Microsoft Defender: Falsche Trojaner-Warnung blockiert Synology-Backups
Veröffentlicht am: 14.08.2026 um 11:15 Uhr | Redaktion boerse-global.de
Nutzer von Synology-Speicherlösungen sehen sich derzeit mit erheblichen Schwierigkeiten bei der Datensicherung konfrontiert. Aktuellen Berichten zufolge identifiziert die Sicherheitssoftware Microsoft Defender die Backup-Anwendungen des Herstellers fälschlicherweise als Trojaner. Diese fehlerhafte Einstufung führt dazu, dass die betroffenen Programme unmittelbar in die Quarantäne verschoben werden, was eine erfolgreiche Durchführung von Sicherungsprozessen unmöglich macht.
Während Anwender mit diesen operativen Ausfällen kämpfen, gerät der Windows Defender zudem aufgrund einer neu entdeckten, kritischen Sicherheitslücke unter Druck.
Fehlalarme beeinträchtigen Datensicherheit
Die Probleme im Zusammenspiel zwischen Microsoft Defender und der Synology-Software traten Mitte August verstärkt auf. In zahlreichen Fällen blockierte die Schutzkomponente von Windows die Ausführung der Backup-Dienste, da sie eine vermeintliche Bedrohung durch Schadsoftware erkannte. Da die notwendigen Dateien für den Sicherungsvorgang isoliert werden, schlagen geplante Backups systematisch fehl.
Für Unternehmen und Privatanwender bedeutet dies ein erhebliches Risiko, da die Integrität ihrer Datenbestände nicht mehr durch automatisierte Prozesse gewährleistet werden kann. Bisher ist keine offizielle Korrektur seitens Microsoft für dieses spezifische Erkennungsproblem bekannt, was Administratoren dazu zwingt, manuelle Ausnahmeregeln in der Sicherheitskonfiguration zu hinterlegen.
Windows 11 macht Probleme? Diese 5 Fehler können Sie ab sofort selbst beheben. Kein IT-Techniker nötig – ein kostenloser Report zeigt, wie es geht. Kostenlosen Hilfe-Report jetzt herunterladen
Kritische Zero-Day-Lücke ShieldBreak entdeckt
Parallel zu den Problemen mit Synology-Anwendungen wurde eine schwerwiegende Schwachstelle im Microsoft Defender bekannt. Ein Akteur unter dem Pseudonym NightmareEclipse veröffentlichte einen Proof-of-Concept (PoC) für einen Exploit namens ShieldBreak. Dieser zielt auf die Schwachstelle CVE-2026-50656 ab, die auch unter dem Namen RoguePlanet bekannt ist. Obwohl Microsoft bereits im Juli einen Fix für diese Lücke bereitgestellt hatte, ermöglicht ShieldBreak die Umgehung dieses Schutzes.
Die Schwachstelle betrifft aktuelle Betriebssysteme, darunter Windows 11 in der Version 25H2 sowie Windows Server 2025. Auch Systeme unter Windows 10 gelten als verwundbar. Durch die Ausnutzung einer sogenannten Race Condition in der Malware Protection Engine des Defenders können unprivilegierte Nutzer eine Shell mit SYSTEM-Rechten erlangen.
Der Schutz vor unbefugten Zugriffen ist für die IT-Sicherheit in Firmen heute wichtiger denn je. Dieser kostenlose Expertenreport zeigt auf, wie Unternehmen proaktiv Sicherheitslücken schließen und aktuelle Bedrohungen abwenden können. Gratis-E-Book für Unternehmen sichern
Der Exploit nutzt dabei eine Kombination aus der Registrierung manipulierter Cloud-Provider, der Manipulation von CLFS-Logs (Common Log File System) sowie Symlinks im Object Manager aus. Experten wie Will Dormann und Kevin Beaumont haben die Wirksamkeit dieses Angriffsvektors bereits bestätigt.
Externe Mitigations-Skripte als Übergangslösung
Da zum gegenwärtigen Zeitpunkt kein offizieller Patch von Microsoft für die ShieldBreak-Lücke vorliegt, haben die Organisationen Ubitquity und Nettwerked reagiert. Sie veröffentlichten einen Open-Source-Mitigationspatch, um die Risiken für Administratoren zu minimieren. Dabei handelt es sich um ein PowerShell-Skript, das die Zugriffskontrolllisten (ACLs) in temporären Verzeichnissen einschränkt, um die für den Exploit notwendigen Dateioperationen zu unterbinden.
Sicherheitsexperten weisen darauf hin, dass die Entdeckung von ShieldBreak zeigt, dass der ursprüngliche Fix für CVE-2026-50656 unvollständig war. Solange keine umfassende Aktualisierung durch den Hersteller erfolgt, bleibt das Risiko einer lokalen Ausweitung von Privilegien (Local Privilege Escalation) auf voll gepatchten Systemen bestehen.
Als Indikatoren für eine Kompromittierung (IOCs) wurden unter anderem die Dateinamen ShieldBreak.exe, Warden.dll und phoneinfo.dll identifiziert, auf die Sicherheitsverantwortliche in ihren Netzwerken achten sollten.
