Kernel-Anti-Cheat: wie tief die Software eingreift

Viele Onlinespiele installieren heute neben dem eigentlichen Spiel einen Treiber, der tief im Betriebssystem arbeitet. Riot Games macht das mit Vanguard für League of Legends und VALORANT, Activision mit RICOCHET für Call of Duty, BattlEye für eine ganze Reihe von Titeln. Diese Programme heißen Kernel-Anti-Cheat. Um zu verstehen, was sie können und warum sie umstritten sind, hilft ein Blick darauf, wie Windows Programme voneinander trennt.

Benutzermodus und Kernmodus

Ein Prozessor unter Windows arbeitet in zwei Modi. Anwendungen wie dein Browser oder ein Spiel laufen im Benutzermodus, die Kernbestandteile des Betriebssystems im Kernmodus ^[1]. Jede Anwendung im Benutzermodus bekommt einen eigenen, privaten Adressraum. Sie kann die Daten anderer Anwendungen nicht verändern und auf die Bereiche des Betriebssystems nicht zugreifen. Stürzt sie ab, sind andere Programme und Windows selbst nicht betroffen ^[1].

Im Kernmodus ist das anders. Aller Code dort teilt sich einen gemeinsamen Adressraum, ein Treiber ist also nicht von anderen Treibern oder vom Betriebssystem getrennt. Schreibt ein Kerneltreiber versehentlich an die falsche Stelle, kann er Daten des Systems beschädigen. Stürzt er ab, stürzt das ganze Betriebssystem ab ^[1]. Genau diese Nähe zum System macht Kernel-Anti-Cheat wirksam und zugleich heikel.

Warum Anti-Cheat in den Kern geht

Ein Schutzprogramm im Benutzermodus sieht nur, was ein normales Programm sehen darf, die Bereiche des Betriebssystems bleiben ihm verschlossen ^[1]. Läuft ein Cheat selbst mit höheren Rechten, kann er sich vor einem solchen Programm verbergen. Ein Treiber im Kernmodus hat diese Grenze nicht. Riot nennt Vanguard deshalb eine eigene Sicherheitssoftware für den fairen Wettbewerb und verlangt, dass sie während der meisten seiner Spiele läuft ^[5].

Activision stellte 2021 mit RICOCHET einen eigenen Kerneltreiber für PC vor, zuerst für Call of Duty: Warzone. Er sollte helfen, Cheater zu erkennen, und die Sicherheit der Server insgesamt stärken ^[7]. Die Firma BattlEye beschreibt ihr Produkt als vollständig proaktives Schutzsystem auf Kernelbasis, das das System des Spielers fortlaufend durchsucht und dessen Prüfungen vom Server aus gesteuert und verändert werden ^[9]. Zu den Spielen mit BattlEye zählen nach Angaben des Herstellers unter anderem PUBG, Fortnite und Rainbow Six Siege ^[9].

Immer an oder nur beim Spielen

Ein wichtiger Unterschied zwischen den Systemen ist, wann der Treiber läuft. Vanguard ist laut Riot in der Regel eine Anwendung, die mit dem Rechner startet. Wer es ausschaltet und später wieder VALORANT spielen will, muss den Rechner neu starten ^[5]. Inzwischen bietet Riot mit dem Vanguard Pre-Check einen freiwilligen Betrieb auf Abruf an: Vanguard startet dann mit einem Riot-Spiel und beendet sich nach dem Spielen ^[6].

Diesen Modus gibt es nur auf Rechnern, die strenge Sicherheitsvoraussetzungen erfüllen. Riot nennt Windows 11 ab Version 25H2, Secure Boot, TPM 2.0, IOMMU, virtualisierungsbasierte Sicherheit (VBS) und die hypervisorgeschützte Codeintegrität (HVCI) ^[6]. Ob dein Rechner diese Bedingungen erfüllt, zeigt das Vanguard-Symbol im Infobereich der Taskleiste ^[6]. Activision kündigte den RICOCHET-Treiber 2021 zunächst für den PC an und betonte, dass über das plattformübergreifende Spielen auch Konsolenspieler davon profitieren, wenn sie gegen PC-Spieler antreten ^[7].

Wie Windows Kerneltreiber absichert

Nicht jedes Programm darf einfach einen Treiber in den Kern laden. Seit Windows 10 Version 1607 lädt Windows keine neuen Kerneltreiber mehr, die nicht über Microsofts Entwicklerportal signiert wurden ^[2]. Dafür braucht der Hersteller ein Konto bei Microsoft und ein besonders geprüftes Zertifikat für die Codesignatur ^[2]. Ausnahmen gelten unter anderem, wenn Secure Boot im BIOS ausgeschaltet ist ^[2]. Diese Hürde soll verhindern, dass beliebiger Code mit den höchsten Rechten läuft. Riot setzt Secure Boot für den Betrieb von Vanguard auf Abruf voraus, und laut Riot schaltet Vanguard selbst Sicherheitsstandards ähnlich wie Secure Boot ein, solange es läuft ^{[5, 6]}.

Die Signaturpflicht hat eine Schwäche, die Microsoft selbst beschreibt: Weil Code im Kern strengen Regeln unterliegt, nutzen Angreifer Schwachstellen in echten, signierten Treibern, um ihre Schadsoftware dort auszuführen ^[3]. Microsoft pflegt deshalb eine Sperrliste für Treiber mit bekannten Schwachstellen. Seit dem Windows-11-Update von 2022 ist sie auf allen Geräten standardmäßig aktiv, sie wird vierteljährlich und über die monatlichen Updates erneuert ^[3]. Laut Microsoft fängt sie nicht jeden verwundbaren Treiber ab, weil manche Sperren aus Rücksicht auf die Kompatibilität zurückgehalten werden ^[3]. Auf der Liste landen Treiber mit Schwachstellen, über die Angreifer höhere Rechte im Kern erlangen können, Treiber mit schädlichem Verhalten oder mit Zertifikaten, die zum Signieren von Schadsoftware benutzt wurden, und Treiber, die das Sicherheitsmodell von Windows umgehen ^[3]. Microsoft weist auch auf die Kehrseite hin: Gesperrte Treiber können dazu führen, dass Geräte oder Programme nicht mehr richtig funktionieren, in seltenen Fällen bis zum Bluescreen ^[3].

Wenn der Schutztreiber selbst zur Gefahr wird

Dass auch Anti-Cheat-Treiber missbraucht werden können, zeigt ein Fall aus dem Jahr 2022. Die Sicherheitsfirma Trend Micro berichtete am 24.08.2022 über einen Ransomware-Angriff, bei dem die Täter den Anti-Cheat-Treiber des Spiels Genshin Impact nutzten ^[4]. Der Treiber war ordnungsgemäß signiert. Die Angreifer verschafften sich damit Zugriff im Kernmodus und beendeten Prozesse und Dienste von Virenschutzprogrammen ^[4]. Das Spiel selbst musste auf dem angegriffenen Rechner gar nicht installiert sein ^[4]. Zum Zeitpunkt des Berichts war das Zertifikat, mit dem der Treiber signiert war, noch gültig und nicht widerrufen ^[4].

Ein zweites Risiko ist die Stabilität. Ein Fehler in einem Kerneltreiber reißt das ganze System mit ^[1]. Wie groß die Folgen sein können, zeigte im Juli 2024 ein fehlerhaftes Update der Sicherheitsfirma CrowdStrike, das nach Schätzung von Microsoft 8,5 Millionen Windows-Geräte lahmlegte, weniger als ein Prozent aller Windows-Rechner ^[10]. Das war kein Anti-Cheat-Programm, betraf aber dieselbe Art von Software mit tiefem Systemzugriff. Microsoft kündigte im November 2024 an, Windows so zu erweitern, dass Sicherheitsprodukte wie Virenschutzprogramme außerhalb des Kernmodus laufen können, im Benutzermodus wie normale Apps ^[11].

Was Kernel-Anti-Cheat nicht sieht

Auch ein Treiber im Kern hat Grenzen. Activision schrieb im Oktober 2024, Kerneltreiber hätten die Reichweite von Anti-Cheat vergrößert, Cheat-Anbieter böten aber inzwischen Cheats an, die über den Kern hinausgehen und spezielle Hardware nutzen, die nur für Angriffe auf Spiele gebaut ist ^[8]. Ein möglicher Weg dafür ist direkter Speicherzugriff (DMA): Geräte mit dieser Fähigkeit können den Arbeitsspeicher lesen und beschreiben, ohne dass der Prozessor beteiligt ist ^[12].

Gegen solche Zugriffe gibt es in Windows eine Schutzfunktion: Über die IOMMU, eine Einheit zur Verwaltung von Speicherzugriffen durch Geräte, kann Windows verhindern, dass Peripheriegeräte ohne passende Treiber direkt auf den Speicher zugreifen ^[12]. Geräte mit unpassenden Treibern blockiert Windows dann, bis sich ein berechtigter Nutzer anmeldet oder den Bildschirm entsperrt. Dieser Schutz greift allerdings erst, wenn das Betriebssystem geladen ist, während des Startvorgangs ist die Firmware zuständig ^[12]. Riot zählt die IOMMU zu den Voraussetzungen für den Betrieb auf Abruf ^[6]. Activision setzt zusätzlich auf Lernverfahren, die Auffälligkeiten im Spielverhalten suchen, denn wie jemand spielt, können Cheat-Entwickler nicht verstecken ^[8]. Mehr dazu steht auf der Seite KI-Cheats und Aimbots.

Datenschutz und Vertrauen

Ein Programm mit Kernrechten könnte grundsätzlich sehr viel über einen Rechner erfahren. Die Hersteller müssen deshalb erklären, was sie tatsächlich erfassen. Riot schreibt, Vanguard sei mit Blick auf den Datenschutz entwickelt worden, und das Unternehmen habe dafür mit seinen Rechts- und Compliance-Teams die Datenschutzgesetze der Regionen berücksichtigt. Die Einzelheiten verweist Riot in seine Datenschutzerklärung ^[5]. Wer das genau wissen will, sollte diese Erklärung vor der Installation lesen.

Was du als Spieler tun kannst

Ob ein Spiel einen Kerneltreiber mitbringt, steht meist in den Systemanforderungen oder auf den Supportseiten des Herstellers. Lies vor der Installation nach, wann der Treiber läuft und wie du ihn wieder entfernst. Riot beschreibt das Abschalten und Deinstallieren von Vanguard in einer eigenen Anleitung ^[5].

Halte Windows aktuell, damit die Sperrliste für verwundbare Treiber auf dem neuesten Stand ist, und lass die Speicherintegrität (HVCI) eingeschaltet, wenn dein Rechner sie unterstützt. Microsoft empfiehlt diese Funktion ausdrücklich zum Schutz vor Sicherheitsbedrohungen ^[3]. Wenn du ein Spiel nicht mehr spielst, deinstalliere es samt Schutzprogramm, damit kein unnötiger Treiber auf dem System bleibt.

Welche Daten Anti-Cheat-Programme sammeln und was die DSGVO dazu sagt, erklärt die Seite Anti-Cheat und Privatsphäre. Die beiden verbreiteten Drittanbieter-Systeme vergleicht Easy Anti-Cheat und BattlEye, einen Überblick über alle Verfahren gibt Anti-Cheat-Systeme. Was digitale Zertifikate und Signaturen grundsätzlich leisten, erklärt domain-root.de am Beispiel von SSL-Zertifikaten.

1. Organisation User Mode and Kernel Mode. Microsoft Learn. Stand 28.10.2025. abgerufen am 29.10.2026
2. Organisation Driver Signing Policy. Microsoft Learn. Stand 19.08.2024. abgerufen am 29.10.2026
3. Organisation Microsoft recommended driver block rules. Microsoft Learn. Stand 01.05.2026. abgerufen am 29.10.2026
4. Organisation Ransomware Actor Abuses Genshin Impact Anti-Cheat Driver to Kill Antivirus. Trend Micro. Stand 24.08.2022. abgerufen am 29.10.2026
5. Organisation What is Vanguard?. Riot Games Support. Stand 02.06.2026. abgerufen am 29.10.2026
6. Organisation Vanguard Pre-Check. Riot Games Support. Stand 24.06.2026. abgerufen am 29.10.2026
7. Organisation Announcing RICOCHET Anti-Cheat: A New Initiative for Call of Duty. Activision, Call of Duty Staff. Stand 13.10.2021. abgerufen am 29.10.2026
8. Organisation RICOCHET Anti-Cheat Progress Report: Black Ops 6 Launch. Activision, Team RICOCHET. Stand 18.10.2024. abgerufen am 29.10.2026
9. Organisation BattlEye: The Anti-Cheat Gold Standard (Startseite). BattlEye Innovations. Stand laufend. abgerufen am 29.10.2026
10. Organisation Helping our customers through the CrowdStrike outage. Microsoft, David Weston. Stand 20.07.2024. abgerufen am 29.10.2026
11. Organisation Windows security and resiliency: Protecting your business. Microsoft, David Weston. Stand 19.11.2024. abgerufen am 29.10.2026
12. Organisation Kernel DMA Protection. Microsoft Learn. Stand 15.08.2025. abgerufen am 29.10.2026

Zuletzt geprüft am 29.10.2026, nächste Prüfung spätestens im Oktober 2027. Fehler entdeckt? Schreib uns.