Was ist Kernel-Level-Anti-Cheat? Wie er funktioniert und warum

„Kernel-Level“ ist zum umstrittensten Begriff im PC-Gaming geworden. Jedes große kompetitive Spiel scheint inzwischen mit einem zu erscheinen, und jeder Launch bringt dieselben Fragen zu Datenschutz, Abstürzen und dazu, ob es überhaupt etwas bringt.

Was „Kernel-Level“ bedeutet

Windows führt Code auf zwei Hauptberechtigungsebenen aus.

Im User-Mode leben die gewöhnlichen Programme: dein Browser, Discord, das Spiel selbst. Jedes Programm wird in seinem eigenen Bereich gehalten und muss Windows um alles bitten, was außerhalb davon liegt.

Der Kernel-Mode ist der Kern des Betriebssystems. Hier laufen die Treiber für deine Grafikkarte, deine Laufwerke, dein Netzwerk und deine Tastatur, mit Zugriff auf den gesamten Speicher und die gesamte Hardware. Sicherheitsleute nennen ihn Ring 0, nach der Art, wie ältere Prozessoren ihre Berechtigungsstufen nummeriert haben.

Ein Kernel-Level-Anti-Cheat ist einer, der seinen eigenen Treiber installiert und einen Teil von sich im Kernel-Mode ausführt.

Warum Anti-Cheats in den Kernel gewandert sind

Die Cheats waren zuerst dort. Einen Cheat, der im User-Mode läuft, kann ein Anti-Cheat im User-Mode beobachten. Ein Cheat mit eigenem Kernel-Treiber konnte sich vor ihm verstecken, den Speicher des Spiels lesen, ohne Windows zu fragen, und dem Anti-Cheat die Sicht versperren. Etwas, das im Kernel läuft, kann man nur aus dem Kernel heraus beobachten.

Läuft der Anti-Cheat auf derselben Ebene, kann er:

• jeden Prozess und jeden geladenen Treiber im System sehen
• andere Programme daran hindern, den Speicher des Spiels zu öffnen
• den Code und Speicher des Spiels von einer Position aus prüfen, die Cheats nicht so leicht fälschen können
• prüfen, wie der PC gebootet hat und welche Sicherheitsfunktionen aktiv sind

Welche Anti-Cheats auf Kernel-Level laufen

Was das für deinen PC bedeutet

Boot- und Sicherheitseinstellungen

Kernel-Anti-Cheats interessieren sich immer mehr dafür, wie der PC gebootet hat. Voraussetzungen wie Secure Boot und TPM 2.0 gibt es, damit der Anti-Cheat darauf vertrauen kann, dass vor ihm nichts geladen wurde. Battlefield 6 startet nicht ohne Secure Boot, und FACEIT hat Ende 2025 TPM 2.0 und Secure Boot für alle Spieler zur Pflicht gemacht.

Treiber, neben denen er nicht läuft

Kernel-Anti-Cheats weigern sich häufig, neben Treibern mit bekannten Sicherheitslücken zu laufen, weil Cheats genau diese Treiber missbraucht haben, um in den Kernel zu kommen. Alte Tools für Lüftersteuerung, RGB und Übertaktung geraten dabei manchmal ins Raster.

Zwei Kernel-Anti-Cheats gleichzeitig

Manche Kernel-Anti-Cheats, vor allem solche, die beim Booten laden, können mit anderer Software kollidieren, die ebenfalls tiefen Systemzugriff will. Deshalb bitten dich die Guides zur Fehlerbehebung von Elocarry, Anti-Cheats, die beim Booten starten, wie Vanguard, FACEIT und ESEA zu deinstallieren, bevor du einen Build lädst.

Die Nachteile

Stabilität. Ein Absturz in einem Kernel-Treiber reißt Windows mit. Der CrowdStrike-Ausfall im Juli 2024, bei dem ein fehlerhaftes Sicherheitsupdate Millionen Windows-Rechner lahmlegte, war zwar kein Anti-Cheat, hat aber gezeigt, was ein schlechtes Update auf Kernel-Level anrichten kann.

Sicherheit. Ein Treiber mit vollem Zugriff ist ein Angriffsziel. Eine Lücke in einem Anti-Cheat-Treiber kann grundsätzlich von Malware ausgenutzt werden.

Datenschutz. Kernel-Zugriff bedeutet, dass der Anti-Cheat weit mehr sehen könnte als das Spiel. Die Hersteller sagen, dass sie nur nach dem suchen, was fürs Cheaten relevant ist, und das ist Vertrauenssache.

Kompatibilität. Kernel-Anti-Cheats sind der Grund, warum manche Spiele sich weigern, in virtuellen Maschinen zu laufen, bei geöffneten Debugging-Tools oder unter Windows mit abgeschalteter Treibersignierung. Hinter jedem davon könnte sich ein Cheat verstecken.

Wirksamkeit. Kernel-Zugriff legt die Latte höher, beendet das Cheaten aber nicht. Die offene Beta von Battlefield 6 hatte trotz des Kernel-Treibers von Javelin und der Secure-Boot-Pflicht jede Menge Cheater. Serverstatistiken, Reports und Replays erledigen immer noch einen Großteil der Arbeit, wie im Artikel darüber beschrieben, wie Anti-Cheat Cheats erkennt.

Was das für Cheats bedeutet

Gegen einen Kernel-Anti-Cheat muss sich ein Cheat vor etwas verstecken, das dieselben Zugriffsrechte hat, und an den Details davon entscheidet sich, ob ein Build funktioniert oder scheitert. Das ist auch der Grund, warum kein ehrlicher Cheat-Anbieter irgendetwas garantiert. Unsere Builds sind für den Anti-Cheat geschrieben, den das jeweilige Spiel nutzt, werden bei seinen Updates neu gebaut und pausiert, sobald irgendetwas seltsam aussieht, und der Live-Status ist immer öffentlich.