Warum veraltete Treiber jetzt eine Ransomware-Waffe sind

Treiber klingen nicht gefährlich, doch 2026 sind sie zu einem der beliebtesten Werkzeuge von Ransomware geworden. Die Technik heißt Bring Your Own Vulnerable Driver (BYOVD) und funktioniert so: Angreifer installieren einen Treiber, der tatsächlich von einer echten Firma signiert ist, aber eine bekannte Sicherheitslücke aufweist. Da Windows signierten Treibern auf der tiefsten Ebene vertraut, nutzen die Angreifer diese Lücke, um Ihren Virenschutz vom Kernel aus abzuschalten - und verschlüsseln danach ungehindert Ihre Dateien.

Das ist längst kein Randphänomen mehr. Sicherheitsforscher fanden heraus, dass 54 verschiedene „EDR-Killer“-Tools 35 verwundbare Treiber missbrauchen, und große Ransomware-Gruppen bündeln sie inzwischen mit ein. Ein Framework („Gentlemen“) kann mehr als 400 Sicherheitsprozesse in 48 Produkten deaktivieren, darunter Microsoft Defender; die Banden Qilin und Warlock nutzen ein Werkzeug, das über 300 Schutztreiber lahmlegt.

Was Privatnutzer wirklich tun können: Halten Sie Windows aktuell (Microsoft liefert über Windows Update eine ständig verbesserte Sperrliste für verwundbare Treiber), lassen Sie den Manipulationsschutz von Defender aktiviert, und halten Sie Ihre Treiber aktuell, damit keine alten, angreifbaren Versionen herumliegen. Die meisten Angriffe brauchen weiterhin einen ersten Zugang - deshalb zählen auch die Anti-Betrugs-Gewohnheiten aus unserem ClickFix-Leitfaden.

Tendvane hilft bei der Wartung: Es erfasst Ihre Treiber und markiert veraltete anhand des Microsoft Update Catalog, und der Sicherheitscheck bestätigt, dass Defender und Manipulationsschutz tatsächlich aktiv sind.