Jemand hat Code in dem versiegelten Raum ausgeführt, in dem Windows Ihr Passwort verwahrt

Windows 11 verwahrt einige Geheimnisse in etwas, das einem versiegelten Raum gleicht. Es heißt VBS-Enklave, ein vom Prozessor abgeschotteter Speicherbereich, in den selbst Schadsoftware mit vollen Administratorrechten nicht hineinsehen kann. Eine dieser Enklaven enthält die gehashte Kopie Ihres Windows-Passworts, die Defender SmartScreen für den erweiterten Phishingschutz verwendet, also für die Funktion, die sich meldet, wenn Sie dieses Passwort auf einer Webseite eintippen oder in den Editor einfügen.

Am 13. Oktober veröffentlichte Adrian Denkiewicz von der Sicherheitsfirma Doyensec den vollständigen Bericht darüber, wie er dort eigenen Code zum Laufen brachte. Die Komponente heißt SFAPE.dll, und der Einstieg war fast lächerlich klein: Der zweimalige Aufruf ihrer Initialisierungsroutine erlaubte ihm, vier feste Bytes an eine frei wählbare Adresse zu schreiben. Aus diesem einen Ansatzpunkt baute er Lesezugriffe auf den Speicher, dann Schreibzugriffe, brach die Prüftabelle der Enklave selbst auf und rief am Ende beliebige Funktionen innerhalb des geschützten Bereichs auf. Geladen wird die Enklave von lsass.exe, das als SYSTEM läuft, der Gewinn war also real.

Nun der beruhigende Teil. Die Lücke CVE-2026-83498 wurde am 8. September mit KB5124008 behoben. Microsoft hat zudem die Codeintegritätsrichtlinie geändert, sodass Windows ältere, verwundbare Fassungen der Datei nicht mehr lädt und der naheliegende Trick des Zurückrollens entfällt. In echten Angriffen wurde das bisher nicht beobachtet, und es erreicht Sie nicht über das Internet. Ein Angreifer braucht bereits laufenden Code auf Ihrem PC, bevor davon überhaupt etwas greift.

Genau darum geht es. Solche Forschung wird erst auf Rechnern gefährlich, die seit Monaten keine Updates mehr annehmen. Der Gesundheitswert von Tendvane weist auf einen PC hin, der still ins Hintertreffen geraten ist, und das fällt meist erst auf, wenn es darauf ankommt.