Bitskrieg CVE‑2026‑50507: Zweite BitLocker-Bypass-Lücke im Juni-Patchday schließt TPM-Lücke

Microsoft hat am 9. Juni 2026 im Rahmen des monatlichen Patchdays eine weitere kritische Schwachstelle in der BitLocker-Laufwerkverschlüsselung geschlossen: CVE-2026-50507, intern als „Bitskrieg" bezeichnet, ermöglicht lokalen Angreifern mit physischem Gerätezugang das vollständige Umgehen der Verschlüsselung auf TPM-only-geschützten Systemen. Die Lücke wurde zum Zeitpunkt des Patches als öffentlich bekannt eingestuft (publicly disclosed zero-day). Besonders brisant: Zeitgleich patcht Microsoft auch die YellowKey-Lücke (CVE-2026-45585), die einen separaten Angriffspfad über die Windows Recovery Environment (WinRE) nutzt. Unternehmen sehen sich damit gleich zwei gleichzeitig aktiven BitLocker-Bedrohungsszenarien gegenüber.

Die Schwachstelle: Was steckt hinter Bitskrieg?

CVE-2026-50507 betrifft die TPM-only-Schutzkomponente von BitLocker. In dieser Konfiguration vertraut BitLocker beim Start ausschließlich dem Trusted Platform Module (TPM) des Systems, um den Verschlüsselungsschlüssel freizugeben – ohne zusätzliche PIN-Eingabe durch den Nutzer. Diese Konfiguration ist auf vielen Unternehmensgeräten die Standardeinstellung, da sie eine komfortable, passwortlose Festplattenverschlüsselung ermöglicht.

Ein Angreifer mit physischem Zugang zum Gerät kann die TPM-only-Authentifizierung gezielt unterlaufen und so Zugriff auf die verschlüsselten Inhalte erlangen – ohne das Benutzerpasswort zu kennen. Der genaue technische Angriffsmechanismus wurde zum Schutz noch nicht vollständig öffentlich dokumentiert, die Einstufung als zero-day weist jedoch darauf hin, dass der Angriff bereits vor dem Patch bekannt war.

Zusammen mit YellowKey (CVE-2026-45585), das den WinRE-Pfad betrifft, existieren nach aktuellem Stand zwei voneinander unabhängige Bypass-Wege gegen BitLocker, die erst durch die Juni-2026-Kumulativ-Updates vollständig geschlossen werden. Auf nicht gepatchten Systemen sind beide Angriffspfade weiterhin offen.

Bin ich betroffen?

Von CVE-2026-50507 sind folgende Systeme betroffen:

Besonders gefährdet sind Laptops und mobile Endgeräte in Unternehmensumgebungen, bei denen BitLocker ohne zusätzliche PIN konfiguriert wurde – was der verbreiteten Standardkonfiguration entspricht. Der Angriff setzt physischen Zugang voraus; rein remote ausnutzbare Szenarien sind nach aktuellem Kenntnisstand nicht bekannt.

Den aktuellen Patch-Status lässt sich unter Windows über PowerShell prüfen:

Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 10

Systeme, auf denen das Juni-2026-Kumulativ-Update noch nicht erscheint, sind weiterhin verwundbar. Wie die grundlegende Verwaltung von Windows-Updates und WSUS funktioniert, erläutert die Anleitung Windows Updates mit WSUS und Update for Business einrichten auf s-edv.com.

Wie behebe ich das?

Der primäre Fix ist das sofortige Einspielen des Juni-2026-Kumulativ-Updates über Windows Update oder WSUS. Dieses schließt sowohl CVE-2026-50507 (Bitskrieg) als auch CVE-2026-45585 (YellowKey) und weitere Schwachstellen des Patchdays.

Als zusätzliche Härtungsmaßnahme empfiehlt sich unabhängig vom Patch die Aktivierung einer BitLocker-PIN. Damit wird die Konfiguration von „TPM-only" auf „TPM+PIN" umgestellt, was einen physischen Angreifer auch dann blockiert, wenn eine ähnliche Schwachstelle in Zukunft auftritt. Die Umstellung lässt sich per Gruppenrichtlinie (GPO) unternehmensweit durchsetzen. Wie Gruppenrichtlinien in Active-Directory-Umgebungen konfiguriert werden, zeigt die Anleitung Gruppenrichtlinien (GPO): Grundlagen und Praxis.

Konkrete Handlungsschritte im Überblick:

1. Juni-2026-Kumulativ-Update unverzüglich über WSUS oder Windows Update ausrollen
2. BitLocker-PIN-Policy evaluieren und als GPO aktivieren (TPM+PIN statt TPM-only)
3. Alle mobilen Unternehmensgeräte auf aktuellen Patch-Stand und BitLocker-Konfiguration prüfen
4. Auf Windows Server 2022/2025 ebenfalls Patch-Status und BitLocker-Konfiguration verifizieren

Was bedeutet das für Unternehmen?

Die gleichzeitige Veröffentlichung zweier BitLocker-Bypass-Lücken erhöht das Risiko erheblich: Selbst wenn ein Angreifer einen der Pfade nicht kennt oder nutzen kann, bleibt der zweite offen. Für Unternehmensumgebungen, in denen gestohlene oder verlorene Laptops ein reales Bedrohungsszenario darstellen, ist die Lage ernst. BitLocker gilt als zentrale Maßnahme zum Schutz sensibler Daten auf mobilen Endgeräten – zwei gleichzeitige Bypässe untergraben dieses Schutzkonzept grundlegend.

Die Einstufung von CVE-2026-50507 als publicly disclosed zero-day bedeutet zudem, dass Angreifergruppen bereits vor dem Patch Kenntnis der Schwachstelle hatten. Auch wenn bisher keine Meldungen über aktive Ausnutzung im großen Stil vorliegen, ist das Risiko gezielter Angriffe – etwa im Rahmen von Diebstahl oder gezielter Industriespionage – nicht zu vernachlässigen.

Die dringende Empfehlung für IT-Verantwortliche lautet: unverzüglich patchen, BitLocker-PIN-Policy einführen und die Konfiguration aller mobilen Unternehmensgeräte systematisch überprüfen. Wer zusätzlich die Zwei-Faktor-Absicherung von Benutzerkonten stärken möchte, findet auf s-edv.com eine Schritt-für-Schritt-Anleitung zur Einführung von Zwei-Faktor-Authentifizierung (2FA/MFA).

Quellen: BleepingComputer: Microsoft patches YellowKey, GreenPlasma, MiniPlasma zero-days | BleepingComputer: Microsoft June 2026 Patch Tuesday fixes 6 zero-days, 200 flaws | The Hacker News: Microsoft Patches Record 206 Flaws