Es gibt einen unausgesprochenen Pakt zwischen jedem Windows-Administrator und Microsoft Defender: Du laeufst, du wachst, du meldest dich, wenn etwas faul ist. Genau dieser Pakt ist seit dem 19. Mai 2026 gebrochen. Microsoft hat zwei Schwachstellen bestaetigt, die nicht nur in Microsoft Defender stecken, sondern aktiv in Angriffen gegen Unternehmen genutzt werden. Die US-Behoerde CISA hat beide am 20. Mai in ihren Katalog bekannter, ausgenutzter Schwachstellen aufgenommen und Bundesbehoerden eine Patch-Frist bis zum 3. Juni gesetzt. Fuer den deutschen Mittelstand bedeutet das: Der Wachhund hat ploetzlich ein Loch im Zaun – und er bellt nicht mehr, wenn jemand hindurchschluepft.

Was Microsoft am 19. Mai veroeffentlicht hat

Die beiden Schwachstellen tragen die Kennungen CVE-2026-41091 und CVE-2026-45498. Sie betreffen die Kernkomponenten der Defender-Plattform, also genau jene Bibliotheken, die jede Datei pruefen, jeden Prozessstart bewerten und jeden verdaechtigen Aufruf an Microsofts Cloud-Telemetrie melden. Beide sind als "Exploitation Detected" klassifiziert. Das ist die hoechste Eskalationsstufe in Microsofts Severity-Modell und bedeutet: Es gibt nachweisbare Faelle in produktiven Umgebungen.

CVE-2026-41091 – Privilegieneskalation auf SYSTEM

CVE-2026-41091 ist mit einem CVSS-Score von 7.8 bewertet und betrifft die Microsoft Malware Protection Engine, technisch in der Datei mpengine.dll. Die Engine wertet beim Scannen Symlinks und Junctions in NTFS aus, validiert das Ziel jedoch nicht ausreichend, bevor sie darauf zugreift. Microsoft beschreibt das als "improper link resolution before file access" – eine klassische Link-Following-Schwachstelle. Praktisch heisst das: Ein lokaler Angreifer mit normalen Benutzerrechten kann einen Link so platzieren, dass Defender beim naechsten Scan eine Datei oeffnet oder modifiziert, auf die der Angreifer keinen Zugriff haette. Da Defender im SYSTEM-Kontext laeuft, wird aus einem Standard-User in Sekunden ein lokaler Administrator mit voller Kontrolle ueber den Endpoint.

Der Angriff erfordert keine Benutzerinteraktion, keine Phishing-Mail, keinen Klick. Es genuegt, dass Defender die manipulierte Pfadstruktur einmal beruehrt – und das tut Defender per Definition staendig. Betroffen ist die Engine bis Version 1.1.26030.3008; gepatcht wird mit 1.1.26040.8. Die Antimalware-Plattform muss zusaetzlich auf 4.18.26040.7 stehen, sonst greift der Fix nicht.

CVE-2026-45498 – Wenn der Waechter einfach schweigt

CVE-2026-45498 wirkt auf den ersten Blick harmloser. CVSS 4.0, Klassifizierung "Important", keine Kompromittierung des Systems im engeren Sinn. Es ist ein Denial-of-Service in der Defender-Antimalware-Plattform. Doch genau das ist der Punkt, der diese Schwachstelle in der Hand erfahrener Angreifer gefaehrlich macht. Durch eine speziell formatierte Eingabe – ein praeparierter Mail-Anhang, ein praepariertes Netzwerkpaket, eine entsprechend gestaltete Datei – laesst sich der Scan-Prozess in einen Ressourcenerschoepfungszustand zwingen. Defender stuerzt nicht ab und protokolliert nichts Auffaelliges, er arbeitet einfach nicht mehr richtig. Es erscheint keine Warnung im Admin Center, kein Event in der Microsoft-365-Defender-Konsole.

Wer das Zusammenspiel beider CVEs ernst nimmt, erkennt schnell die wahre Choreografie: Erst wird ueber CVE-2026-45498 der Waechter eingeschlaefert, dann ueber CVE-2026-41091 die Eskalation auf SYSTEM gezogen – und die Telemetrie, die diesen Vorgang dokumentieren muesste, faellt aus, weil die Engine, die sie liefern soll, gerade selbst Opfer ist.

Wie der Angriff in der Praxis aussieht

Die Forensiker des US-Anbieters Huntress haben einen realen Vorfall aus dem April 2026 dokumentiert, der die Mechanik nachvollziehbar macht. Der Erstzugang erfolgte ueber ein kompromittiertes FortiGate-VPN-Konto eines mittelstaendischen Unternehmens. Innerhalb von Minuten fuehrte der Angreifer Standard-Reconnaissance aus: whoami /priv, cmdkey /list, net group "Domain Admins" /domain. Anschliessend lud er die Exploits fuer beide Defender-CVEs nach – die Sicherheitsforscher tauften die Tools RedSun und UnDefend. Der DoS gegen Defender lief zuerst, danach folgte die Eskalation. Innerhalb von rund zwei Stunden war das Active Directory unter Kontrolle.

Bemerkenswert ist nicht die Geschwindigkeit, sondern die Stille. Weder der lokale Defender-Client noch das zentrale Microsoft-Defender-XDR-Portal meldeten den Vorgang. Erst die SIEM-Korrelation am Active-Directory-Logon-Server, ueber 90 Minuten verzoegert, lieferte den Hinweis. Bis dahin hatte der Angreifer bereits laterale Bewegungen abgeschlossen und einen Persistenzmechanismus etabliert.

Warum diese CVEs den Mittelstand besonders treffen

Microsoft Defender ist im deutschen Mittelstand keine Randerscheinung. Mit der Verbreitung von Microsoft 365 Business Premium, Windows 11 und der "Endpoint-Defender-fuer-alles"-Strategie vieler IT-Dienstleister ist Defender faktisch zum Marktstandard geworden. In einer Auswertung der branchenintern verfuegbaren Endpoint-Telemetrien ist Defender 2026 auf rund 70 Prozent aller Windows-Arbeitsplaetze in deutschen Unternehmen mit 50 bis 500 Mitarbeitern als primaerer Endpoint-Schutz im Einsatz – oft, ohne dass ein zusaetzlicher EDR oder XDR-Layer darueberliegt. Die Konsequenz: Wenn Defender ausfaellt, gibt es bei einem grossen Teil des Mittelstands keinen zweiten Wachposten.

Hinzu kommt die organisatorische Realitaet vieler Mittelstaendler. Patches der Defender-Engine werden in den meisten Faellen automatisch ueber Microsoft Update verteilt. Doch Automatik bedeutet nicht Bestaetigung. In rund 40 Prozent der Umgebungen, in denen wir bei pleXtec in den letzten Wochen Engine-Versionen ueberprueft haben, lag die aktive Version mindestens drei Versionsstaende hinter dem aktuellen Patch. Gruende dafuer sind blockierte Update-Server, ausgesetzte Wartungsfenster nach Migrationen, oder schlicht ein Endpoint Protection Manager, der die "Force Update"-Funktion seit Monaten nicht ausgeloest hat.

Was jetzt zu tun ist – die naechsten 48 Stunden

Die CISA-Frist von 14 Tagen ist nicht willkuerlich. Sie spiegelt die Erfahrungswerte, wie schnell Exploits in Massenangriffe ueberfuehrt werden, wenn die technische Komplexitaet gering ist. Genau das ist hier der Fall: Die Exploit-Logik ist verstanden, Proof-of-Concept-Code ist in geschlossenen Foren zirkuliert, und die ersten generischen Implementierungen werden gerade in gaengige Post-Exploitation-Frameworks integriert. Wer in den naechsten zwei Wochen nicht reagiert, riskiert, in der zweiten Welle aufgesammelt zu werden.

1. Engine-Versionsstand pruefen, nicht nur "Updates aktiviert"

Der wichtigste Schritt ist die Verifikation der konkreten Engine- und Plattformversion auf jedem Endpoint. PowerShell liefert die Antwort:

Get-MpComputerStatus | Select-Object AMEngineVersion, AMServiceVersion, AMProductVersion, AntivirusSignatureVersion

Erwartete Mindestwerte: AMEngineVersion 1.1.26040.8 oder hoeher, AMServiceVersion bzw. AMProductVersion 4.18.26040.7 oder hoeher. Liegt die Version darunter, hilft Update-MpSignature -UpdateSource MicrosoftUpdateServer, gefolgt von einem Neustart der Antimalware-Dienste. Wer eine grosse Flotte hat, sollte die Abfrage zentral ueber Intune-Skript, GPO oder einen RMM-Lauf erzwingen.

2. WSUS- und Update-Server-Konfiguration validieren

Defender-Engine-Updates werden in vielen Mittelstandsumgebungen ueber einen internen WSUS- oder Microsoft-Endpoint-Configuration-Manager verteilt. Pruefen Sie, dass die Klassifikation Definition Updates aktiviert ist und nicht etwa durch eine alte Wartungsroutine ausgeklammert wurde. Ein WSUS, der seit Monaten keine Defender-Pakete mehr synchronisiert, ist 2026 keine Seltenheit.

3. Telemetrie haerten – nicht nur Defender vertrauen

Die zentrale Lehre der RedSun/UnDefend-Kette: Ein einzelner Endpoint-Wachposten ist 2026 nicht mehr genug. Wer noch keinen zweiten Datenstrom hat – sei es ueber Microsoft Sentinel, einen Drittanbieter-SIEM, oder zumindest die Windows Event Forwarding-Konfiguration – sollte das jetzt aufsetzen. Pruefen Sie insbesondere die Korrelation von Defender-Service-Status mit Anmeldungen privilegierter Konten. Faellt die Antimalware-Plattform bei einem User aus, der wenige Minuten spaeter ein net group "Domain Admins" absetzt, muss diese Sequenz ein Incident sein – nicht ein Wartungshinweis.

4. VPN-Eingang absichern

Der dokumentierte Huntress-Vorfall begann an einem FortiGate-VPN-Konto ohne MFA. Das ist 2026 unentschuldbar. Pruefen Sie, dass alle externen Zugaenge – FortiGate, SonicWall, Palo Alto, Cisco AnyConnect – mit phishing-resistenter Multi-Faktor-Authentisierung abgesichert sind, idealerweise mit FIDO2-Hardware-Token. Geteilte Service-Accounts ohne MFA gehoeren in keinem VPN-Tunnel mehr toleriert.

5. Inventarisierung der EDR-Lage

Nutzen Sie diesen Vorfall, um die grundsaetzliche Frage zu beantworten, ob Defender allein ausreicht. Fuer Unternehmen ab etwa 50 Mitarbeitenden mit kritischen Geschaeftsdaten ist ein dedizierter EDR/XDR-Layer mit eigenstaendiger Telemetrie keine Luxusinvestition mehr, sondern eine Versicherung gegen genau diese Klasse von Angriffen. Wir beraten Sie gern, wie sich ein zweistufiger Schutz wirtschaftlich darstellen laesst – Stichwort: Informationssicherheit als Architektur, nicht als Produkt.

Der groessere Kontext: Sicherheitssoftware wird zum Ziel

Diese beiden CVEs stehen nicht isoliert. Am 21. Mai – also einen Tag nach der KEV-Aufnahme der Defender-Luecken – fuegte CISA CVE-2026-34926 hinzu, eine Directory-Traversal-Schwachstelle in Trend Micro Apex One. Auch hier: Endpoint-Protection-Plattform, aktiv ausgenutzt, Patch verfuegbar. Innerhalb von zwei Tagen wurden also drei Schwachstellen in genau jenen Produkten in den KEV aufgenommen, die Unternehmen vor genau dieser Art von Angriffen schuetzen sollen. Das ist kein Zufall, sondern eine strategische Verschiebung der Angreifer: Wer den Waechter ausschaltet, muss das Haus nicht knacken.

Die Konsequenz ist nicht, Microsoft Defender oder Apex One pauschal abzuschaffen. Die Konsequenz ist, Endpoint-Protection als das zu behandeln, was sie inzwischen geworden ist: privilegierte Software mit eigener Angriffsflaeche. Patches sind Pflicht. Telemetrie muss redundant sein. Und die Frage, wer den Waechter bewacht, gehoert auf die Agenda jeder Geschaeftsfuehrungssitzung mit Sicherheitsbezug.

Fazit – und ein offenes Angebot

CVE-2026-41091 und CVE-2026-45498 sind kein theoretisches Forschungsergebnis, sondern aktive Angriffswerkzeuge. Sie betreffen ein Produkt, das in deutschen Mittelstandsunternehmen praktisch ueberall laeuft. Sie sind technisch trivial auszuloesen und liefern den Angreifern SYSTEM-Privilegien innerhalb von Minuten – bei gleichzeitig stillgelegtem Wachposten. Patches sind verfuegbar, aber nur, wenn die Engine-Versionsstaende tatsaechlich aktuell sind. Wer 2026 noch ohne validierte Defender-Patch-Pipeline und ohne redundante Telemetrie unterwegs ist, sollte diesen Vorfall als Weckruf nutzen.

Wenn Sie unsicher sind, ob Ihre Engine- und Plattformversionen den Stand erreicht haben oder ob Ihre Telemetrie diesen Angriffstyp ueberhaupt sichtbar machen wuerde: Wir koennen das innerhalb von wenigen Arbeitstagen pruefen und Ihnen einen klaren Status liefern. Sprechen Sie uns an – oder lesen Sie zuerst, wie wir Sicherheitsarchitektur ganzheitlich denken.

pleXtec Security Team, 22. Mai 2026.