Microsoft hat das Scannen von Windows Defender kaputt gemacht, während sie versuchte, die Zero-Day-Schwachstelle ShieldBreak zu schließen

In der Mitte von August 2026 wurde im Rahmen von „Windows Defender“ eine Zero-Day-Schwachstelle entdeckt, die den Namen ShieldBreak erhielt. Laut Berichten ermöglichte die Ausnutzung dieser Lücke Angreifern, Berechtigungen auf SYSTEM-Ebene in Windows 10-, Windows 11- und Windows-Server-Systemen zu erhöhen – was faktisch die vollständige Kontrolle über den kompromittierten Rechner bedeutete. Die Offenlegung der Schwachstelle oblag laut Branchenpublikationen einer Figur, die in der Community als „umstrittener Schwachstellenjäger“ unter dem Pseudonym Nightmare Eclipse bekannt ist. Microsoft veröffentlichte schnell ein Sicherheitsupdate, das ShieldBreak schließen sollte, doch genau dieses Korrektiv führte, wie zahlreiche Nutzerbeschwerden zeigen, zu einem neuen, funktionalen Fehler im Antivirenmodul.

Was ist ShieldBreak und wer war gefährdet

Die Schwachstelle ShieldBreak betrifft den Kern der Windows-Schutzunterebene und ermöglicht einem Angreifer, der bereits eingeschränkte Rechte auf dem System besitzt, diese auf SYSTEM-Ebene zu eskalieren. Dies ist ein kritischer Szenario: SYSTEM-Berechtigungen gewähren Zugriff auf Systemdateien, Registry, Dienste und Persistenzmechanismen, was die Kompromittierung für den Endnutzer praktisch irreversibel macht. In die Gefahrenzone gerieten alle aktuellen Desktop- und Servereditionen von Windows – von Windows 10 bis Windows 11 und Windows Server. Genau deshalb veröffentlichte Microsoft den Patch im Eilverfahren, ohne auf den geplanten „Patch Tuesday“ zu warten.

Versuchte Microsoft die Lücke zu stopfen, brach sie das Scannen

Das Paradoxe an der Situation ist, dass das Update, das der Stärkung des Schutzes dienen sollte, faktisch das wichtigste Werkzeug zur Bedrohungserkennung außer Gefecht setzte. Nutzer berichten, dass „Windows Defender“ nach der Installation des Korrekts weder einen Schnell- noch einen Vollsicherheits-Scan abschließen kann: Beide Operationen brechen in der Endphase mit einem Fehler ab. Besonders hervorgehoben wird, dass der Offline-Scan bei 91 % hängen bleibt und nicht zum Abschluss übergeht. Dabei funktioniert ein manuelles Scannen der gesamten Festplatte weiterhin korrekt, was darauf hindeutet, dass das Problem nicht mit der Antiviren-Engine als Ganzem zusammenhängt, sondern damit, wie „Defender“ bestimmte Typen und Abfolgen von Scanoperationen verarbeitet.

Symptomatik des Fehlers und Spuren im Ereignisprotokoll

Die technischen Details des Fehlers werden durch Einträge im Windows-„Ereignisprotokoll“ bestätigt. In den Logs erscheinen Fehler mit dem Code 0x000005, die auf die Bibliothek mpengine.dll hinweisen – eine Schlüsselkomponente der Microsoft-Antiviren-Engine, die für die Dateianalyse zuständig ist. Parallel werden Fehler der DefenderApiLoggerLowPriv-Session protokolliert, was auf Störungen im niedrig privilegierten API-Logger des Defenders hindeutet. Die Gesamtheit dieser Anzeichen deutet darauf hin, dass das Update die interne Logik der Planung und des Abschlusses von Scans betroffen hat, nicht einfach nur ein einzelner Prozess „eingefroren“ ist.

Welche Versionen sind betroffen

Laut dem Leiter des Neowin-Forums und ehemaligen ESET-Forscher Aryeh Goretsky treten Scanfehler in den Versionen „Windows Defender“ v1.1.26070.7 und v1.1.26080.2 auf, wenn diese in Kombination mit bestimmten Ausgaben des Microsoft Security Intelligence Update verwendet werden. Die genaue Liste der konkreten Sicherheitsupdate-Nummern wird in öffentlichen Zusammenfassungen nicht vollständig angegeben, daher wird Nutzern empfohlen, die installierten Versionen mit den aktuellen Empfehlungen des Herstellers abzugleichen. Der einzige funktionierende Workaround bleibt derzeit die Systemwiederherstellung auf frühere Versionen von „Defender“, was im Wesentlichen ein funktionierendes Scannen wiederherstellt.

Widersprüchliche Daten

Hier gibt es eine bemerkenswerte Diskrepanz in den Positionen. Einerseits hat Microsoft offiziell nicht anerkannt, dass genau das letzte „Defender“-Update die Ursache der Scanfehler ist – der Hersteller hat keine öffentliche Bestätigung dieser Kausalbeziehung herausgegeben. Andererseits deuten indirekte Belege auf das Gegenteil hin: Ein Rollback auf frühere Versionen des Moduls beseitigt das Problem zuverlässig, was logisch die Schuld der letzten Updates bestätigt. Außerdem wird in einigen Originalquellen die Offenlegung der Schwachstelle ShieldBreak einem bestimmten Konto Nightmare Eclipse zugeschrieben, während in anderen Zusammenfassungen die allgemeinere Formulierung „umstrittener Schwachstellenjäger“ ohne eindeutige Zuordnung zu einem Pseudonym verwendet wird. Schließlich wird die vollständige Liste der betroffenen Versionen des Microsoft Security Intelligence Update in öffentlichen Materialien nur fragmentarisch angegeben, was für einen Teil der Nutzer Unsicherheit schafft.

Was Nutzer tun sollten

Bis Microsoft ein korrigierendes Patch veröffentlicht hat, wird Nutzern mit nicht funktionierendem Scannen empfohlen, „Windows Defender“ vorübergehend auf eine frühere stabile Version über Mechanismen der Komponentenwiederherstellung oder durch Rückgängigmachen des letzten Sicherheitsupdates zurückzusetzen. Eine alternative funktionierende Option ist die Nutzung des manuellen Scans der gesamten Festplatte, der laut Beschwerden weiterhin funktioniert. Dabei ist zu beachten, dass das System bis zur vollständigen Behebung des Fehlers in der Gefahrenzone bleibt: Die automatischen und Offline-Prüfungen, die die wichtigste Barriere gegen neue Bedrohungen darstellen, sind faktisch deaktiviert. Experten raten, bis zum Erscheinen eines offiziellen Korrekts von der Installation potenziell gefährlicher Dateien abzusehen und nach Möglichkeit vorübergehend ein Drittanbieter-Antivirenmodul einzusetzen.