Ein Laptop kann noch so gut abgesichert sein – wenn sein BIOS veraltet ist, steht das gesamte System auf wackligen Beinen. Während Virenscanner, Windows-Updates und Sicherheitsrichtlinien längst automatisiert laufen, bleibt eine Schicht oft unbeachtet: die Firmware des Mainboards, also das BIOS oder sein moderner Nachfolger UEFI. Genau dort, wo das Betriebssystem überhaupt erst startet, können Sicherheitslücken entstehen – mit gravierenden Folgen.
Jeder Computer beginnt seinen Startvorgang in der Firmware. Sie sorgt dafür, dass alle Hardware-Komponenten – Prozessor, Arbeitsspeicher, Laufwerke – korrekt erkannt und initialisiert werden. Erst danach übernimmt das Betriebssystem. Moderne Geräte verwenden UEFI (Unified Extensible Firmware Interface), das viele Verbesserungen gegenüber dem klassischen BIOS mitbringt: es ist modular, unterstützt moderne Hardware, bietet höhere Sicherheitsstandards und Funktionen wie Secure Boot, die manipulierte Startdateien erkennen und blockieren können. Kurz gesagt: Ohne aktuelles UEFI kein sicheres Starten.
Viele Unternehmen sind sich nicht bewusst, dass veraltete Firmware eine reale Bedrohung darstellen kann. Hersteller veröffentlichen regelmäßig Sicherheitsupdates, um Schwachstellen zu schließen, die von Forschern oder Angreifern entdeckt wurden. Doch diese Updates erreichen viele Geräte nie, weil sie manuell installiert werden müssen oder das Thema schlicht im Tagesgeschäft untergeht. In der Praxis laufen dadurch oft Laptops in produktiver Umgebung mit Firmware-Versionen, die mehrere Jahre alt sind.
Ein nicht gepatchtes BIOS kann beispielsweise unsignierte Firmware akzeptieren, unsichere Boot-Mechanismen aktivieren oder fehlerhafte Microcode-Versionen enthalten, die Stabilität und Energieeffizienz beeinträchtigen. Selbst wenn ein System scheinbar stabil läuft, kann die Firmware längst eine Schwachstelle enthalten, über die Angreifer Zugriff auf tiefste Systembereiche erhalten.
Firmware-Updates gehören deshalb zu einem modernen Sicherheitskonzept – nicht nur Windows oder Anwendungen müssen regelmäßig aktualisiert werden. Das BIOS ist der unsichtbare Grundpfeiler, der dafür sorgt, dass alle anderen Sicherheitsmechanismen überhaupt greifen können.
Was passieren kann, wenn das BIOS nicht aktuell ist
Ein veraltetes BIOS ist mehr als ein technisches Versäumnis. Es ist ein potenzielles Einfallstor in die tiefsten Schichten eines Computersystems. Angreifer nutzen diese Ebene gezielt, weil dort kaum Überwachung stattfindet und herkömmliche Schutzsysteme blind sind.
Ein mögliches Angriffsszenario sind sogenannte UEFI-Bootkits. Dabei handelt es sich um Schadprogramme, die sich in der Startsequenz einnisten – also bevor Windows oder ein anderes Betriebssystem überhaupt geladen wird. Das bedeutet: Der Angriff erfolgt, bevor Virenschutz, Firewall oder Verschlüsselung aktiv sind. Ein kompromittiertes BIOS kann den Angreifer dauerhaft im System verankern. Selbst eine komplette Neuinstallation des Betriebssystems entfernt ihn nicht, weil sich der Schadcode in der Firmware selbst befindet.
Ein weiteres Risiko ist die sogenannte Firmware-Persistence. Dabei wird bösartiger Code direkt in den Flash-Speicher des Mainboards geschrieben. Dieser Speicher bleibt auch nach Stromtrennung oder Hardwaretausch erhalten. In diesem Fall kann ein Gerät zwar scheinbar „frisch installiert“ wirken, ist aber weiterhin kompromittiert, sobald es startet.
Darüber hinaus können manipulierte Firmware-Module Sicherheitsfunktionen wie Secure Boot oder die Trusted Platform Module (TPM) deaktivieren oder verändern. Das führt dazu, dass Sicherheitsmechanismen, die eigentlich das Betriebssystem schützen sollen, schon beim Start außer Kraft gesetzt werden. Ein solcher Angriff kann selbst in streng gehärteten Unternehmensumgebungen nahezu unentdeckt bleiben.
Es gibt auch Fälle, in denen fehlerhafte Microcode-Versionen Prozessoren destabilisieren. In seltenen Fällen kann dies sogar zu Überhitzung, Spannungsfehlern oder Hardwaredefekten führen. Besonders kritisch ist, dass viele dieser Probleme nicht sofort sichtbar werden. Ein System kann tagelang scheinbar stabil laufen, bis ein Update fehlt, das eigentlich schon längst hätte eingespielt werden müssen.
Das größte Problem solcher Angriffe oder Schwächen ist ihre Unsichtbarkeit. Sicherheitssoftware arbeitet oberhalb der Firmware-Ebene. Antivirus, EDR und SIEM-Systeme überwachen Prozesse, Dateien und Netzwerkaktivitäten, nicht aber den Code, der den Prozessor direkt initialisiert. Ein infiziertes BIOS ist damit eine Art digitaler Brandherd unterhalb des Fundaments – er bleibt unentdeckt, bis es zu spät ist.
Wer die Firmware nicht regelmäßig aktualisiert, nimmt in Kauf, dass Angreifer im schlimmsten Fall die vollständige Kontrolle über ein System übernehmen können. Und während klassische Sicherheitslücken durch Windows- oder Softwareupdates behoben werden, bleiben Angriffe auf BIOS und UEFI oft dauerhaft aktiv.
Firmware-Updates sind also kein optionaler Service, sondern ein sicherheitsrelevanter Bestandteil einer ganzheitlichen IT-Strategie. Nur ein aktuelles BIOS kann gewährleisten, dass Betriebssysteme, Sicherheitsmechanismen und Hardware vertrauenswürdig zusammenarbeiten.
BIOS-Updates als Teil eines mehrstufigen Sicherheitskonzeptes
In einer modernen IT-Umgebung ist das BIOS- oder UEFI-Patching längst kein manuelles Einzelthema mehr, sondern Teil eines strukturierten Patch-Management-Prozesses. Während Betriebssystem- und Softwareupdates heute selbstverständlich regelmäßig eingespielt werden, bleibt die Firmware-Ebene häufig unberührt. Genau dort setzt ein professioneller IT-Dienstleister an: Er integriert BIOS-Updates in den Gesamtprozess der Systempflege.
Im Rahmen eines mehrstufigen Sicherheitskonzeptes wird dabei sichergestellt, dass alle Geräte regelmäßig auf neue Firmware-Versionen geprüft werden. Sobald ein Hersteller eine sicherheitsrelevante Aktualisierung bereitstellt, wird diese automatisiert erkannt, bewertet und im Wartungsfenster ausgerollt. Bei besonders sensiblen Geräten oder älteren Modellen erfolgt eine manuelle Prüfung, um Kompatibilität und Stabilität sicherzustellen. Diese Kombination aus Automatisierung und menschlicher Kontrolle sorgt dafür, dass kein Endgerät unbeachtet bleibt.
Ein solches Vorgehen schützt nicht nur vor Sicherheitslücken, sondern auch vor Funktionsproblemen. Neue Firmwareversionen verbessern häufig die Energieverwaltung, die Akkulaufzeit und die Kompatibilität mit neuer Hardware. Dadurch profitieren Unternehmen gleich doppelt: Sie erhöhen die Sicherheit und verlängern gleichzeitig die Lebensdauer ihrer Geräte.
Bei COMPOSE IT ist dieses Patchen der Firmware kein Zusatzservice, sondern Bestandteil der IT-Service-Flatrate. Jeder verwaltete Laptop wird regelmäßig auf BIOS- und UEFI-Updates geprüft. Das geschieht vollständig integriert im Patch-Management-Prozess, der neben Windows- und Anwendungsupdates auch Firmware umfasst. Damit bleibt jedes System nicht nur softwareseitig, sondern auch hardwareseitig auf aktuellem Stand – ohne zusätzlichen Aufwand für den Kunden.
Bekannte Fälle / erfolgreiche Bootkits und Firmware-Implants
BlackLotus (2023–2025)
BlackLotus wurde als modernes UEFI-Bootkit analysiert (unter anderem durch Eclypsium). Es ist in Berichten als leistungsfähiges Werkzeug beschrieben worden, das Secure Boot umgehen kann und offenbar als kommerziell vertriebenes Exploit/Implant in der Szene existierte. Microsoft und andere Anbieter haben hierzu Guidance und Mitigations veröffentlicht.
Offizieller Security-Blog von Microsoft zum Thema “The BlackLotus Campain”
MoonBounce (2021/2022)
Kaspersky beschrieb MoonBounce als den dritten bekannten Firmware-Bootkit-Fall in der Wildnis. MoonBounce ist ein UEFI-Implantat, das im SPI-Flash versteckt wurde. Es erweiterte Persistenz- und Tarnfähigkeiten zeigte. Kaspersky fand Verbindungen zu APT-Akteuren (u. a. APT41 in ihren Analysen).
KASPERSKY über das Firmware Bootkit “MoonBounce”
LoJax (2018)
LoJax war der erste dokumentierte Fall eines UEFI-Rootkits, das in echten Angriffskampagnen eingesetzt wurde. Sicherheitsforscher von ESET konnten Komponenten nachweisen, die in die SPI-Flash-Firmware lesen, patchen und überschreiben konnten. LoJax wurde mit der Sednit/Fancy Bear-Gruppe in Verbindung gebracht und demonstrierte, wie nation-state-artige Akteure Firmware-Ebene als Persistenzmechanismus nutzen.
Eset AntiVirus über LoJax (als PDF)
Mebromi (2011)
Mebromi gilt als einer der ersten BIOS-Rootkits, die in freier Wildbahn beobachtet wurden. Es zielte auf Award BIOS ab und erlaubte dem Angreifer, Schadcode in die Firmware zu schreiben, so dass eine Neuinstallation der Festplatte die Infektion nicht tilgte. Die Entdeckung zeigte sehr früh, dass Firmware-Persistenz real möglich ist.
Information über Mebori auf MITRE ATT&CK
Wir laufen solche BIOS-Angriffe technisch ab?
Angriffsfläche und Ziel
- Die Firmware, meist in einem SPI-Flash-Chip auf dem Mainboard, enthält UEFI/BIOS-Code. Dieser Code wird beim Systemstart geladen und initialisiert Hardware und Bootsequenz.
- Angreifer, die persistente Kontrolle wünschen, versuchen, genau an dieser Stelle Code einzuschleusen oder das Update-/Verteilungsverhalten der Firmware zu manipulieren.
Typische Voraussetzungen eines Angriffs (häufige technische Patterns)
- Lokaler Administratorzugang oder ein privilegierter Treiber: Viele Firmware-Manipulationen starten mit einem Kompromiss auf Betriebssystemebene, der es dem Angreifer erlaubt, signierte Updatepfade oder Flash-Utilities zu verwenden.
- Unsichere Update-Mechanismen oder falsch konfigurierte SPI-Protection: Wenn Schreibschutzmechanismen am SPI-Bus fehlen oder durch Treiber oder falsche Einstellungen umgangen werden können, lässt sich Flash-Speicher überschreiben.
- Missbrauch legitim signierter Komponenten: Angreifer können versuchen, legitime Update-Mechanismen (z. B. Hersteller-Tools) zu hijacken oder signierte Komponenten so zu manipulieren, dass die Signaturprüfung umgangen wird.
- Supply-Chain / physischer Zugang: In besonders schweren Fällen kann ein Angreifer physische Nähe oder manipulierte Update-Medien/Images nutzen, um kompromittierte Firmware einzuspielen.
Konkrete technische Wirkungen nach erfolgreichem Einschleusen
- Persistenz vor dem OS: Das Implant wird vor dem Laden des OS aktiv, kann z. B. Bootloader verändern, eigene Loader laden oder legitime Sicherheitsfunktionen unterlaufen.
- Unsichtbarkeit: EDR/AV/Host-Monitoring laufen später im OS und sehen nichts von Code, der schon beim Start aktiv ist.
- Manipulation von Sicherheitskomponenten: Secure Boot, TPM-Verhalten oder Virtualization-Basierte Schutzfunktionen können gezielt deaktiviert oder unterwandert werden, so dass weitere Malware ungehindert arbeitet.
- „Living off the firmware“: Implantate können Code nachladen, persistente Backdoors bereithalten oder sogar Daten unauffällig exfiltrieren.
Breakout-Risiko für Unternehmen: homogene Patchstände als Schwachstelle
Unternehmen haben oft eine relative Homogenität: gleiche Images, gleiche Hardwaregenerationen, gleiche Update-Prozesse. Genau diese Gleichheit verstärkt das Risiko eines Breakouts: Ein erfolgreicher EFI/BIOS-Angriff auf ein Modell oder einen Lieferweg kann sich lateral sehr breit auswirken, weil viele Geräte denselben Firmware-Stand oder dieselben Update-Mechanismen teilen. Firmware-Implantate sind hoch persistent; ein einmal eingeschleuster Bootkit kann auch nach OS-Neuinstallationen oder Festplattenaustausch dort verbleiben und wieder aktiv werden.
In Szenarien, in denen ein Angreifer gezielt in die Firmwareebene gelangt (z. B. über kompromittierte Vendor-Updates, gezielte Phishing-Ketten mit Privilegienausweitung oder physische Manipulation), ist die Folge nicht nur die Kompromittierung einzelner Endpunkte, sondern potenziell die systemweite Unterwanderung von Zugängen, Authentifizierungen und Logik der Startketten.
Wie ein BIOS- oder UEFI-Update technisch abläuft
Ein BIOS-Update funktioniert im Kern anders als ein gewöhnliches Windows-Update. Statt Dateien auf der Festplatte zu ersetzen, wird dabei neue Firmware direkt in einen Speicherchip auf dem Mainboard geschrieben. Dieser sogenannte Flash-Vorgang erfolgt über spezielle Hersteller-Tools oder über eine zentrale Verwaltungsplattform. Moderne Geräte unterstützen dabei sichere Update-Mechanismen. Sie verhindern, dass unsignierte oder fehlerhafte Firmware installiert werden kann.
Der Prozess beginnt mit der Identifikation der vorhandenen Version. Anschließend wird das vom Hersteller bereitgestellte Updatepaket heruntergeladen und auf Authentizität überprüft. Erst nach dieser Prüfung erfolgt das Schreiben der neuen Firmware in den Speicherbereich des Mainboards. Das Gerät startet danach neu, initialisiert die neue Firmware und überprüft ihre Integrität. Dieser Prozess dauert nur wenige Minuten, kann aber erhebliche Auswirkungen auf die Sicherheit und Stabilität eines Systems haben.
Während ein BIOS-Update früher oft ein heikles Unterfangen war, das bei Stromausfall oder falscher Version zu einem nicht mehr startenden Gerät führen konnte, sind heutige Verfahren deutlich robuster. Hersteller implementieren doppelte Speicherbereiche, die eine Wiederherstellung ermöglichen, sollte ein Update einmal fehlschlagen. Dennoch bleibt die Durchführung in professionellen Händen die sicherste Variante – besonders dann, wenn viele Geräte gleichzeitig verwaltet werden.
Warum regelmäßige Updates Stabilität und Zukunftsfähigkeit sichern
Ein aktuelles BIOS ist nicht nur sicherer, sondern oft auch effizienter. Hersteller nutzen Firmware-Updates, um Leistungsreserven zu erschließen, Stromverbrauch zu optimieren oder neue Komponenten zu unterstützen. Gerade im Unternehmensumfeld, wo Geräte oft über mehrere Jahre im Einsatz sind, kann ein aktuelles BIOS die Lebensdauer und Zuverlässigkeit erheblich steigern.
Zudem sorgen aktuelle Firmwarestände dafür, dass neue Sicherheitsfunktionen des Betriebssystems – etwa Virtualization-Based Security oder erweiterte TPM-Funktionen – überhaupt erst vollständig nutzbar werden. Veraltete Firmware kann dazu führen, dass Windows-Funktionen fehlschlagen oder Sicherheitsrichtlinien nicht durchgesetzt werden können.
Ein modernes Patch-Management betrachtet daher nicht nur Software, sondern die gesamte Geräteschicht. Nur so entsteht ein ganzheitlicher Schutz, der vom Prozessor bis zur Cloud reicht. In Zeiten zunehmender Cyberangriffe ist diese Tiefe entscheidend, um Angreifern keinen Raum zu geben, sich unterhalb der Betriebssystemebene festzusetzen.
In der Praxis – wie COMPOSE IT Systeme “BIOS up to date” hält
Im laufenden Betrieb werden sämtliche verwalteten Systeme regelmäßig auf Firmware-Updates geprüft. Sobald ein Hersteller eine neue Version veröffentlicht, wird sie über den zentralen Patch-Management-Prozess erkannt und für die betroffenen Geräte freigegeben. Nach erfolgreichem Testlauf erfolgt die Verteilung im Rahmen der nächsten Wartungszyklen. Auf Wunsch kann der Kunde über die durchgeführten Firmware-Updates informiert werden, ähnlich wie über Windows- oder Anwendungsupdates.
Dieses Vorgehen stellt sicher, dass BIOS- und UEFI-Updates nicht dem Zufall überlassen werden. Sie werden wie alle anderen Patches versioniert, dokumentiert und protokolliert. Dadurch lassen sich Compliance-Anforderungen und Audit-Vorgaben problemlos erfüllen. Da der Prozess vollständig in die Serviceflatrate integriert ist, entstehen keine Zusatzkosten – lediglich mehr Sicherheit und weniger Risiko.
Fazit – Kleine Updates, große Wirkung
Ein aktuelles BIOS oder UEFI ist keine Nebensache, sondern die Basis jedes sicheren und stabilen Computersystems. Firmwarepflege verhindert, dass Angriffe tief in das System eindringen, bevor Sicherheitssoftware überhaupt eingreifen kann. Sie sorgt dafür, dass moderne Schutzmechanismen zuverlässig funktionieren und Hardware effizient arbeitet.
Wer seine Geräte regelmäßig auf Firmware-Updates prüft und diese in ein automatisiertes Patch-Management integriert, minimiert Risiken langfristig. BIOS- und UEFI-Updates sind damit kein exotisches IT-Thema, sondern ein zentraler Bestandteil professioneller IT-Betreuung.
Ein kurzer Neustart kann über die Sicherheit einer gesamten Infrastruktur entscheiden – und das ist ein Aufwand, der sich immer lohnt.