Windows 11 24H2: Wenn das Update selbst der Angreifer ist

Der Vorfall

Im Oktober 2024 begann Microsoft mit der Verteilung des Windows 11 24H2-Updates – dem größten jährlichen Feature-Update für Windows 11. Was als Verbesserung gedacht war, entwickelte sich für Millionen von Nutzern zu einem Alptraum. In den Wochen nach dem Rollout häuften sich die Berichte über schwerwiegende Probleme:

SSD-Leistungseinbrüche: Nutzer berichteten von dramatisch reduzierten Lese- und Schreibgeschwindigkeiten ihrer SSDs nach dem Update. Benchmarks zeigten Leistungseinbrüche von bis zu 50 Prozent. Betroffen waren SSDs verschiedener Hersteller, darunter Samsung, Western Digital und Crucial. Microsoft bestätigte das Problem und identifizierte eine fehlerhafte Implementierung des Windows Storage Drivers als Ursache.

Bluetooth-Ausfälle: Zahlreiche Nutzer verloren nach dem Update die Verbindung zu ihren Bluetooth-Geräten. Kopfhörer, Mäuse, Tastaturen und andere Peripheriegeräte konnten nicht mehr gekoppelt werden oder verloren ständig die Verbindung. Betroffen waren vor allem Geräte mit Intel- und Realtek-Bluetooth-Chipsätzen.

Spielabstürze und Grafikprobleme: Gamer berichteten von häufigen Abstürzen, Einfrierungen und Grafikfehlern. Besonders betroffen waren Systeme mit NVIDIA-Grafikkarten. Einige Spiele, die vor dem Update problemlos liefen, waren nach dem Update unspielbar. Die Probleme waren so gravierend, dass Microsoft und NVIDIA gemeinsame Hotfixes veröffentlichen mussten.

Bluescreens (BSOD): Der gefürchtete Bluescreen of Death trat nach dem Update verstärkt auf. Häufige Fehlercodes waren IRQL_NOT_LESS_OR_EQUAL, CRITICAL_PROCESS_DIED und SYSTEM_SERVICE_EXCEPTION. Einige Nutzer berichteten von mehreren Bluescreens pro Tag, die das Arbeiten unmöglich machten.

Weitere Probleme: Die Liste ging noch weiter: Probleme mit der Taskleiste, fehlerhaftes Startmenü, Inkompatibilitäten mit Drittsoftware, Netzwerkprobleme und fehlerhafte Audioausgabe. In den Microsoft-Support-Foren und auf Reddit explodierten die Beschwerden.

Wie der Angriff funktionierte

Auch wenn ein fehlerhaftes Update kein Cyberangriff im klassischen Sinn ist, folgt der Schadensverlauf einem mehrstufigen Muster, das dem einer Malware-Infektion erstaunlich ähnelt:

Stufe 1 – Die Zustellung: Windows Update liefert das 24H2-Feature-Update aus. Da es sich um ein offizielles Microsoft-Update handelt, wird es von allen Sicherheitsprodukten durchgewunken. Windows Update genießt das höchste Vertrauen im Betriebssystem – kein Virenscanner würde ein Microsoft-Update blockieren. Viele Nutzer hatten automatische Updates aktiviert und erhielten das Update ohne aktives Zutun.

Stufe 2 – Tiefe Systemänderungen: Das Feature-Update ersetzt nicht einzelne Dateien, sondern modifiziert Tausende von Systemkomponenten gleichzeitig. Treiber werden aktualisiert, Registry-Einträge geändert, Systemdienste neu konfiguriert, und das Dateisystem wird umstrukturiert. Das Ausmaß der Änderungen übersteigt das jeder einzelnen Malware bei Weitem.

Stufe 3 – Treiberinkompatibilitäten: Die neuen Treiberversionen im 24H2-Update waren mit zahlreichen Hardware-Konfigurationen inkompatibel. Der Storage-Treiber verursachte die SSD-Probleme, der Bluetooth-Stack brach mit bestimmten Chipsätzen, und die Grafiktreiber-Integration funktionierte nicht mit allen NVIDIA-Karten. Das Problem war, dass Microsoft die Kompatibilität nicht auf allen Hardware-Kombinationen testen konnte.

Stufe 4 – Kaskadierende Fehler: Ein fehlerhafter Treiber verursachte nicht nur ein einzelnes Problem, sondern eine Kaskade von Folgefehlern. Die langsame SSD führte zu längeren Ladezeiten, die zu Timeouts führten, die zu Bluescreens führten. Ein Bluetooth-Ausfall betraf nicht nur das Gerät selbst, sondern konnte den gesamten Geräte-Manager destabilisieren.

Stufe 5 – Erschwertes Rollback: Normalerweise bietet Windows die Möglichkeit, ein Feature-Update innerhalb von zehn Tagen zurückzurollen. Doch viele Nutzer bemerkten die Probleme erst nach dieser Frist. Andere berichteten, dass der Rollback-Prozess selbst fehlschlug oder zu weiteren Problemen führte. Einige Nutzer sahen sich gezwungen, Windows komplett neu zu installieren.

Warum Virenscanner versagten

Virenscanner sind gegen fehlerhafte Updates aus prinzipiellen Gründen machtlos:

Windows Update hat höchste Vertrauensstufe. Kein Sicherheitsprodukt blockiert offizielle Microsoft-Updates. Die gesamte Sicherheitsarchitektur von Windows basiert darauf, dass Microsoft-Updates vertrauenswürdig sind. Wenn der vertrauenswürdigste Prozess im System den Schaden verursacht, gibt es keine höhere Instanz, die eingreifen könnte.

Kein Malware-Muster vorhanden. Virenscanner suchen nach Schadcode – nach Verschlüsselungsroutinen, Datenexfiltration, Persistence-Mechanismen. Ein fehlerhafter Treiber ist kein Schadcode. Er ist schlecht getesteter, aber grundsätzlich gutartiger Code, der unbeabsichtigte Nebenwirkungen hat. Kein Heuristik-Algorithmus kann das erkennen.

Die Änderungen sind „gewollt". Alle Modifikationen, die das Update vornimmt – Registry-Änderungen, Treiberinstallationen, Dateiaustausch –, sind aus Sicht des Betriebssystems legitime Operationen. Windows hat sie selbst angefordert und autorisiert. Ein Virenscanner, der diese Änderungen blockieren würde, würde das Update-System von Windows sabotieren.

Keine Signatur für „schlechte Qualität". Virenscanner können erkennen, ob Code bösartig ist. Sie können nicht erkennen, ob Code schlecht getestet ist. Der Unterschied zwischen einem funktionierenden und einem fehlerhaften Treiber liegt nicht im Code-Muster, sondern in der Interaktion mit spezifischer Hardware.

Zeitverzögerte Symptome. Einige Probleme – insbesondere die SSD-Leistungseinbrüche – traten nicht sofort auf, sondern verschlechterten sich über Tage und Wochen. Diese schleichende Verschlechterung ist für keine Sicherheitssoftware erkennbar.

So hätte Deep Freeze geschützt

Deep Freeze bietet gegen fehlerhafte Updates einen Schutz, den keine andere Sicherheitslösung bieten kann:

Das fehlerhafte Update wird beim Neustart rückgängig gemacht. Das ist der entscheidende Punkt: Auf einer eingefrorenen Systempartition überleben Feature-Updates keinen Reboot. Alle Änderungen – fehlerhafte Treiber, kaputte Registry-Einträge, inkompatible Systemdateien – werden beim Neustart in den Originalzustand zurückgesetzt. Der Rechner bootet in den bewährten, funktionierenden Zustand vor dem Update.

Kein Rollback-Prozess nötig. Während andere Nutzer verzweifelt versuchten, das 24H2-Update zurückzurollen – oft mit zusätzlichen Problemen –, erledigt Deep Freeze das automatisch bei jedem Neustart. Es gibt keinen fehleranfälligen Rollback-Prozess, der selbst schiefgehen kann.

SSD-Performance bleibt erhalten. Der fehlerhafte Storage-Treiber wird beim Neustart durch den bewährten Treiber des eingefrorenen Zustands ersetzt. Die SSD arbeitet mit voller Leistung – so, wie sie vor dem Update funktioniert hat.

Hardware-Kompatibilität bleibt gewährleistet. Bluetooth, Grafikkarte, Audio – alle Treiber bleiben in der getesteten, funktionierenden Version. Keine Treiberaktualisierung kann ungewollte Inkompatibilitäten einführen.

Kontrollierte Update-Strategie. Mit Deep Freeze kann der Administrator bewusst entscheiden, wann ein Update eingespielt wird: Die Festplatte wird „aufgetaut", das Update installiert, gründlich getestet und dann in diesem neuen Zustand wieder eingefroren. Wenn das Update Probleme verursacht, wird einfach der vorherige eingefrorene Zustand wiederhergestellt. Dieses kontrollierte Vorgehen verhindert, dass automatische Updates unkontrolliert Schaden anrichten.

Bluescreens werden vermieden. Die häufigen BSODs nach dem 24H2-Update resultierten aus fehlerhaften Treibern und Systemkomponenten. Auf einer eingefrorenen Systempartition werden diese problematischen Komponenten bei jedem Neustart durch die funktionierenden Originale ersetzt.

Die Lehre

• Das größte Risiko für Windows-Rechner kommt manchmal von Microsoft selbst. Fehlerhafte Updates haben in der Vergangenheit mehr Schaden angerichtet als viele Malware-Kampagnen. Von Windows 10 1809 (Datenverlust) über PrintNightmare (Druckprobleme) bis hin zu 24H2 – die Liste ist lang.
• Automatische Updates sind ein zweischneidiges Schwert. Sie schließen Sicherheitslücken, können aber gleichzeitig neue Probleme einführen. Ohne Kontrolle über den Update-Zeitpunkt bist Du dem Qualitätsmanagement von Microsoft ausgeliefert.
• Hardware-Vielfalt macht umfassende Tests unmöglich. Microsoft kann nicht jede Kombination aus CPU, GPU, SSD, Mainboard und Peripherie testen. Inkompatibilitäten werden erst nach dem Rollout auf echten Nutzer-Systemen sichtbar.
• Virenscanner sind gegen fehlerhafte Updates machtlos. Kein Sicherheitsprodukt der Welt kann zwischen einem guten und einem schlechten Microsoft-Update unterscheiden.
• Deep Freeze ist die einzige Lösung, die vor fehlerhaften Updates schützt. Die eingefrorene Systempartition macht jedes Update automatisch rückgängig und bewahrt den bewährten, funktionierenden Systemzustand. In einer Welt, in der selbst Microsoft-Updates zum Risiko werden, ist das ein unschätzbarer Vorteil.