Das ist die Art von Nachricht, die Sicherheitsverantwortlichen den Kaffee kalt werden lässt: Ausgerechnet die Schutzsoftware wird zum Einfallstor. Ein anonymer Forscher, der unter dem Namen „Nightmare Eclipse“ auftritt, hat am 3. September einen Exploit für CrowdStrike Falcon veröffentlicht. Der Name: FalconFlank. Und er tut genau das, was der Name andeutet — er umgeht die Wache, statt sie zu bezwingen.
SO funktioniert der Trick
Falcon hat eine Aufräumfunktion: Findet die Software in einer Office-Datei ein verdächtiges Makro, entfernt sie es. Klingt nach einer guten Idee — und ist es auch. Nur läuft diese Bereinigung, wie so vieles bei Schutzsoftware, mit sehr hohen Rechten. Genau da setzt FalconFlank an.
Der Exploit bringt diese hochprivilegierte Aufräumroutine dazu, statt eines Makros etwas anderes auszuführen: eine Eingabeaufforderung mit SYSTEM-Rechten. SYSTEM ist unter Windows die höchste Stufe — höher als Administrator. Wer dort landet, kann alles: Dienste manipulieren, Zugangsdaten aus dem Speicher fischen, die Schutzsoftware selbst lahmlegen.
Wichtig für die Einordnung: Das ist keine Lücke, die jemand aus dem Internet heraus auslöst. Ein Angreifer muss bereits auf dem Rechner sein — mit ganz normalen Nutzerrechten, etwa nach einer erfolgreichen Phishing-Mail. FalconFlank ist der zweite Schritt, nicht der erste. Aber genau dieser zweite Schritt ist es, der aus einem gekaperten Bürorechner einen Brückenkopf ins ganze Netz macht.
BETROFFEN: aktuelle Systeme, nicht Altlasten
Besonders unangenehm: Der Exploit funktioniert laut Veröffentlichung gegen vollständig gepatchte Systeme — konkret Windows 11 25H2 und Windows Server 2025 mit aktuellem Falcon-Sensor. Es hilft dir also nicht, dass du brav alle Updates eingespielt hast. Die Voraussetzung ist eine ganz normale, sinnvolle Einstellung: die Richtlinie „Microsoft Office File Suspicious Macro Removal“.
Der Stand: kein CVE, kein Patch, ein Workaround
CrowdStrike hat den Befund bislang nicht bestätigt. Es gibt zum Redaktionsschluss:
- keine CVE-Nummer
- keinen CVSS-Wert
- keinen Patch
Was es gibt, ist eine Empfehlung: Das Unternehmen rät Kunden, die Richtlinie zur Entfernung verdächtiger Office-Makros abzuschalten, solange die eigene Prüfung läuft. Das ist ein klassischer Zielkonflikt — du gibst eine Erkennungsfunktion auf, um einen Angriffsweg zu schließen.
SO gehst du jetzt vor
Wenn in deinem Umfeld Falcon läuft — im Büro, beim Kunden, im Testlabor —, arbeite diese vier Punkte ab:
- Richtlinie prüfen. In der Falcon-Konsole unter Prevention Policies nachsehen, ob die Makro-Entfernung aktiv ist.
- Vorübergehend abschalten, solange CrowdStrike keine Entwarnung gibt. Notiere dir das Datum, damit du es später nicht vergisst.
- Andere Makro-Schutzwälle hochziehen. Office-Makros aus dem Internet blockiert Windows ohnehin standardmäßig — prüfe, ob diese Gruppenrichtlinie bei dir wirklich greift.
- Auf Auffälligkeiten achten. Unerwartete
cmd.exe-Prozesse mit SYSTEM-Rechten sind das Warnsignal schlechthin.
Die unbequeme Lehre
Sicherheitssoftware braucht hohe Rechte, um ihren Job zu machen. Genau das macht sie zu einem attraktiven Ziel: Wer den Wächter übernimmt, muss die Mauer nicht überklettern. FalconFlank ist kein Einzelfall — Angriffe über Schutzsoftware haben in den vergangenen Jahren spürbar zugenommen, weil dort die Rechte liegen.
Für dein eigenes Netz heißt das nicht, auf Schutzsoftware zu verzichten. Es heißt, sie nicht als letzte Verteidigungslinie zu behandeln. Getrennte Netzsegmente, Konten mit möglichst wenig Rechten und Sicherungen, an die ein kompromittierter Rechner nicht herankommt, wirken auch dann noch, wenn der Wächter selbst ausfällt.
FAZIT: abschalten, beobachten, ruhig bleiben
FalconFlank ist ernst, aber kein Weltuntergang: Ein Angreifer braucht zuerst einen Fuß in der Tür. Trotzdem gehört die Makro-Richtlinie jetzt vorübergehend aus, und du solltest die Mitteilungen von CrowdStrike im Blick behalten. Sobald ein Sensor-Update kommt, schaltest du die Funktion wieder ein.