Windows 11: Forscher zeigen Komplettübernahme via USB in fünf Minuten
Veröffentlicht am: 16.08.2026 um 12:43 Uhr | Redaktion boerse-global.de
Auf der IT-Sicherheitskonferenz DEF CON 34 haben Experten eine kritische Angriffskette auf das Betriebssystem Windows 11 vorgestellt. Unter dem Namen „Plug and Pwn“ demonstrierten die Sicherheitsforscher Alejandro Hernando und Borja Martinez, wie die automatisierte Installation von Treibern über die Plug-and-Play-Schnittstelle (PnP) ausgenutzt werden kann, um weitreichende Systemberechtigungen zu erlangen. Der Angriff betrifft nach Angaben der Forscher auch vollständig aktualisierte Systeme.
Automatisierte Rechteausweitung ohne Benutzerinteraktion
Der Kern der Schwachstelle liegt im Mechanismus der Windows-PnP-Autoinstallation. Die Forscher zeigten auf, dass dieser Prozess missbraucht werden kann, um signierte Software von Hardware-Herstellern mit SYSTEM-Rechten zu installieren – der höchsten Berechtigungsstufe unter Windows.
Ein wesentliches Merkmal des physischen Angriffs ist die Geschwindigkeit und die geringe Hürde für die Durchführung: Die gesamte Kette dauert etwa fünf Minuten. Dabei kommen emulierte USB-Geräte zum Einsatz, die sich gegenüber dem Betriebssystem als Hardware von Sierra Wireless oder Sony FeliCa identifizieren.
Da es sich um einen sogenannten Zero-Click-Angriff handelt, ist weder ein angemeldeter Benutzer noch eine Interaktion am Bildschirm erforderlich, um die Installation der manipulierten Umgebung zu starten.
Remote-Angriffe über RDP-Verbindungen
Neben der physischen Variante präsentierten Hernando und Martinez eine Fernzugriffs-Variante namens „NoPlug & Pwn“. Diese nutzt das Remote Desktop Protocol (RDP) in Kombination mit der USB-Umleitung aus. In diesem Szenario wurde die Emulation einer Intel-RealSense-Kamera genutzt, um die Schwachstelle über eine Netzwerkverbindung zu triggern.
Wer sich mit den Sicherheitsrisiken von Windows 11 befasst, sollte auch auf einen Ernstfall vorbereitet sein. Dieser kostenlose Ratgeber erklärt, wie Sie einen Notfall-Stick erstellen, um Ihr System jederzeit sicher reparieren oder neu installieren zu können. Windows 11 Boot-Stick Anleitung jetzt kostenlos sichern
Microsoft reagierte auf diese Erkenntnisse mit dem Hinweis, dass die für diesen Angriff notwendige RDP-USB-Umleitung in den Standardeinstellungen des Betriebssystems deaktiviert sei. Damit ist die unmittelbare Gefahr für die Mehrheit der Anwender in Standardkonfigurationen zunächst begrenzt, sofern diese Funktion nicht explizit für geschäftliche oder technische Anforderungen aktiviert wurde.
Weitere Schwachstellen in Windows-Sicherheitsfunktionen
Zusätzlich zu den Plug-and-Play-Exploits wurden im Rahmen der Präsentationen auf der USENIX Security '26 und der DEF CON 34 zwei weitere Schwachstellen im Windows-Ökosystem veröffentlicht.
Unter dem Titel „Download More RAM“ wurde die Schwachstelle CVE-2026-23670 bekannt. Diese nutzt den SPD-Chip von Arbeitsspeichermodulen aus, um die Virtualisierungsbasierte Sicherheit (VBS) von Windows zu umgehen. Dieser Angriff setzt jedoch bereits vorhandene lokale Administratorrechte voraus.
Neben kritischen Sicherheitslücken können auch alltägliche Update-Fehler oder Systemkonflikte den PC-Betrieb massiv stören. In diesem Gratis-Report erfahren Sie, wie Sie die häufigsten Windows-Probleme ohne teure IT-Hilfe einfach selbst beheben. Kostenlosen Windows-Hilfe-Report herunterladen
Eine weitere Lücke, die unter der Bezeichnung „ShieldBreak“ (CVE-2026-50656) geführt wird, ermöglicht eine Eskalation auf SYSTEM-Rechte durch die Umgehung eines bestehenden Patches für den Microsoft Defender.
Empfohlene Schutzmaßnahmen für Administratoren
Microsoft hat bereits spezifische Sicherheitshinweise und Gegenmaßnahmen zu den drei identifizierten Schwachstellen veröffentlicht. Um das Risiko eines Angriffs über die Plug-and-Play-Schnittstelle zu minimieren, empfehlen die Experten mehrere technische Schritte.
Zwar könne das Setzen des Registrierungswertes „DisableCoInstallers“ einige Angriffsvarianten unterbrechen, ein vollständiger Schutz sei dadurch allein jedoch nicht gewährleistet.
Als weiterführende Sicherheitsvorkehrungen werden die konsequente Nutzung von Secure Boot sowie die Deaktivierung der RDP-USB-Umleitung in Umgebungen mit hohem Sicherheitsbedarf angeraten. Da die Angriffe teilweise auf dem Nachladen signierter Herstellersoftware basieren, bleibt die Kontrolle über angeschlossene Hardware-IDs ein zentraler Aspekt der Absicherung.
