überschreiben und sich damit Administratorrechte zu verschaffen. RedSun wurde inzwischen von Microsoft geschlossen.

Das gleichzeitige Auftreten mehrerer solcher Lücken ist kein Zufall: Wenn Forscher ein Muster in der Art und Weise entdecken, wie Windows-Komponenten interagieren, führt das oft zu einer ganzen Serie ähnlicher Schwachstellen.

Was Sie jetzt tun sollten

Für alle Windows-Nutzer gilt: Solange kein vollständiger Patch verfügbar ist, bleibt das Risiko real. Die folgenden Maßnahmen reduzieren es erheblich.

Für Privatanwender

  • Windows Updates aktiviert lassen – und sicherstellen, dass das System automatisch aktualisiert wird. Sobald Microsoft einen vollständigen Patch veröffentlicht, sollte dieser so schnell wie möglich installiert werden.
  • Windows Defender aktuell halten – die Defender-Signaturen werden separat von Windows-Updates gepflegt. In Windows-Sicherheit → Viren- und Bedrohungsschutz → Schutzupdates prüfen, ob Defender auf dem aktuellen Stand ist.
  • Vorsicht bei unbekannten Programmen und Anhängen – BlueHammer erfordert zunächst lokalenZugang. Wer keine Schadsoftware auf seinen Computer lässt, blockiert damit den ersten Schritt des Angriffs. Anhänge in E-Mails von unbekannten Absendern nicht öffnen, keine Software von inoffiziellen Quellen installieren.
  • Einen zweiten Virenscanner als Ergänzung – da Defender das eigentliche Problem ist, kann ein zusätzlicher Virenscanner (z. B. Malwarebytes in der kostenlosen Version) verhaltensbasierte Erkennung als zweite Schicht bieten.

Für Unternehmen und technisch versierte Nutzer

  • Verhaltensbasierte Überwachung statt rein signaturbasierter Erkennung – da die Exploit-Signatur leicht umgehbar ist, sollten EDR-Systeme (Endpoint Detection and Response) auf ungewöhnliches Verhalten achten.
  • Auf unerwartete Volume Shadow Copy-Erstellungen achten – wenn ein normaler Nutzerprozess plötzlich Systemschnappschüsse erstellt, ist das ein Warnzeichen.
  • Registrierungsänderungen überwachen, die Defender-Einstellungen deaktivieren oder verändern.

Fazit

BlueHammer ist ein ernstzunehmendes Sicherheitsproblem – nicht weil es aus dem Internet angreifbar ist, sondern weil es zeigt, wie effektiv eingeschränkter Zugang zu einem vollständigen Systemangriff ausgebaut werden kann. Der funktionierende Exploit-Code ist öffentlich zugänglich, Angreifer können ihn mit wenig Aufwand an neue Signaturen anpassen, und ein umfassender Patch fehlt noch.

Bis Microsoft das zugrundeliegende Problem behebt, ist die wichtigste Schutzmaßnahme für Privatanwender: Windows und Defender aktuell halten, keine unbekannten Programme starten, und vorsichtig mit E-Mail-Anhängen und Downloads sein – denn wer den ersten Schritt des Angriffs verhindert, macht den zweiten überflüssig.

Diese Situation erinnert auch daran, warum die Frage nach dem Betriebssystem keine rein ideologische ist. Linux ist von dieser Schwachstelle nicht betroffen – weil BlueHammer gezielt das Zusammenspiel von Windows-Komponenten ausnutzt, die unter Linux schlicht nicht existieren.

Quellen