Am 11. August 2026 veröffentlichte ein Sicherheitsforscher öffentlich einen Proof-of-Concept namens „ShieldBreak“, der eine vollständige Umgehung des von Microsoft im Juli veröffentlichten Patches (RoguePlanet) für eine Sicherheitslücke in Windows Defender ermöglicht, die eine Rechteausweitung erlaubt. Die Erfolgsquote soll bei Windows 11 25H2 und Windows Server 2025 bei 100 % liegen. Für den Bypass gab es keine Herstellerkorrektur. Die einzige wirkliche Verteidigungsstrategie bestand darin, dass derjenige den ersten Zug machte.
| Bedrohung | Einsatzteam | Ergebnis |
|---|---|---|
| Zero-Day-Schwachstelle zur Rechteausweitung in Windows Defender (umgeht den Patch für CVE-2026-50656 / RoguePlanet); kein Hersteller-Patch für diese Umgehungsmöglichkeit; 100 % Erfolgsquote beim Proof-of-Concept | HuntIQ Threat Hunters + Tanium Guardian + Tanium Atlas: Menschliche Bedrohungsjäger, unterstützt durch KI-gestützte Tools | Innerhalb von ca. 48 Stunden erkannt, abgewehrt und eingedämmt – noch bevor ein Hersteller-Patch verfügbar war |
ShieldBreak ist kein Sonderfall. Interne Telemetriedaten aus dem gesamten Kundenstamm von Tanium zeigen, dass die tägliche Anzahl neu entdeckter Sicherheitslücken seit Mitte 2026 sprunghaft angestiegen ist – sie liegt etwa vier- bis fünfmal über dem stabilen Referenzwert, den wir in den vorangegangenen neun Monaten erfasst hatten, und ist seitdem nicht wieder gesunken. Wir sind auch nicht die Einzigen, die diese Art des Anstiegs beobachten. Unabhängige Daten von Epoch AI (wird in einem neuen Tab geöffnet) zeigen, dass die Zahl der gemeldeten kritischen und schwerwiegenden Sicherheitslücken bei großen Unternehmen im gleichen Zeitraum ebenso stark angestiegen ist. Das Warten auf einen Hersteller-Patch ist keine zuverlässige Strategie mehr. Die Organisationen, die sich einen Vorsprung verschaffen, sind diejenigen, die Schwachstellen aufspüren, bevor diese ausgenutzt werden, und die ihre Echtzeit-Endpunktdaten abfragen können, sobald eine Bedrohung auftritt.
„Bei einem Zero-Day-Angriff haben Sie keine Möglichkeit, Daten im Voraus zu erfassen und darauf zu hoffen, dass Sie bereits rechtzeitig die richtigen Telemetriedaten in Ihrem SIEM oder EDR gesammelt haben.“ Mit Tanium können Sie sofort feststellen, wo Schwachstellen bestehen, indem Sie die Echtzeitdaten Ihrer Endgeräteumgebung abfragen. „Und im schlimmsten Fall können Sie genau erkennen, wo Sie gerade ausgenutzt werden – während es geschieht.“ – Aaron Smith, Leiter der Abteilung für Bedrohungssuche
So funktionierte die Reaktion am selben Tag
HuntIQ Threat Research hat das ShieldBreak-Proof-of-Concept innerhalb von etwa einer Stunde nach dessen Veröffentlichung in einem Labor zum Laufen gebracht. Die Technik selbst ist spezifisch: Sie registriert einen betrügerischen Cloud-Speicheranbieter, kombiniert dies mit Protokollmanipulation und symbolischen Verknüpfungen und bringt die Scan-Pipeline von Windows Defender dazu, eine legitime Systemdatei gegen eine schädliche auszutauschen, wodurch letztendlich eine Shell gestartet wird. Die Jäger nutzten dieses Detail, um rasch einen ersten Erkennungsplan zu entwerfen.
Das Hunter-Team untersuchte daraufhin Signale in einem Umfang von über 50.000 Endpunkten und verglich die Indikatoren mit Bedrohungsdaten, wodurch sich bestätigte, dass der Exploit bereits in der Praxis eingesetzt wurde.
Nach der Bestätigung stellte Tanium jedem Cloud-Kunden ein Paket mit Abhilfemaßnahmen sowie einem Rollback-Paket zur Verfügung, das über das Guardian-Dashboard bereitgestellt wurde, welches automatisch ermittelte, welche Endpunkte tatsächlich betroffen waren.
Bei Kunden, bei denen eine vorkonfigurierte Regel für automatisierte Reaktionen mit einem bestimmten Signal verknüpft war, wurde der Exploit-Prozess von Tanium Atlas unmittelbar nach seinem Auftreten beendet, ohne dass ein Analyst eingreifen musste.
Die Herausforderungen, zusammengefasst
Der „ 2026 Data Breach Investigations Report“ von Verizon (wird in einem neuen Tab geöffnet) gibt die Medianzeit für die Behebung einer bekannten, bereits ausgenutzten Sicherheitslücke mit 43 Tagen an. Was normalerweise Wochen dauert – das Reverse Engineering des Exploits, die manuelle Erkennung, das Testen auf Fehlalarme, die Ausarbeitung und Freigabe eines Patches, dessen Bereitstellung sowie die nachträgliche Suche nach betroffenen Systemen – benötigte das spezialisierte Sicherheitsteam von Tanium von Anfang bis Ende 48 Stunden und unterbot damit den Branchenmedian um 95 %.
Das bietet Tanium Security Operations: Erkennung, Abwehr und Eindämmung, noch bevor die Bedrohung überhaupt benannt wurde.