Microsoft hat einen Fix für eine Windows-Zero-Day-Schwachstelle veröffentlicht, die bereits aktiv ausgenutzt wurde, um mit Lazarus, der staatlich unterstützten nordkoreanischen Hackergruppe, verknüpfte Malware zu installieren. Bei der Schwachstelle handelt es sich um einen Use-after-Free-Bug, der es Angreifern ermöglichte, sich tieferen Zugriff auf kompromittierte Systeme zu verschaffen, bevor sie ein Rootkit installierten, das sie dort unentdeckt halten sollte. Wer Windows kürzlich nicht aktualisiert hat, sollte genau diesen Patch nicht aufschieben.

Was die Windows-Zero-Day-Schwachstelle bewirkt

Eine Use-after-Free-Schwachstelle entsteht, wenn ein Programm weiterhin einen Speicherbereich verwendet, nachdem dieser bereits für andere Zwecke freigegeben wurde. Praktisch schafft dies eine Angriffsfläche, über die Angreifer manipulieren können, wie das System mit diesem Speicher umgeht, und häufig eigenen Code mit erhöhten Rechten ausführen können. Unter Windows kann eine solche Schwachstelle den Unterschied zwischen einem Angreifer mit begrenztem Zugriff auf einen Rechner und nahezu vollständiger Kontrolle darüber ausmachen.

Da diese Schwachstelle ein Zero-Day war, also bereits aktiv ausgenutzt wurde, bevor Microsoft einen Fix veröffentlicht hatte, war jeder potenziell gefährdet, der während des Ausnutzungszeitraums eine ungepatchte Windows-Version verwendete. Zero-Days sind gerade deshalb so gefährlich, weil es keine Vorwarnung gibt. Verteidiger können nicht patchen, was sie nicht als defekt kennen – daher liefern sich Angreifer und Sicherheitsforscher gleichermaßen einen Wettlauf darum, diese Lücken zuerst zu finden. Windows und sein Begleitbrowser Edge bleiben in diesem Wettlauf häufige Ziele. Auf der Pwn2Own Berlin 2026 demonstrierten Forscher mehrere funktionierende Exploits gegen beide Produkte – eine Erinnerung daran, dass in zentraler Microsoft-Software nahezu ständig neue Schwachstellen auftauchen.

Wie Lazarus die Schwachstelle nutzt, um ein Rootkit zu installieren

Nachdem Angreifer den Use-after-Free-Bug ausgenutzt hatten, nutzten sie den dadurch erlangten Zugriff, um ein mit Lazarus in Verbindung stehendes Rootkit zu installieren. Ein Rootkit ist eine Malware-Kategorie, die speziell darauf ausgelegt ist, sich zu verstecken und die Kontrolle über ein System auf tiefer, oft Kernel-Ebene zu behalten. Dadurch ist es für Standard-Antivirenprogramme oder selbst für IT-Administratoren weitaus schwieriger zu erkennen. Lazarus hat eine lange Erfolgsbilanz bei finanziell motivierten und spionagegetriebenen Kampagnen; die eingesetzten Werkzeuge sind in der Regel hochentwickelt, gut ausgestattet und auf langfristigen Zugriff ausgelegt – nicht auf schnelle Raubzüge.

Diese Kombination ist entscheidend: Der Zero-Day liefert den ersten Fuß in der Tür, und das Rootkit macht daraus etwas Dauerhaftes. Angreifer wollen nicht nur hineinkommen – sie wollen möglichst lange und unauffällig bleiben.

Warum Rootkit-Persistenz eine größere Bedrohung ist als typische Malware

Die meisten Malware-Infektionen werden früher oder später bemerkt – sei es durch ungewöhnliches Systemverhalten, Sicherheitssoftware, die verdächtige Dateien meldet, oder einen Anstieg des ausgehenden Netzwerkverkehrs. Rootkits sind genau darauf ausgelegt, eine solche Erkennung zu vermeiden. Indem sie auf einer niedrigen Ebene des Betriebssystems arbeiten, manchmal sogar unterhalb der Stellen, an denen herkömmliche Sicherheitswerkzeuge suchen, kann ein Rootkit es Angreifern ermöglichen, Aktivitäten zu beobachten, Daten abzuziehen oder sich über längere Zeit lateral durch ein Netzwerk zu bewegen, ohne Alarme auszulösen.

Diese Persistenz unterscheidet einen Rootkit-basierten Eindringversuch von einer gewöhnlichen Malware-Infektion. Typische Malware lässt sich oft mit einem Scan und einem Neustart bereinigen. Ein gut verstecktes Rootkit kann genau diese Bereinigungsschritte vollständig überstehen. Deshalb stufen Sicherheitsforscher den Einsatz von Rootkits als ernsthafte Eskalation ein und nicht nur als weiteren Punkt in einem Bedrohungsbericht.

Jetzt patchen: So sichern Sie Ihr System und reduzieren Ihre Angriffsfläche

Microsoft hat bereits einen Patch für diese Schwachstelle veröffentlicht. Die wichtigste Maßnahme für jeden Windows-Nutzer ist daher einfach: sofort aktualisieren. Öffnen Sie Windows Update, suchen Sie nach den neuesten Sicherheitspatches und installieren Sie sie ohne Verzögerung. Automatische Updates sollten künftig aktiviert bleiben, damit zukünftige Fixes nicht unangewendet liegen bleiben.

Über diesen einzelnen Patch hinaus ist dieser Vorfall ein nützlicher Anstoß, die allgemeine Sicherheitshygiene zu überprüfen. Halten Sie Endpoint-Protection-Tools aktiv und aktuell; auch wenn ein Rootkit schwer zu erkennen ist, wird moderne Sicherheitssoftware kontinuierlich aktualisiert, um bekannte Indikatoren zu erkennen. Auch die Einschränkung von Administratorkonten für alltägliche Aufgaben verringert den Schaden, den ein erfolgreicher Exploit anrichten kann, da viele Angriffe zur Rechteausweitung überhaupt erst darauf angewiesen sind, erhöhte Zugriffsrechte zu erlangen.

Was das für Sie bedeutet

Für die meisten Heimanwender und kleinen Unternehmen ist diese spezielle Lazarus-Kampagne vermutlich kein direktes Ziel, aber die grundlegende Lehre gilt allgemein. Zero-Days werden laufend entdeckt und ausgenutzt; zeitnahes Patchen ist eine der wenigen Verteidigungsmaßnahmen, die in nahezu jedem Bedrohungsszenario zuverlässig wirkt. Mehrschichtige Schutzmaßnahmen – etwa Netzwerkverkehr verschlüsselt und überwacht zu halten, in unbekannten oder öffentlichen Netzwerken ein seriöses VPN zu verwenden und sensible Geräte vom allgemeinen Surfen zu trennen – verringern die Wahrscheinlichkeit, dass eine einzelne Schwachstelle zu einer vollständigen Kompromittierung wird.

Der größere Zusammenhang ist, dass kein einzelner Patch – so wichtig er auch sein mag – eine dauerhafte Lösung darstellt. Immer wieder werden neue Schwachstellen in Windows und Edge auf Veranstaltungen wie der Pwn2Own Berlin 2026 gefunden, was unterstreicht, dass das Betriebssystem, auf das sich die meisten Menschen täglich verlassen, ständig von Verteidigern und Angreifern unter die Lupe genommen wird.

Die unmittelbare Handlungsempfehlung ist einfach: Patchen Sie Ihre Windows-Systeme jetzt, falls noch nicht geschehen. Betrachten Sie diesen Vorfall darüber hinaus als Erinnerung, automatische Updates aktiviert zu lassen, unnötige Administratorrechte zu minimieren und gute Patch-Gewohnheiten mit mehrschichtigen Netzwerkschutzmaßnahmen zu kombinieren, damit aus einem einzelnen verpassten Update keine offene Tür wird.