Eine Grafik mit rotem Hintergrund, die eine digitale IT-Struktur in einem abstrakten Design darstellt. Geeignet für technische Themen.
Am 20. August 2026 hat Check Point Research eine Analyse veröffentlicht, die zeigt, wie sich der Microsoft Defender Treiber BTR.sys im Windows-Kernel für fremde Zwecke nutzen lässt. Betroffen sind Systeme von Windows 7 bis Windows 11 25H2, also praktisch jede Windows-Installation mit aktivem Defender.
Ausgenutzt wird dabei keine Schwachstelle, sondern eine vorgesehene Funktion – weshalb die üblichen Sperrmechanismen nicht greifen. Zusammen mit einem fehlerhaften Defender-Update vom 18. August und einer bislang ungepatchten Defender-Lücke ergibt sich ein Bild, das IT-Verantwortliche kennen sollten.
Das Wichtigste in Kürze
- Der Microsoft Defender Treiber BTR.sys ist eine von Microsoft signierte Kernel-Komponente, die in der Datei MpEngine.dll steckt und Schadsoftware beim Neustart entfernt.
- Wer Administratorrechte besitzt, kann den Treiber laut Check Point Research mit einer eigenen Anweisungsliste laden und damit Dateien sowie Registry-Einträge im Kernel verändern.
- Die Sperrliste für angreifbare Treiber und Windows Defender Application Control (WDAC) greifen nicht, weil BTR.sys eine Pflichtkomponente von Windows ist.
- Microsoft stuft den Fall als nicht sofort behebungsbedürftig ein, weil Administratorrechte vorausgesetzt sind. Ein Patch existiert nicht.
- Angriffe in der Praxis sind bisher nicht beobachtet, der Proof of Concept ist allerdings öffentlich.
So funktioniert der Defender-Treiber BTR.sys
BTR steht für Boot-Time Removal. Muss der Defender eine Datei entfernen, die im laufenden Betrieb gesperrt ist, hinterlegt er die Aufgabe und arbeitet sie beim nächsten Start ab. Der zuständige Treiber wird dafür aus einer Ressource in MpEngine.dll entpackt und geladen. Seine Arbeitsliste liest er verschlüsselt aus einem NTFS-Alternate-Data-Stream.
Check Point Research hat dieses undokumentierte Format nachgebaut. Damit lässt sich dem Treiber eine eigene Liste unterschieben. Möglich sind laut der Analyse das Löschen von Dateien trotz exklusiver Sperren, das Verschieben von Dateien, das Löschen und Schreiben von Registry-Schlüsseln und -Werten sowie das Verändern von Dienstkonfigurationen. Ausgeführt wird das alles mit Kernel-Rechten in einer frühen Startphase, in der Schutzdienste noch nicht laufen.
Genau diese Reihenfolge ist der Kern des Problems: Wer den Treiber vor dem Virenschutz startet, kann dessen Bestandteile entfernen, bevor sie sich wehren können. Der Manipulationsschutz greift zu diesem Zeitpunkt noch nicht.
Zahlen, Daten, Fakten
Die wichtigsten Angaben aus den Berichten von Check Point Research und Microsoft:
- Windows 7 bis Windows 11 25H2 - Spanne der Systeme, auf denen die Technik laut Check Point Research funktioniert
- 1.457.236.0 - Definitionsstand, mit dem Microsoft den Scan-Absturz behoben hat
- rund 10 Stunden - Zeitraum am 18. August 2026, in dem betroffene Systeme keine Prüfung mehr abschließen konnten
- CVE-2026-69414 - offene Defender-Lücke, für die es bislang keinen Patch gibt
Warum WDAC den Treiber nicht sperrt
Bei missbrauchbaren Treibern ist die übliche Antwort die Sperrliste: Microsoft nimmt den Treiber in die Vulnerable Driver Blocklist auf, oder Administratoren sperren ihn per WDAC. Beides funktioniert hier nicht. BTR.sys gehört zum Defender selbst, eine Sperre würde die Bereinigung lahmlegen.
Ebenso fehlt der sonst nötige Zwischenschritt, einen fremden angreifbaren Treiber mitzubringen. Das Verfahren, in der Fachwelt als Bring Your Own Vulnerable Driver bekannt, wird schlicht nicht gebraucht, weil der passende Treiber bereits auf jedem System liegt.
Keine Schwachstelle, aber ein Risiko
Weil der Treiber genau das tut, wofür er gebaut wurde, gibt es weder eine Kennung mit Patch noch eine Sperrregel. Verteidigen lässt sich der Fall nur über Rechte und Erkennung.
Microsofts Sicherheitszentrum hat entschieden, dass der Fall keine sofortige Behebung erfordert, da ein Angreifer bereits Administratorrechte benötigt. Diese Einschätzung ist nachvollziehbar, greift in der Praxis aber zu kurz: Rechteausweitung ist unter Windows regelmäßig Thema, wie unser Beitrag zur Windows-Defender-Lücke RoguePlanet zeigt. Wer lokale Administratorrechte erlangt, hat mit BTR.sys einen bequemen Weg in den Kernel.
Der Defender-Ausfall vom 18. August
Wie schnell der Basisschutz stillstehen kann, zeigte sich zwei Tage vorher. Am 18. August 2026 brachen auf Windows-10- und Windows-11-Systemen Schnell- und Vollscans ab. Anwender sahen die Meldung, dass der Bedrohungsdienst beendet wurde; im Ereignisprotokoll stand eine Zugriffsverletzung mit dem Code 0xc0000005 im Prozess MsMpEng.exe.
Ursache war ein fehlerhaftes Update der Security Intelligence. Betroffen waren die Stände 1.457.222.0 bis 1.457.230.0. Microsoft bestätigte den Fehler und behob ihn mit dem Stand 1.457.236.0 oder neuer; die Empfehlung lautete, das aktuelle Update einzuspielen oder automatische Updates zu aktivieren. Bis zur Korrektur vergingen rund zehn Stunden, in denen auf betroffenen Geräten keine Prüfung mehr lief.
Ein Zusammenhang mit dem Absichern einer Defender-Lücke wird vermutet, ist von Microsoft aber nicht bestätigt. Für die Praxis zählt ein anderer Punkt: Der Ausfall war für Anwender kaum erkennbar, wenn niemand auf die Meldung achtete.
ShieldBreak: Defender-Lücke ohne Patch
Parallel dazu ist eine Lücke im Malware-Schutzmodul offen. Ein Sicherheitsforscher, der unter dem Namen Nightmare Eclipse auftritt, veröffentlichte am 12. August 2026 einen Proof of Concept mit der Bezeichnung ShieldBreak. Microsoft hat dafür am 14. August die Kennung CVE-2026-69414 zugewiesen und arbeitet an einem Update. Ein Patch liegt zum Stand dieses Beitrags nicht vor.
Die Lücke erlaubt einem lokalen Konto mit geringen Rechten den Aufstieg auf SYSTEM-Ebene. Angesetzt wird an der Art, wie der Defender Dateien beim Nachladen aus der Cloud prüft. Bestätigt ist die Ausnutzung auf Windows 11 25H2 und Windows Server 2025, betroffen sind nach Angaben der Forscher auch ältere Windows- und Server-Versionen. ShieldBreak umgeht dabei die Korrektur, die Microsoft im Juli für RoguePlanet (CVE-2026-50656) ausgeliefert hatte.
Empfehlungen für IT-Admins
1
Definitionsstand prüfen
Mindestens 1.457.236.0 muss überall installiert sein. Danach einen Testscan starten, statt sich auf die Versionsnummer allein zu verlassen.
2
Ausfälle sichtbar machen
Einen Alarm auf den gestoppten Dienst WinDefend und auf ausbleibende Scans einrichten. Ein stiller Ausfall ist das eigentliche Risiko.
3
Rechte trennen
Keine dauerhaften lokalen Administratorrechte für Anwender, getrennte Konten für administrative Aufgaben, die Berechtigung zum Laden von Treibern nur dort, wo sie gebraucht wird.
4
Auf die Spuren achten
Check Point Research empfiehlt Alarme auf das Anlegen eines Alternate-Data-Streams mit der Endung .sys:changelist (Sysmon-Ereignis 15), auf das Löschen von Sicherheitsdateien durch den Prozess System nach einem Treiberladevorgang, auf Dienste, die direkt in der Registry angelegt werden, sowie auf schnell erzeugte und wieder gelöschte BootClean.log-Dateien.
5
Zweite Ebene einziehen
Eine Lösung, die Ereignisse serverseitig auswertet, meldet den Ausfall eines Endpunkts auch dann, wenn der Schutz auf dem Gerät selbst abgeschaltet wurde.
6
ShieldBreak beobachten
Solange kein Patch vorliegt, bleibt nur, die Wege zur Rechteausweitung zu begrenzen und den Patchstand nach der Veröffentlichung zügig nachzuziehen.
Bedeutung für Geschäftsführung und Entscheider
Drei Ereignisse innerhalb einer Woche betreffen denselben Baustein: den Virenschutz, der auf nahezu jedem Windows-Gerät im Unternehmen mitläuft. Einmal fiel er durch ein fehlerhaftes Update aus, einmal ist eine Lücke offen, einmal lässt sich eine seiner eigenen Funktionen gegen ihn verwenden. Keines dieser Ereignisse ist ein Grund zur Panik, gemeinsam zeigen sie aber, dass ein mitgelieferter Schutz allein keine Zusage auf Sicherheit ist.
Wirtschaftlich betrachtet ist der Aufwand gering. Ein Alarm auf den ausgefallenen Schutzdienst, ein Rechtekonzept ohne dauerhafte Administratorrechte und eine zentrale Auswertung der Endpunkt-Meldungen kosten wenig und wirken sofort. Teuer wird der andere Fall: Ein Endpunkt, auf dem der Schutz seit Tagen stillsteht, fällt ohne Überwachung erst auf, wenn Schaden entstanden ist. Wie schnell aus abgeflossenen Zugangsdaten ein Geschäftsrisiko wird, zeigt unser Beitrag zu gestohlenen Zugangsdaten.
Eine gesetzliche Frist gibt es hier nicht. Offen bleibt allein die ungepatchte Lücke CVE-2026-69414, für die es bisher keinen Termin gibt. Die Frage an die Geschäftsführung lautet deshalb weniger „Haben wir einen Virenschutz?“ als „Wer merkt es, wenn er ausfällt?“
FAQ zum Microsoft Defender Treiber
Ist der Microsoft Defender Treiber BTR.sys eine Sicherheitslücke?
Nein. Der Treiber tut, was er tun soll. Missbraucht wird eine vorgesehene Funktion, weshalb Microsoft den Fall auch nicht als Schwachstelle mit Patch behandelt. Für die Verteidigung ist das nachteilig, denn eine Sperre über Blocklisten steht nicht zur Verfügung.
Kann ich BTR.sys deaktivieren?
Praktisch nicht. Der Treiber ist Bestandteil des Defenders und wird für das Entfernen gesperrter Dateien gebraucht. Wirksam sind stattdessen konsequente Rechtetrennung und eine Überwachung, die das Laden von Treibern und das Löschen von Sicherheitsdateien meldet.
Woran erkenne ich, ob mein System vom Defender-Ausfall betroffen war?
Im Ereignisprotokoll steht eine Zugriffsverletzung mit dem Code 0xc0000005 zum Prozess MsMpEng.exe, außerdem meldete Windows das Beenden des Bedrohungsdienstes. Mit dem Definitionsstand 1.457.236.0 oder neuer ist der Fehler behoben.
Reicht Microsoft Defender im Unternehmen aus?
Als Grundschutz ist der Defender solide, blind verlassen sollte man sich darauf nicht. Wichtig ist die Frage, wer bemerkt, wenn er ausfällt. Ohne zentrale Überwachung bleibt ein Ausfall auf einem einzelnen Gerät unbemerkt.
Fazit
Der Microsoft Defender Treiber BTR.sys zeigt eine unangenehme Eigenschaft moderner Schutzsoftware: Was Schadsoftware entfernen darf, kann auch Schutzsoftware entfernen. Zusammen mit dem Ausfall vom 18. August und der offenen Lücke CVE-2026-69414 ergibt sich eine klare Aufgabe für die kommenden Tage. Prüfen Sie den Definitionsstand, richten Sie einen Alarm auf den ausgefallenen Schutzdienst ein und beenden Sie dauerhafte Administratorrechte auf Arbeitsplätzen. Der Schutz auf dem Gerät bleibt wichtig, entscheidend ist jedoch, dass jemand hinsieht, wenn er nicht mehr arbeitet.
Fanden Sie den Blogbeitrag hilfreich und interessant?
Vielen Dank für Ihre Rückmeldung!