BYOVD-Angriffe: Wenn Kriminelle die eigene Sicherheitssoftware aushebeln

Ein aktueller Fund zeigt: Ein manipulierter Windows-Defender-Treiber kann Sicherheitsmechanismen von Windows komplett aushebeln – noch bevor das Betriebssystem überhaupt vollständig gestartet ist. Solche Angriffe nennt man BYOVD, “Bring Your Own Vulnerable Driver”, und sie treffen längst nicht mehr nur Großkonzerne. Für KMU, die sich oft allein auf Windows Defender oder ein Standard-Antivirus-Programm verlassen, ist das ein Weckruf: Die beste Sicherheitssoftware nützt wenig, wenn Angreifer sie gezielt abschalten können, bevor sie überhaupt einen Alarm auslösen kann.

Was ist ein BYOVD-Angriff?

BYOVD steht für “Bring Your Own Vulnerable Driver”. Die Idee dahinter: Windows-Treiber laufen mit sehr hohen Systemrechten im Kernel – höher als jedes normale Programm und häufig höher als Antivirus- oder EDR-Software selbst. Weil Microsoft signierte Treiber grundsätzlich vertraut, reicht es für Angreifer, einen legitim signierten, aber fehlerhaften Treiber auf ein System zu bringen. Über dessen Schwachstelle verschaffen sie sich dann Kernel-Zugriff – und können damit Sicherheitssoftware beenden, Protokollierung deaktivieren oder sich dauerhaft im System festsetzen.

Das Perfide daran: Der Treiber selbst muss keine Schadsoftware sein. Es reicht ein technisch einwandfrei signiertes, aber verwundbares Treiberprogramm, das eigentlich für einen ganz anderen Zweck gedacht war – etwa Hardware-Monitoring-Tools oder alte Systemtreiber. Genau solche Treiber wurden in den vergangenen Monaten wiederholt missbraucht, um Windows-Sicherheitsmechanismen und sogar Windows-Defender-Komponenten selbst zu unterlaufen.

Warum klassische Antivirus-Lösungen hier an Grenzen stoßen

Ein normales Antivirus-Programm agiert auf Anwendungsebene oder als Kernel-Treiber mit begrenztem Vorrang. Wenn ein Angreifer über einen anderen, ebenfalls im Kernel laufenden Treiber Zugriff erhält, kann er die Schutzsoftware im schlimmsten Fall direkt beenden oder deren Schutzfunktionen umgehen – ohne dass ein klassischer Signatur- oder Verhaltensscan das rechtzeitig erkennt. Das betrifft nicht nur Drittanbieter-Lösungen, sondern potenziell auch Windows Defender selbst, wie aktuelle Fälle zeigen.

Warum das für KMU relevant ist

Viele kleine und mittlere Unternehmen verlassen sich bewusst auf Windows Defender als “eingebaute” Lösung, weil separate EDR-Produkte als zu teuer oder zu komplex gelten. Das ist grundsätzlich nachvollziehbar – Defender ist mittlerweile eine solide Basis-Lösung. Problematisch wird es, wenn Unternehmen sich darauf verlassen, dass ein einzelner Schutzmechanismus ausreicht. BYOVD-Angriffe zeigen: Wer nur eine Verteidigungslinie hat, verliert alles, sobald diese eine Linie fällt.

Für Betriebe in Dresden, Sachsen und ganz Ostdeutschland, die oft mit schlanken IT-Teams oder externer Betreuung arbeiten, kommt erschwerend hinzu: Kernel-Level-Angriffe wie BYOVD sind ohne spezialisierte Überwachung kaum zu erkennen. Ein Mitarbeiter merkt in der Regel nichts – der Angriff läuft unterhalb der sichtbaren Betriebssystemebene ab.

Wie Angreifer verwundbare Treiber einschleusen

In der Praxis läuft ein BYOVD-Angriff meist in mehreren Schritten ab:

1. Erstzugriff verschaffen – etwa über Phishing, eine kompromittierte Fernwartungssoftware oder gestohlene Zugangsdaten.
2. Administratorrechte erlangen – häufig durch fehlende Rechtetrennung oder veraltete lokale Admin-Konten.
3. Verwundbaren, aber signierten Treiber installieren – oft ein legitimes, aber altes Tool, dessen Schwachstelle öffentlich bekannt ist.
4. Sicherheitssoftware deaktivieren oder blenden – über die Kernel-Rechte des Treibers.
5. Eigentliche Schadsoftware ausführen – Ransomware, Datenexfiltration oder dauerhafte Hintertüren, unbemerkt von der (nun blinden) Schutzsoftware.

Der entscheidende Punkt: Schritt 3 funktioniert nur, weil viele Systeme Treiber allein anhand einer gültigen Signatur akzeptieren – unabhängig davon, ob dieser konkrete Treiber überhaupt gebraucht wird oder bekannte Schwachstellen enthält.

Praxis: Was Unternehmen konkret tun können

Ein vollständiger Schutz vor BYOVD-Angriffen erfordert mehrere ineinandergreifende Maßnahmen. Diese lassen sich auch mit begrenzten IT-Ressourcen umsetzen:

1. Microsofts Treiber-Sperrliste aktivieren

Windows bietet mit der “Vulnerable Driver Blocklist” eine Funktion, die bekannte verwundbare Treiber grundsätzlich blockiert. Ab aktuellen Windows-Versionen ist sie standardmäßig aktiv, sollte aber in Unternehmensumgebungen per Gruppenrichtlinie verpflichtend erzwungen und regelmäßig aktualisiert werden.

2. Attack Surface Reduction (ASR) nutzen

Microsoft Defender bringt ASR-Regeln mit, die gezielt Techniken blockieren, mit denen Schadsoftware Sicherheitsprozesse manipuliert. Für KMU mit Microsoft-365-Business-Premium-Lizenzen oder Defender for Business sind diese Regeln oft schon verfügbar, aber nicht standardmäßig scharfgeschaltet.

3. Lokale Administratorrechte konsequent einschränken

Ohne Administratorrechte lässt sich in der Regel kein neuer Kernel-Treiber installieren. Eine konsequente Trennung von Alltags- und Admin-Konten – idealerweise ergänzt um Privileged Access Management – reduziert die Angriffsfläche erheblich.

4. EDR statt reinem Antivirus einsetzen

Endpoint Detection and Response überwacht nicht nur Signaturen, sondern Verhalten auf Kernel- und Prozessebene und schlägt auch dann Alarm, wenn ein Treiber ungewöhnliche Aktionen ausführt. Für Unternehmen ab etwa 10–15 Endgeräten lohnt sich der Umstieg meist deutlich.

5. Patch- und Treiber-Management etablieren

Alte, ungenutzte Treiber sind das Haupteinfallstor für BYOVD-Angriffe. Ein sauberes Inventar installierter Software und Treiber – inklusive regelmäßiger Bereinigung nicht mehr benötigter Tools – schließt viele dieser Lücken bereits im Vorfeld.

Fazit

BYOVD-Angriffe sind kein theoretisches Nischenrisiko mehr, sondern eine reale und wachsende Angriffstechnik, die inzwischen auch Windows-Defender-Komponenten selbst betrifft. Wer sich als Unternehmen allein auf eine einzelne Schutzsoftware verlässt, ohne Treiber-Kontrolle, Rechteverwaltung und Verhaltensüberwachung, hat ein blindes Vertrauen in eine einzige Verteidigungslinie – genau das, was Angreifer bei BYOVD-Techniken gezielt ausnutzen.

Sie möchten wissen, wie gut Ihre Endpoint-Sicherheit gegen solche Angriffe aufgestellt ist? Rexoma unterstützt KMU in Dresden und ganz Sachsen bei der Einrichtung von EDR-Lösungen, Rechtemanagement und IT-Sicherheitsaudits – praxisnah und ohne unnötigen Aufwand für Ihr Team.

FAQ

Was bedeutet BYOVD genau? BYOVD steht für “Bring Your Own Vulnerable Driver”. Angreifer nutzen einen legitim signierten, aber technisch verwundbaren Treiber, um sich Kernel-Rechte zu verschaffen und Sicherheitssoftware zu deaktivieren.

Ist Windows Defender allein ausreichender Schutz? Für sehr kleine Unternehmen mit geringem Risiko kann Defender eine solide Basis sein, sofern ASR-Regeln und die Treiber-Sperrliste aktiv sind. Ab einer gewissen Unternehmensgröße oder bei sensiblen Daten empfiehlt sich zusätzlich eine EDR-Lösung mit Verhaltensüberwachung.

Wie erkenne ich, ob mein Unternehmen bereits betroffen ist? Ohne spezialisierte Überwachung ist ein BYOVD-Angriff kaum sichtbar. Ein IT-Sicherheitsaudit mit Fokus auf installierte Treiber, lokale Administratorkonten und Endpoint-Protokolle schafft hier Klarheit.

Reicht ein normales Antivirus-Programm nicht mehr aus? Klassische signaturbasierte Antivirus-Software erkennt BYOVD-Angriffe oft zu spät, da der eingeschleuste Treiber selbst nicht als Schadsoftware erkannt wird. Verhaltensbasierte EDR-Lösungen bieten hier deutlich bessere Erkennungschancen.

Was kostet der Schutz vor BYOVD-Angriffen für ein kleines Unternehmen? Die wichtigsten Maßnahmen – Treiber-Sperrliste, ASR-Regeln und Rechteeinschränkung – lassen sich mit vorhandenen Windows- und Microsoft-365-Lizenzen umsetzen und verursachen in der Regel keine zusätzlichen Softwarekosten, nur Konfigurationsaufwand.