VeraCrypt 2026: Open-Source-Verschlüsselung zwischen Sicherheitslücken und einer Existenzkrise

Die digitale Selbstbestimmung ist zu einem der zentralen Themen unserer Zeit geworden. In einer Welt, in der Datenschutzverletzungen, staatliche Überwachungsmaßnahmen und ausgeklügelte Cyberangriffe an der Tagesordnung sind, ist der Schutz vertraulicher Informationen kein Nischeninteresse mehr, sondern eine Notwendigkeit. VeraCrypt, der quelloffene Nachfolger des legendären TrueCrypt, ist seit Jahren das Werkzeug der Wahl für alle, die ihre Daten wirklich sicher verschlüsseln möchten. Die jüngste Vergangenheit hat jedoch gezeigt, dass selbst dieses Bollwerk nicht vor Rückschlägen gefeit ist – und dass die Abhängigkeit von großen Plattformen wie Microsoft zur existenziellen Bedrohung werden kann.

Der Phönix aus der Asche: Die Geburt eines Nachfolgers

Die Geschichte der modernen Festplattenverschlüsselung ist ohne das Schicksal von TrueCrypt nicht zu verstehen. Über Jahre hinweg galt TrueCrypt als der Goldstandard unter den quelloffenen Verschlüsselungswerkzeugen. Das Ende kam abrupt und rätselhaft: Am 28. Mai 2014 erklärten die unbekannten Entwickler das Projekt für beendet. Die letzte Version war nicht mehr zur Verschlüsselung, sondern nur noch zur Entschlüsselung fähig und enthielt die beunruhigende Empfehlung, auf BitLocker umzusteigen.

Für viele in der Sicherheitsgemeinschaft war dies ein Schock. Spekulationen über eine Kompromittierung durch staatliche Stellen machten die Runde. Doch das Ende von TrueCrypt war nicht das Ende der Idee. Bereits 2013 hatte der französische Entwickler Mounir Idrassi einen Ableger namens VeraCrypt ins Leben gerufen. Dieses Projekt basierte auf dem Code von TrueCrypt 7.1a, der letzten als sicher geltenden Version. Die plötzliche Lücke, die TrueCrypt hinterließ, katapultierte VeraCrypt von einer Alternative zum legitimen Nachfolger.

Technik im Detail: Mehr als nur ein Fork

Der entscheidende Unterschied zwischen VeraCrypt und seinem Vorgänger liegt in der Tiefe des Codes. Die auffälligste Änderung betrifft die sogenannte Schlüsselableitungsfunktion – also wie ein Benutzerkennwort in den kryptografischen Schlüssel umgewandelt wird. Um diesen Prozess für Angreifer, die mit roher Gewalt (Brute-Force) versuchen, das Passwort zu erraten, deutlich schwieriger zu gestalten, erhöht VeraCrypt die Anzahl der Iterationen bei der Berechnung drastisch.

Diese Erhöhung führt zwar zu einer spürbaren, aber für den rechtmäßigen Nutzer noch akzeptablen Verzögerung beim Öffnen eines verschlüsselten Volumes. Für einen Angreifer jedoch multipliziert sich der Zeitaufwand ins Unermessliche. Ein weiterer entscheidender Vorteil von VeraCrypt ist die Unterstützung für das moderne UEFI-BIOS-System, was die Nutzung auf neueren PCs erheblich vereinfacht.

Aktuelle Sicherheitslücken und Patches

Die jüngere Entwicklung zeigt, dass VeraCrypt – wie jede komplexe Software – nicht immun gegen Sicherheitslücken ist. Die Transparenz des Open-Source-Modells ermöglicht es jedoch, diese Schwachstellen schnell zu identifizieren und zu beheben.

CVE-2024-54187 und CVE-2025-23021: Path-Hijacking-Risiken

Im Januar 2025 wurden mit den Versionen 1.26.15 bis 1.26.18 zwei Sicherheitslücken geschlossen, die als CVE-2024-54187 und CVE-2025-23021 geführt werden . Dabei handelte es sich um sogenannte Path-Hijacking-Schwachstellen:

• CVE-2024-54187: Es wurden absolute Pfade bei der Ausführung von Systembinärdateien hinzugefügt, um ein Path-Hijacking zu verhindern .
• CVE-2025-23021: Das Mounten von Volumes auf Systemverzeichnissen und im PATH wurde unterbunden .

Diese Sicherheitslücken hätten es einem Angreifer theoretisch ermöglichen können, durch manipulierte Pfadangaben schädlichen Code auszuführen. Die Zusammenarbeit mit Sicherheitsforschern wie SivertPL ermöglichte eine schnelle Behebung .

Schwachstelle in der versteckten Volume-Erstellung (GHSA-jjcr-75w7-58jp)

Eine besonders kritische Schwachstelle wurde im Juni 2026 mit Version 1.26.29 geschlossen . Betroffen waren alle Versionen zwischen 1.26.6 und 1.26.28 :

Bei der Erstellung eines dateibasierten versteckten Volumes konnte es dazu kommen, dass VeraCrypt rohe Null-Bytes direkt in die Container-Datei schrieb . Diese Nullen erschienen in vorhersagbaren 128 MiB-Intervallen in einem Bereich, der zufällig aussehenden Chiffrat enthalten sollte .

Die Auswirkungen sind schwerwiegend: Zwar wird die Verschlüsselung selbst nicht geschwächt und keine verschlüsselten Inhalte preisgegeben . Allerdings wird die plausible Deniability – also die Möglichkeit, die Existenz eines versteckten Volumes abzustreiten – erheblich geschwächt . Forensische Analysen könnten das deterministische Muster erkennen und damit den Nachweis führen, dass ein verstecktes Volume existiert .

Support-Ende für ältere Windows-Versionen

Die aktuelle Version 1.26.15 ist die letzte, die 32-Bit-Windows, Windows 10 vor Version 1809 und Windows Server 2016 unterstützt . Für die geplante Version 1.27 steht ein umfassender Umbau der Build-Umgebung auf Visual Studio 2019/2022 und das Windows 10 WDK 22H2 an . Dies wird zur Folge haben, dass VeraCrypt künftig nur noch mit Windows 10 und neuer kompatibel ist . Die Entwickler begründen diesen Schritt mit verbesserten Sicherheitsfeatures, besserer Wartbarkeit und Zukunftsorientierung .

Die Microsoft-Krise: Eine existenzielle Bedrohung

Im April 2026 erreichte VeraCrypt eine Krise, die zeigt, wie abhängig selbst kritische Open-Source-Projekte von großen Plattformen sein können. Microsoft suspendierte das Entwicklerkonto von Mounir Idrassi im Windows Hardware Program – ohne Vorwarnung und ohne Möglichkeit auf Einspruch .

Was geschah?

• Microsoft hatte im Oktober 2025 eine verpflichtende Identitätsverifikation für alle Partner im Windows Hardware Program eingeführt . Diese sollte bis April 2026 abgeschlossen sein.
• Idrassi, der Lead-Entwickler von VeraCrypt, gab an, keine entsprechende Benachrichtigung erhalten zu haben . Seine Versuche, einen menschlichen Ansprechpartner bei Microsoft zu erreichen, scheiterten an automatisierten Systemen und Chatbots .
• Die Folge: Ohne signierte Treiber und Bootloader kann VeraCrypt keine Windows-Updates mehr ausliefern . Windows verweigert die Ausführung unsignierter Kernel-Treiber.

Die dramatischen Konsequenzen

Die Situation war besonders brisant, weil das Zertifikat für den VeraCrypt-Bootloader im Juni 2026 abläuft . Wenn bis dahin kein neu signierter Bootloader vorliegt, könnten Nutzer mit vollverschlüsselten Systemen ihren Rechner nicht mehr starten . Idrassi sprach von einer möglichen „Todesstrafe für VeraCrypt“ .

Die Lösung

Nachdem die Berichte über die Kontosperrungen öffentlich wurden – auch WireGuard und Windscribe waren betroffen  – reagierte Microsoft. Scott Hanselman, Vice President bei Microsoft, und Pavan Davuluri, Präsident der Windows- und Devices-Sparte, schalteten sich persönlich ein . Sie bestätigten, dass die Konten wiederhergestellt werden .

Microsoft verwies auf E-Mails und Banner, mit denen seit Oktober 2025 über die Verifikationspflicht informiert worden sei . Die Entwickler hätten diese jedoch offenbar nicht erhalten. Hanselman kündigte an, die Kommunikation zu verbessern .

Die Lehren aus der Krise

Der Vorfall offenbarte eine systemische Schwachstelle: Kritische Open-Source-Sicherheitsprojekte sind in ihrer Funktionsfähigkeit von der Gunst großer Plattformanbieter abhängig . Wenn diese Konten automatisiert und ohne Möglichkeit auf Einspruch sperren, steht die Sicherheit von Millionen Nutzern auf dem Spiel . Die 60-tägige Berufungsfrist von Microsoft  wäre bei einer akuten Zero-Day-Lücke, die dringend gepatcht werden müsste, völlig inakzeptabel .

Ausblick: Version 1.27 und die Zukunft

Die Roadmap für Version 1.27 verspricht grundlegende Verbesserungen :

• Modernisierung der Build-Umgebung auf Visual Studio 2019/2022 und Windows 10 WDK 22H2 
• Verbesserte Sicherheitsfeatures durch moderne Compiler-Optionen 
• Überarbeitung des Treibers zur Behebung von Deadlock-Problemen und Verbesserung der SSD-Performance 
• Möglichkeit eines „Cancel“-Buttons während des Mount-Vorgangs durch asynchrone Operationen 

Fazit: Ein Bollwerk unter Druck

VeraCrypt bleibt das mächtigste Open-Source-Werkzeug zur Festplattenverschlüsselung. Die jüngsten Sicherheitslücken wurden – wie es sich für ein transparentes Open-Source-Projekt gehört – schnell identifiziert und behoben. Die Schwachstelle bei der Erstellung versteckter Volumes zeigt jedoch, dass selbst bei diesem hohen Standard Fehler passieren können.

Die eigentliche Bedrohung für VeraCrypt kam 2026 jedoch nicht aus dem Code, sondern von einer Kontosperrung durch Microsoft. Dieser Vorfall ist eine eindringliche Mahnung: Die digitale Infrastruktur, auf die wir uns verlassen, hängt an seidenen Fäden. Die Abhängigkeit von einem einzigen Anbieter für die Treibersignatur ist ein systemisches Risiko, das dringend adressiert werden muss.

Für Nutzer bleibt VeraCrypt weiterhin die erste Wahl, wenn es um maximale Kontrolle und Sicherheit bei der Datenverschlüsselung geht. Die Entscheidung zwischen VeraCrypt und BitLocker ist und bleibt eine grundsätzliche: Bequemlichkeit und nahtlose Integration gegen maximale Transparenz und vollständige Kontrolle.

Quellen

1. SourceForge. (2025). VeraCrypt Files – Changes between 1.26.15 and 1.26.18. 
2. VeraCrypt. (o.D.). Release Notes. 
3. HEAL Security. (2026). Microsoft Suspends Developer Accounts of High-Profile Open-Source Projects. 
4. heise online. (2026). VeraCrypt und WireGuard: Trubel bezüglich Treibersignierung, Lösung in Sicht. 
5. SourceForge. (o.D.). VeraCrypt Roadmap. 
6. Gentoo Bugzilla. (2025). Bug 948834 – app-crypt/veracrypt-1.26.20 version bump. 
7. GitHub. (2026). Hidden volume quick format weakens plausible deniability (GHSA-jjcr-75w7-58jp). 
8. WinFuture. (2026). Windows-Sperre für VeraCrypt: Entwickler verliert Microsoft-Konto. 
9. VeraCrypt. (o.D.). Supported Operating Systems. 
10. NewReleases.io. (2025). VeraCrypt version 1.26.18. 
11. GitHub. (2026). Release VeraCrypt 1.26.29. 
12. BleepingComputer. (2026). Microsoft suspends dev accounts for high-profile open source projects. 
13. CYROS Warnapp. (2026). Microsoft sperrt Entwicklerkonten: VeraCrypt und WireGuard können keine Windows-Updates liefern. 
14. VeraCrypt. (o.D.). Supported Operating Systems. 
15. GitHub. (2026). Releases · veracrypt/VeraCrypt.