Microsoft entfernt WMIC aus Windows 11 zur Bekämpfung von Ransomware

Microsoft hat das Werkzeug WMIC aus Windows 11 entfernt. Diese Maßnahme erfolgte im Rahmen eines obligatorischen Updates für das Betriebssystem.

Das Werkzeug WMIC, welches für Windows Management Instrumentation Command-line steht, ist ein legitimes Befehlszeilenwerkzeug. Es wurde über Jahrzehnte in Windows-Systemen integriert, um es Unternehmensnutzern zu ermöglichen, Computer über die Windows Management Instrumentation abzufragen und zu verwalten. Da auch Personen außerhalb von IT-Abteilungen das Tool für Systemverwaltungen und Automatisierungen nutzten, war es in den Konsumentenversionen von Windows vorinstalliert.

Die vollständige Entfernung erfolgte mit dem Update-Patch KB5124008 im September 2026. Damit ist WMIC nicht mehr als Funktion bei Bedarf verfügbar. Bereits im Mai 2021, mit der Veröffentlichung von Windows 10 21H1, hatte Microsoft die Einstellung des Supports für WMIC angekündigt, es jedoch zunächst als Funktion bei Bedarf beibehalten. Nutzer, deren Anwendungen, Skripte oder Arbeitsabläufe weiterhin auf WMIC angewiesen sind, sollten auf offiziell unterstützte Alternativen migrieren, anstatt das Tool manuell wieder zu installieren.

Die Entfernung dient der Sicherheit, da Ransomware das Tool häufig missbraucht. Eine gängige Methode besteht darin, Schattenkopien von Windows zu löschen. Diese Kopien werden automatisch erstellt, um frühere Versionen von Dateien und persönlichen Daten wiederherzustellen. Wenn Angreifer WMIC nutzen, um diese Kopien zu entfernen, wird es für Nutzer schwierig, Daten nach einer Verschlüsselung durch Ransomware wiederherzustellen. Berichte bestätigen, dass die Ransomware TeslaCrypt 4.1b WMIC für diesen Zweck nutzte. Auch Ransomware-Familien wie Serpent, WhiteRose, Zenis und Saturn haben das Tool missbraucht. Die Ransomware WannaCry nutzte WMIC ebenfalls, um Schattenkopien zu löschen, die Windows-Startwiederherstellung zu deaktivieren und Sicherungsinformationen zu löschen.

Darüber hinaus wurde WMIC verwendet, um den Virenschutz von Windows zu stören. Trojaner nutzten das Tool, um zu prüfen, ob Windows Defender aktiv ist, und fügten sich anschließend zur Ausschlussliste von Defender hinzu. Im Jahr 2021 nutzte die Ransomware DeroHE WMIC-Befehle, um Ausschlusskriterien für den Microsoft Defender hinzuzufügen.

Mit dem Update KB5124008 wird die interne Versionsnummer auf Build 26200.9445 angehoben. Alle Versionen ab dieser Nummer bieten den Schutz durch die Entfernung von WMIC und beheben zudem über hundert kritische Sicherheitslücken. In diesen Versionen gibt das System eine Fehlermeldung aus, wenn der Befehl WMIC eingegeben wird, da das Tool nicht mehr erkannt wird.

Obwohl Microsoft ein Installationspaket zur manuellen Wiederherstellung von WMIC für kompatible Geschäftsprozesse anbietet, warnt das Unternehmen vor dieser Lösung. Das Paket ist nur als temporäre Kompatibilitätslösung gedacht, und Microsoft rät dringend davon ab, diese dauerhaft zu nutzen.