Microsoft entfernt WMIC: Was IT-Verantwortliche jetzt wissen müssen

Microsoft zieht einen beliebten Angriffsvektor für Cyberkriminelle aus dem Verkehr – doch das schafft auch neue Herausforderungen für Unternehmen, die noch auf das Tool setzen.

Einleitung: Ein kleines Tool mit großer Sicherheitsrelevanz

Microsoft hat eine stille, aber weitreichende Entscheidung getroffen: Das Windows Management Instrumentation Command-line-Tool – kurz WMIC – wird schrittweise aus Windows 11 entfernt. Betroffen sind zunächst die Versionen 24H2 und 25H2 sowie aktuelle Beta-Builds von Windows 11. Was auf den ersten Blick wie eine technische Randnotiz klingt, hat für IT-Sicherheitsverantwortliche und Geschäftsführer in deutschen Unternehmen erhebliche praktische Konsequenzen.

WMIC war jahrelang ein Schweizer Taschenmesser der Windows-Administration – und gleichzeitig eines der meistmissbrauchten Werkzeuge in der Toolbox von Angreifern. Die Entscheidung von Microsoft ist daher kein Zufall, sondern das Ergebnis einer konsequenten Sicherheitsstrategie. Doch wer heute noch WMIC-basierte Skripte oder Automatisierungen betreibt, muss handeln – und wer die NIS2-Richtlinie im Blick hat, sollte diesen Schritt als Anlass zur Überprüfung seiner gesamten Windows-Verwaltungsinfrastruktur nutzen.

Technischer Hintergrund: Was ist WMIC – und warum war es so gefährlich?

WMIC in der Windows-Verwaltung

WMIC ist eine Kommandozeilenschnittstelle, die Administratoren seit Windows XP den Zugriff auf die Windows Management Instrumentation (WMI) ermöglicht. Mit einfachen Befehlen lassen sich Systeminformationen abfragen, Prozesse steuern, Software inventarisieren oder Remote-Verwaltungsaufgaben durchführen – alles ohne grafische Oberfläche, ideal für Skripting und Automatisierung.

Typische legitime Anwendungsfälle:
- Auslesen von Hardware- und Systeminformationen
- Fernabfragen in Active-Directory-Umgebungen
- Automatisierte Software-Inventarisierung
- Verwaltung von Diensten und Prozessen

Warum Cyberkriminelle WMIC liebten

Genau diese Stärken machten WMIC zum idealen Werkzeug für Angreifer. In der Cybersicherheits-Community ist der Begriff „Living off the Land" (LotL) bekannt: Angreifer nutzen legitime Systemwerkzeuge, anstatt eigene Schadsoftware einzuspielen. Das macht ihre Aktivitäten für Virenscanner und SIEM-Systeme schwerer erkennbar.

WMIC war bei LotL-Angriffen besonders beliebt, weil es:

• Standardmäßig vorhanden war – keine Installation notwendig
• Signiert von Microsoft ist – Allowlisting-Maßnahmen wurden umgangen
• Remote ausführbar ist – ideal für laterale Bewegungen im Netzwerk
• Keine Spuren in klassischen Logs hinterließ – Angreifer blieben länger unentdeckt

Bekannte Ransomware-Gruppen wie LockBit, BlackMatter und Conti nutzten WMIC nachweislich in ihren Angriffsketten. Das BSI hat in mehreren Lageberichten zur IT-Sicherheit explizit auf den Missbrauch von Windows-Bordmitteln hingewiesen.

Was kommt stattdessen?

Microsoft empfiehlt als Nachfolger PowerShell in Kombination mit CIM-Cmdlets (Common Information Model). Diese bieten vergleichbare Funktionalität, sind jedoch besser in moderne Sicherheitsarchitekturen integrierbar: PowerShell-Logging, Constrained Language Mode und Script Block Logging ermöglichen deutlich granulareres Monitoring.

NIS2-Relevanz: Was bedeutet das für deutsche Unternehmen?

NIS2 und technische Sicherheitsmaßnahmen

Die NIS2-Richtlinie (EU 2022/2555), in Deutschland durch die Novellierung des BSIG (BSI-Gesetz) umgesetzt, verpflichtet betroffene Unternehmen zu einem umfassenden Risikomanagement. Artikel 21 NIS2 fordert explizit:

• Maßnahmen zur Angriffserkennung und -prävention
• Sicherheit der Lieferkette und eingesetzter Software-Komponenten
• Patch- und Vulnerability-Management
• Kontrolle des Zugangs zu Netzwerken und Informationssystemen

Die Entfernung von WMIC ist ein direktes Beispiel für Hardening der Systemlandschaft – eine Maßnahme, die NIS2-pflichtige Unternehmen aktiv dokumentieren und in ihrer Sicherheitsstrategie verankern sollten.

Meldepflichten beim BSI

Sollten während der Migrationsphase (Umstellung von WMIC auf PowerShell/CIM) Sicherheitsvorfälle auftreten – etwa durch Fehlkonfigurationen oder durch Angreifer, die gezielt Migrationslücken ausnutzen –, greift unter Umständen die 72-Stunden-Meldepflicht gegenüber dem BSI. Unternehmen, die unter NIS2 fallen, müssen solche Vorfälle über das BSI-Meldeportal fristgerecht melden.

Betroffene Branchen in Deutschland

Besonders relevant ist das Thema für Unternehmen in den kritischen Sektoren nach NIS2:

Praktische Schutzmaßnahmen: 7 konkrete Handlungsempfehlungen

1. WMIC-Nutzung im eigenen Unternehmen inventarisieren

Führen Sie zunächst eine vollständige Bestandsaufnahme durch: Wo wird WMIC heute noch eingesetzt? Nutzen Sie dafür Ihre SIEM-Lösung oder Windows Event Logs (Event ID 4688 – Prozesserstellung), um WMIC-Aufrufe zu identifizieren. Ein PowerShell-Skript kann dabei helfen:

Get-WinEvent -LogName Security | Where-Object {$_.Message -like "*wmic*"}

2. Migrationsplan für Skripte und Automatisierungen erstellen

Erstellen Sie einen strukturierten Migrationsfahrplan von WMIC zu PowerShell/CIM-Cmdlets. Priorisieren Sie geschäftskritische Skripte und setzen Sie realistische Meilensteine. Dokumentieren Sie alle Änderungen nachvollziehbar – das ist auch für NIS2-Audits relevant.

3. PowerShell-Logging aktivieren und überwachen

Aktivieren Sie umgehend PowerShell Script Block Logging (via GPO), um die zukünftige Nutzung des WMIC-Nachfolgers transparent zu machen:

• Computer Configuration > Administrative Templates > Windows Components > Windows PowerShell
• Aktivieren: „Turn on PowerShell Script Block Logging"

Diese Maßnahme unterstützt die Angriffserkennung nach NIS2 und ist eine empfohlene Best Practice des BSI.

4. AppLocker oder Windows Defender Application Control einsetzen

Nutzen Sie AppLocker oder WDAC (Windows Defender Application Control), um den Einsatz von Kommandozeilentools gezielt zu steuern. Definieren Sie Allowlists für legitime Administrationstools und blockieren Sie unbekannte oder nicht autorisierte Executables – auch im Hinblick auf künftige LotL-Angriffsvektoren.

5. Privileged Access Management überprüfen

WMIC-Angriffe setzen häufig auf überprivilegierte Konten. Überprüfen Sie Ihr Berechtigungskonzept nach dem Prinzip der minimalen Rechtevergabe (Least Privilege). Administrationsaufgaben sollten ausschließlich über Privileged Access Workstations (PAW) und mit Multi-Faktor-Authentifizierung (MFA) durchgeführt werden.

6. Drittanbieter und Dienstleister einbeziehen

Klären Sie mit externen IT-Dienstleistern, MSPs und Softwareanbietern, ob deren Tools oder Monitoring-Agenten WMIC nutzen. Die NIS2-Richtlinie betont ausdrücklich die Sicherheit der Lieferkette – Schwachstellen bei Dienstleistern sind auch Ihre Schwachstellen.

7. Mitarbeiterschulung und Awareness

Sensibilisieren Sie Ihr IT-Team für die Risiken von LotL-Techniken und die Bedeutung der WMIC-Abkündigung. Regelmäßige Security-Awareness-Schulungen sind nach NIS2 ohnehin verpflichtend und sollten konkrete technische Szenarien wie dieses abdecken.

Fazit: Microsofts Schritt ist eine Chance – nutzen Sie sie

Die Entfernung von WMIC ist mehr als ein technisches Update. Sie ist ein Paradigmenwechsel in der Windows-Sicherheitsarchitektur und ein deutliches Signal: Werkzeuge, die dauerhaft für Angriffe missbraucht werden, haben in modernen Betriebssystemen keinen Platz mehr.

Für deutsche Unternehmen, insbesondere jene unter NIS2-Pflicht, bietet dieser Moment die Gelegenheit, die eigene Windows-Verwaltungsinfrastruktur zu modernisieren, Schwachstellen zu schließen und die Angriffsfläche nachhaltig zu reduzieren. Wer jetzt proaktiv handelt, vermeidet nicht nur Sicherheitsvorfälle – er erfüllt auch konkrete regulatorische Anforderungen.

Call-to-Action: NIS2-Compliance strukturiert angehen

Technische Maßnahmen wie die WMIC-Migration sind nur ein Baustein Ihrer NIS2-Compliance. Um den Überblick über alle Pflichten, Fristen und Nachweise zu behalten, empfiehlt sich der Einsatz einer spezialisierten NIS2-Compliance-Management-Software. Solche Tools helfen Ihnen, Risikobewertungen zu dokumentieren, Maßnahmen zu tracken, Meldeprozesse zu strukturieren und Audits vorzubereiten – ohne dass wichtige Anforderungen im Tagesgeschäft untergehen. Eine strukturierte Plattform schafft Transparenz für IT-Verantwortliche und Geschäftsführung gleichermaßen.

Quellen: Microsoft Security Blog, BSI Lagebericht IT-Sicherheit, ENISA Threat Landscape, EU Richtlinie NIS2 (2022/2555), BSIG (Bundesgesetz über das Bundesamt für Sicherheit in der Informationstechnik)