Microsoft: Angriff auf zwei Fronten

Der Softwareriese gerät unter massiven Druck: Ein US-Senator fordert eine Bundesuntersuchung wegen veralteter Verschlüsselung, während neue Sicherheitslücken in der Windows Firewall entdeckt wurden.

Die Ereignisse dieser Woche zeigen die komplexen Herausforderungen, denen Microsoft gegenübersteht. Einerseits kämpft das Unternehmen gegen die Altlasten jahrzehntealter Technologien, andererseits muss es ständig neue Schwachstellen in modernen Systemen beheben. Für Millionen Windows-Nutzer weltweit bedeutet das: Die Bedrohungslage bleibt kritisch.

Jahrzehntealte Verschlüsselung im Visier der Politik

Senator Ron Wyden hat die Handelskommission FTC aufgefordert, Microsoft wegen „systemischer Sicherheitsschwächen mit nationaler Tragweite“ zu untersuchen. Im Zentrum der Kritik steht der Rivest-Cipher 4 (RC4) – eine Verschlüsselungstechnologie aus dem Jahr 1987.

Obwohl die Internet Engineering Task Force (IETF) RC4 bereits 2015 für Transport Layer Security (TLS) verboten hat, bleibt der Cipher in manchen Microsoft Active Directory-Konfigurationen standardmäßig aktiviert. Das Problem: Cyberkriminelle nutzen die schwache Verschlüsselung für sogenannte „Kerberoasting“-Angriffe.

Diese Methode kam 2024 bei einem Ransomware-Angriff auf das US-Krankenhaus-Netzwerk Ascension zum Einsatz. Die Folge: Sensible Daten von fast 5,6 Millionen Menschen wurden kompromittiert. Senator Wyden macht Microsoft dafür mitverantwortlich.

Der Balanceakt zwischen Kompatibilität und Sicherheit

Microsoft verteidigt sich: Der RC4-Verkehr mache weniger als 0,1 Prozent des Gesamtaufkommens aus. Ein komplettes Deaktivieren würde kritische Systeme vieler Kunden lahmlegen, die auf veraltete Infrastruktur angewiesen sind.

Dennoch lenkt der Konzern ein. RC4 soll in einem künftigen Update für Windows 11 24H2 und Windows Server 2025 standardmäßig deaktiviert werden. Ab dem ersten Quartal 2026 werden neue Active Directory-Domains automatisch ohne RC4 installiert.

Bis dahin empfiehlt Microsoft Administratoren, RC4 manuell zu deaktivieren und auf moderne Verschlüsselungsstandards wie AES umzusteigen.

Anzeige: Apropos Windows 11 24H2 und sichere Konfigurationen: Wer den Wechsel plant, sollte ihn ohne Stress und ohne Datenverlust angehen. Der kostenlose Report „Windows 11 Komplettpaket“ zeigt Schritt für Schritt, wie Sie Windows 11 korrekt installieren, Programme und Dateien übernehmen und die wichtigsten Neuerungen nutzen. Ideal für alle, die von Windows 10 kommen oder Microsoft-Systeme privat betreuen. Jetzt kostenlosen Windows?11?Report sichern

Firewall-Schwachstellen rechtzeitig gepatcht

Parallel zur politischen Debatte musste Microsoft vier „wichtige“ Sicherheitslücken in der Windows Defender Firewall schließen. Die Patches erschienen am 9. September im monatlichen „Patch Tuesday“-Update.

Die Schwachstellen CVE-2025-53808, CVE-2025-54104, CVE-2025-54109 und CVE-2025-54915 basieren größtenteils auf „Type Confusion“-Fehlern. Dabei interpretiert der Firewall-Dienst Ressourcentypen falsch – ein gefährlicher Speicherfehler.

Gelingt Angreifern die Ausnutzung, können sie ihre Berechtigungen auf SYSTEM-Level erweitern und die vollständige Kontrolle über das System übernehmen. Voraussetzung ist allerdings bereits bestehender lokaler Zugriff auf das System.

Was Unternehmen jetzt tun sollten

Die aktuellen Ereignisse verdeutlichen zwei zentrale Sicherheitsprobleme: „Kryptographische Schulden“ durch veraltete Technologien und Implementierungsfehler in moderner Software. Beide erfordern unterschiedliche, aber gleichermaßen dringliche Lösungsansätze.

Systemadministratoren sollten umgehend die September-Updates installieren. Microsoft betont, dass die Firewall-Schwachstellen bisher nicht aktiv ausgenutzt wurden.

Beim RC4-Problem wird die Branche gespannt auf die FTC-Reaktion blicken. Microsofts öffentliche Zusage für einen Ausstiegsplan ist ein wichtiger Schritt – doch der Druck wird bleiben. Unternehmen müssen ihre eigenen Systeme dringend auf RC4-Abhängigkeiten prüfen.

Die Verschlüsselungsstandards der 1980er Jahre haben in modernen Sicherheitskonzepten keinen Platz mehr. Der Wechsel zu stärkeren Protokollen wie AES ist nicht nur bewährte Praxis, sondern notwendige Verteidigung gegen ausgeklügelte Angriffsmethoden.