Im April 2026 sind innerhalb von zwei Wochen drei schwere Sicherheitslücken in Microsoft Windows Defender öffentlich geworden. Für den Großteil davon existiert bis heute kein offizieller Patch. Wer Defender als alleinigen Virenschutz einsetzt, hat aktuell ein reales Problem – und das betrifft die meisten kleinen und mittleren Unternehmen in Deutschland.
Was ist passiert
Ein Sicherheitsforscher unter dem Namen „Chaotic Eclipse“ hat nach einem Streit mit Microsoft drei Exploit-Codes auf GitHub veröffentlicht:
- BlueHammer (CVE-2026-33825): Ein normaler Nutzer erhält SYSTEM-Rechte. Microsoft hat am April-Patchday ein Update geliefert.
- RedSun: Zweiter Weg zur Privilege Escalation über manipulierte Cloud-getaggte Dateien. Kein Patch verfügbar.
- UnDefend: Blockiert schleichend Defender-Updates. Kein Patch verfügbar.
Die Sicherheitsfirma Huntress hat bereits beobachtet, dass die öffentlich verfügbaren Exploits aktiv gegen echte Unternehmen eingesetzt werden.
Warum das jetzt wichtig ist
Die drei Lücken sind keine Einzelfälle, sondern zeigen strukturelle Schwächen in Defender:
- Eine Lücke hebelt die Rechteverwaltung aus.
- Eine zweite schwächt den Schutz langfristig.
- Eine dritte bietet einen Umgehungsweg, selbst nachdem Patch 1 installiert wurde.
Wer nur BlueHammer patcht und sich in Sicherheit wiegt, liegt falsch. Angreifer kombinieren diese Exploits, um dauerhaften Zugriff zu erhalten, während der Schutz Schritt für Schritt abgebaut wird – oft ohne dass jemand es bemerkt.
Warum das besonders KMU betrifft
Das BSI hat es im Lagebericht schon im letzten Jahr klar gesagt: 80 Prozent der gemeldeten Ransomware-Opfer sind kleine und mittlere Unternehmen. Der Grund ist selten fehlendes Sicherheitsbewusstsein, sondern die Annahme, dass „Windows hat doch einen Virenschutz dabei“ ausreicht. Genau diese Annahme ist jetzt das Problem.
Gleichzeitig läuft die NIS2-Umsetzung: Unternehmen ab 50 Mitarbeitenden oder 10 Millionen Euro Umsatz in regulierten Sektoren müssen bis zum 30. Juni 2026 nachweisen, dass sie wirksame Schutzmaßnahmen eingeführt haben. Persönliche Geschäftsführerhaftung inklusive.
Drei Schritte, die Sie jetzt umsetzen sollten
1. Tamper Protection in Defender aktivieren
Diese Funktion verhindert, dass lokale Exploits Defender-Einstellungen manipulieren. Sie ist in vielen Umgebungen nicht flächendeckend aktiviert. Aufwand: wenige Minuten pro Arbeitsplatz – Wirkung: sofort.
2. Eine zweite Schutzschicht einziehen
Defender-only ist keine Strategie mehr. Eine ergänzende EDR- oder Managed-Detection-Lösung erkennt genau die Muster, die diese Exploits produzieren – insbesondere dann, wenn Defender selbst kompromittiert ist. Das ist gleichzeitig ein wichtiger Baustein für strukturierte IT-Sicherheit und NIS2-Nachweise.
3. Lokale Administratorrechte auf das Minimum reduzieren
Alle drei Exploits benötigen die Ausführung von Code auf dem Gerät. Wer seinen Mitarbeitenden keine lokalen Admin-Rechte gibt, reduziert die Angriffsfläche drastisch – unabhängig von der konkreten Lücke. Das ist eine der wirkungsvollsten Sicherheitsmaßnahmen überhaupt und kostet nichts außer etwas Zeit in der Umsetzung.
Unsere Einschätzung
Das eigentliche Problem ist nicht diese eine Lücke, sondern das zugrundeliegende Muster: Unternehmen verlassen sich auf eine einzige Verteidigungslinie. Wenn diese fällt, steht nichts dahinter. Die RedSun-Episode ist ein Warnsignal – keines, das zur Panik verleiten sollte, aber eines, das man ernst nehmen muss.
Wie eng solche Schwachstellen mit Social-Engineering-Techniken wie ClickFix verzahnt sind, zeigt auch der aktuelle Booking.com-Vorfall – gleiches Muster, anderer Angriffsweg.
Wer jetzt handelt, erfüllt gleich zwei Ziele: den akuten Schutz vor den laufenden Angriffen und die Vorbereitung auf die NIS2-Audit-Frist am 30. Juni.
Sind Sie unsicher, wie gut Ihre Umgebung aktuell aufgestellt ist?
Die NETWORK ASSISTANCE GmbH unterstützt Unternehmen in Berlin und Brandenburg mit IT-Support, Managed Services und praxisnaher IT-Sicherheit. In einem kurzen Erstgespräch zeigen wir Ihnen, wo Ihre größten Risiken liegen – und was Sie mit überschaubarem Aufwand sofort verbessern können. Jetzt Kontakt aufnehmen
