Windows-Woche: Bing-Zwang, Defender-Lücke und RGB-Crashes

Rund um Windows ist in den vergangenen Tagen einiges zusammengekommen, und vieles davon zeigt dieselbe Spannung: Auf der einen Seite drängt Microsoft seine eigenen Dienste immer aggressiver auf die Systeme, auf der anderen Seite kämpft der Konzern mit hausgemachten Fehlern und Sicherheitsproblemen. Eine bislang inoffizielle App verankert Bing überall als Standard, ein regulärer Defender-Treiber lässt sich zum Aushebeln von Schutzmechanismen zweckentfremden, und ein frisches Update schießt reihenweise Spiele mit RGB-Peripherie ab.

Dazu kommen ein sanfter Schubs Richtung neues Outlook, mehrere Sicherheitswarnungen des BSI und ein Blick zurück auf 30 Jahre Windows NT 4. Dieser Überblick sortiert die einzelnen Meldungen, ordnet sie ein und sagt dir, wo du selbst aktiv werden solltest.

Eine App, die Bing überall zum Standard macht

Microsoft hat ein Programm entwickelt, das nach Auffassung des Konzerns "empfohlene Systemeinstellungen" vornimmt. Der praktische Zweck ist überschaubar: Die App erkennt die auf dem PC installierten Browser und versucht, in jedem einzelnen Bing als Standardsuchmaschine festzulegen. Bei Bedarf installiert sie außerdem passende Browsererweiterungen. Gefunden wurde das Tool von einer Person namens Xeno auf X, bestätigt hat die Funktion das Magazin Windows Latest, wie Golem.de berichtet.

Im Kern handelt es sich um einen Installationsassistenten für Bing. Die Oberfläche basiert auf WinUI, nutzt aber offenbar auch Webview2-Elemente. Interessant ist, wie sich Chrome gegen die Aktion wehrt: Der Browser meldet direkt nach dem Start, dass ein Add-on installiert wurde, das Zugriff auf diverse Komponenten oder das Anzeigen von Benachrichtigungen verlangt. Zusätzlich wird Bing.com als Startseite gesetzt. Akzeptieren Nutzer diese Bedingungen dennoch, blendet Chrome ein weiteres Pop-up ein, um die Standardsuchmaschine wieder zurückzustellen.

Wichtig zur Einordnung: Aktuell wird die App nicht automatisch auf Windows-PCs verteilt, und ein solcher Rollout ist bislang auch nicht offiziell geplant. Das Programm ist nicht einmal im Microsoft Store gelistet – auffindbar ist es derzeit lediglich auf Microsofts Fileservern. Es reiht sich damit in eine Serie ähnlicher Vorstöße ein: Schon die Bing Wallpaper App wollte neben kuratierten Desktophintergründen die Suchmaschine aufzwingen, und der HP Support Assistant blendete auf Windows-11-PCs unerwartete Bing-Hinweise ein.

Defender-Treiber wird zum Werkzeug für Angreifer

Deutlich brisanter ist ein Fund der Sicherheitsforscher von Check Point. Bei der Analyse eines infizierten Systems stießen sie auf den Treiber Windows Defender Boot-Time Removal (BTR.sys), der zunächst verdächtig wirkte. Eigentlich erfüllt dieser Treiber eine legitime Aufgabe: Er soll Schadcode oder gesperrte und genutzte Dateien beim Neustart unschädlich machen. Genau diese Fähigkeiten lassen sich aber gegen das System richten.

Auffällig war das Verhalten aus gutem Grund. Der Treiber taucht unter "System32\drivers" mit einer zufälligen Zeichenkette als Namen auf und wird im Registry-Zweig "HKLM\SYSTEM\CurrentControlSet\Services\<Zeichenkette>" verankert. Kurz vor einem Neustart wird er dort abgelegt, ein Dienst-Eintrag erzeugt, und dabei kommen RC4-Verschlüsselung sowie Alternative Datenströme (ADS) des NTFS-Dateisystems ins Spiel – konkret durch Interaktion mit dem Datenstrom ":changelist" der Treiberdatei. Nach der Ausführung räumt der Treiber diese Spuren wieder auf. Was nach klassischem Malware-Verhalten aussieht, stammt tatsächlich vom Microsoft Defender selbst: BTR.sys steckt in der Datei "MpEngine.dll" und wird bei Bedarf mit zufälligem Namen auf das Laufwerk verfrachtet.

Die missbrauchbaren Funktionen sind mächtig. Laut Check Point kann der Treiber Dateien und Verzeichnisse löschen, Objekte in Quarantäne-Ordner verschieben und dasselbe mit Registry-Einträgen erledigen. Die Forscher haben ein Kommandozeilen-Tool geschrieben, um den Missbrauch zu demonstrieren, und stellen den Quellcode sogar auf GitHub bereit. Als konkretes Angriffsszenario nennen sie das Deaktivieren von Schutzsoftware – und das ist auch aktuell noch möglich. Der Fund wurde im Rahmen von Responsible Disclosure an Microsoft gemeldet, wie heise online schildert.

Microsoft sieht allerdings keinen dringenden Handlungsbedarf, weil der Angriff Administratorrechte voraussetzt. Dieses Argument hat einen Haken: Adminrechte sind in der Praxis oft leicht zu erlangen, weil Windows immer wieder Schwachstellen zur Rechteausweitung enthält. An jedem Patchday schließt Microsoft solche Lücken – und weitere sind zu erwarten. Angreifer können den Defender damit im Sinne von "Living off the Land" weiterhin als legitimes Bordmittel zweckentfremden. Immerhin: In freier Wildbahn wurde die Schwachstelle bislang nicht ausgenutzt.

Was Check Point als Gegenmaßnahmen empfiehlt

Die Forscher setzen vor allem auf konsequente Rechtebeschränkung. Wer allen Personen und Diensten nur die minimal nötigen Rechte einräumt, erschwert den Weg zu Adminrechten spürbar. Ergänzend helfen Verhaltensregeln für das EDR-System sowie eine ganzheitliche Abwehr gegen sogenannte LOLDriver. Die Microsoft Vulnerable Driver Blocklist (WDAC) allein reicht dafür nicht aus – nötig ist eine Überwachung des Kontexts, in dem Treiber geladen und ADS erzeugt werden.

Windows-11-Update killt Spiele mit RGB-Beleuchtung

Ein Fehler ganz anderer Natur betrifft Gamer. Mit dem Patch KB5121003 hat Microsoft einen ungewöhnlichen Bug in Windows 11 eingeführt: Das System läuft instabil, wenn bestimmte RGB-Peripherie im Einsatz ist, und stürzt teils mit einem Bluescreen ab. Die Abstürze treffen vor allem Spiele wie Arc Raiders und The Finals, die mitten in einer Runde einfach einfrieren und nicht mehr reagieren.

Die Ursache liegt bei Beleuchtungssoftware von Drittanbietern, die die Kommunikation mit Systemkomponenten stört. Konkret dreht sich das Problem um die Systemdatei Inpoutx64. Einige RGB-Treiber installieren offenbar Dateien mit einem ähnlichen oder identischen Namen, woraufhin Windows 11 durcheinandergerät, mit einem Fehler abstürzt und das System teils neu startet. Microsoft prüft nach eigenen Angaben, ob es sich um ein selbst verursachtes Problem handelt, und arbeitet an einem Fix, wie Golem.de meldet.

Als vorläufigen Workaround nennt Microsoft das Abschalten des Inpoutx64-Treibers. Dazu navigierst du im Registry-Editor zu HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\inpoutx64, wählst den Wert Start und setzt dessen Value-Data auf 4. Nach einem Neustart ist der Treiber deaktiviert. Wichtig zu wissen: Damit legst du die betroffene Beleuchtungsfunktion still, gewinnst dafür aber die Stabilität zurück, bis ein offizieller Fix erscheint.

Outlook: Classic-Skin als Köder für den Umstieg

Beim Thema E-Mail versucht Microsoft es mit sanftem Druck statt mit Zwang. Der Konzern führt in Outlook ein neues Design ein, das dem Look des beliebten Outlook Classic entspricht. Hintergrund: Neben dem älteren Outlook Classic für Microsoft 365 gibt es das neuere, webbasierte Outlook auf Windows 11 – und diese neue Variante kommt bei vielen nicht gut an. Der Classic-Skin soll den Umstieg schmackhafter machen, ohne an der Funktion beider Apps etwas zu ändern.

Die Option lässt sich sowohl in der Webversion als auch in der Desktop-App über das Menü Darstellung in den App-Einstellungen einschalten. Laut Microsoft bewirkt sie "gezielte Änderungen im gesamten Outlook-Design, einschließlich der visuellen Gestaltung, des Layouts, der Typografie, der Symbole und bestimmter Interaktionen". Bis September soll das Classic-Design bei allen Windows-Kunden ankommen, wie Golem.de berichtet.

Der zeitliche Rahmen ist dabei entscheidend: Microsoft plant weiterhin, Nutzer der nicht mehr unterstützten Mail- und Kalender-App im März 2027 auf das neue Outlook für Windows umzustellen. Outlook-Classic-Nutzer werden dagegen zu nichts gezwungen. Die neue Optik migriert niemanden automatisch vom klassischen Outlook zum neuen Client und greift auch nicht in bestehende Administratorkonfigurationen ein, die Verfügbarkeit oder Migration steuern.

Sicherheitswarnungen: Notepad++ und Microsofts Entwickler-Tools

Das BSI hat gleich zwei relevante Advisories mit der Einstufung "hoch" veröffentlicht. Beim beliebten Editor Notepad++ können Angreifer mehrere Schwachstellen ausnutzen, um Sicherheitsmaßnahmen zu umgehen, Windows-Authentifizierungsdaten offenzulegen, Dateien zu löschen oder zu manipulieren, beliebigen Code auszuführen oder Denial-of-Service-Zustände auszulösen. Die Bandbreite der möglichen Folgen ist also groß – vom Datenabfluss bis zur Codeausführung.

Das zweite Advisory betrifft Microsoft Developer Tools und deckt eine lange Liste von Produkten ab, darunter Visual Studio Code, Visual Studio 2022 und 2026, das .NET Framework, .NET, PowerShell, Windows selbst sowie diverse Windows-Server-Versionen von 2012 bis 2025. Angreifer können die Schwachstellen nutzen, um beliebigen Programmcode auszuführen, ihre Privilegien zu erhöhen, Denial-of-Service-Angriffe durchzuführen, Informationen offenzulegen und Sicherheitsvorkehrungen zu umgehen. Für Entwickler und Administratoren heißt das: zeitnah patchen und die betroffenen Komponenten auf den aktuellen Stand bringen.

Rückblick: 30 Jahre Windows NT 4

Zum Kontrast passt ein Blick zurück. Im August 1996 – also vor 30 Jahren – veröffentlichte Microsoft Windows NT 4.0 und legte damit den Grundstein für die spätere Dominanz im Unternehmensbereich. Während Windows 95 den Consumer-Markt beherrschte, aber technisch ein 16/32-Bit-Kompromiss war, brachte NT 4.0 einen echten 32-Bit-Kernel mit NTFS-Dateisystem, Rechteverwaltung und präemptivem Multitasking. Entscheidend war der Trick, die vertraute Bedienoberfläche von Windows 95 mit Startmenü und Taskleiste eins zu eins zu übernehmen.

NT 4.0 erschien als Workstation- und Server-Variante und wilderte erfolgreich im Revier von Unix-Workstations sowie im Fileserver-Markt, den zuvor Novell NetWare prägte. IBMs OS/2 Warp war architektonisch zwar voraus, blieb aber in Nischen stecken, weil Entwickler voll auf Microsofts Win32-API setzten. Linux war 1996 überwiegend ein System für Universitäten und frühe Internetserver. NT 4.0 ebnete den Weg zur Zusammenführung der Systemfamilien in Windows 2000 – inklusive Active Directory und Gruppenrichtlinien – und schließlich zu Windows XP, wie heise online im Rückblick schildert. Bemerkenswert an der Perspektive: Registry-Zweige und Treiberverwaltung, die heute in Sicherheitsanalysen und Bug-Workarounds auftauchen, gehen in ihren Grundzügen genau auf diese NT-Architektur zurück.

Was bedeutet das für dich?

Die Meldungen betreffen unterschiedliche Nutzergruppen. Diese Schritte lohnen sich je nach Situation:

• Bing-App im Blick behalten: Solange das Programm nicht offiziell verteilt wird, musst du nichts tun. Falls dir Bing plötzlich als Standardsuche oder eine unbekannte Browsererweiterung auffällt, prüfe die Sucheinstellungen und Add-ons deines Browsers und stelle sie zurück.
• Rechte einschränken: Arbeite im Alltag nicht dauerhaft mit einem Administratorkonto. Da der Defender-Treiber-Missbrauch Adminrechte voraussetzt, senkt ein Standardkonto das Risiko spürbar.
• RGB-Crashes umgehen: Stürzen Spiele nach dem Update KB5121003 ab, deaktiviere den Inpoutx64-Treiber über den Registry-Wert Start (Value-Data auf 4) und starte neu – oder warte auf den offiziellen Fix von Microsoft.
• Updates einspielen: Halte Notepad++, Visual Studio, .NET, PowerShell und Windows selbst aktuell. Die BSI-Advisories mit Einstufung "hoch" betreffen ernste Lücken.
• Outlook-Umstieg planen: Nutzt du noch die alte Mail- und Kalender-App, denke an die geplante Umstellung im März 2027. Den Classic-Skin kannst du im neuen Outlook über das Menü Darstellung testen.