Antivirus

Die Richtlinien-Konfiguration Antivirus verwaltet Microsoft Defender Antivirus, den in Windows integrierten Virenschutz. Festgelegt werden geplante Scans und Signaturupdates, die Dateitypen und Ausschlüsse für Scans, die Schutzfunktionen des Defenders, die Standardaktionen für erkannte Bedrohungen sowie die Regeln zur Verringerung der Angriffsfläche (ASR). Das Portal verwendet in vielen Feldbezeichnungen noch den früheren Produktnamen „Windows Defender“.

Details zu den einzelnen Einstellungen beschreibt Microsoft in der Dokumentation zum Policy CSP – Defender →.

Voraussetzungen #

• Windows 10 ab Version 1703 in den Editionen Home, Pro, Enterprise und Education sowie Windows 11.
• Je Richtlinie ist eine Antivirus-Konfiguration möglich.
• Einzelne Felder tragen im Portal Versions-Badges. Geräte mit älterer Windows-Version erhalten diese Werte nicht, Relution lässt sie bei der Übertragung weg:
  • ab Windows 10 Version 1709: Cloud-Schutzstufe und Cloud-Zeitüberschreitung, kontrollierter Ordnerzugriff, Netzwerkschutz sowie alle Einstellungen zur Verringerung der Angriffsfläche,
  • nur Enterprise und Education ab Version 1709: Scans werden nur ausgeführt wenn das Gerät eingeschaltet ist, aber nicht verwendet wird und Erlaubt die Randomisierung der geplanten Startzeit des Scans.
• Laut Microsoft greifen die Einstellungen nur, solange Microsoft Defender Antivirus der aktive Virenschutz des Geräts ist. Ist ein Virenschutz eines anderen Herstellers installiert, schaltet Windows den Defender in der Regel in einen passiven oder deaktivierten Modus.

Scaneinstellungen #

Der Abschnitt Scaneinstellungen legt den geplanten Scan und die Aktualisierung der Signaturen fest.

• Scan Typ, der auf dem Gerät ausgeführt wird: Schnellscan (Standard) oder Vollständiger Scan für den geplanten Scan.
• Uhrzeit, wann der Scan ausgeführt werden soll: Startzeit des geplanten Scans (Standard: 02:00 Uhr). Übertragen wird die Uhrzeit als Minuten nach Mitternacht; zulässig sind Werte bis 23:00 Uhr.
• Wochentag, an dem der Scan ausgeführt werden soll: Täglich (Standard), ein einzelner Wochentag von Montag bis Sonntag oder Nie. Mit Nie findet kein geplanter Scan statt.
• Scans werden nur ausgeführt wenn das Gerät eingeschaltet ist, aber nicht verwendet wird (Standard: aktiviert; nur Enterprise und Education ab Version 1709).
• Erlaubt die Randomisierung der geplanten Startzeit des Scans (Standard: aktiviert; nur Enterprise und Education ab Version 1709): Windows verschiebt den Start des geplanten Scans zufällig, damit nicht alle Geräte gleichzeitig scannen.
• Regelmäßig nach neuen Signaturen prüfen (Standard: aktiviert): Nur bei aktivem Schalter ist das eingerückte Feld Gibt den Interval (in Stunden) an, wie häufig die Signaturen überprüft werden bearbeitbar (1 bis 24 Stunden, Standard: 8). Ist der Schalter deaktiviert, wird das Intervall 0 übertragen; laut Microsoft entfällt damit die zeitgesteuerte Prüfung.
• Deaktiviert Nachholscans für geplante vollständige Scans (Standard: aktiviert) und Deaktiviert Nachholscans für geplante Schnellscans (Standard: aktiviert): Ein Nachholscan holt einen geplanten Scan nach, der verpasst wurde, etwa weil das Gerät ausgeschaltet war.
• Aktiviert niedrige CPU-Priorität für geplante Scans (Standard: deaktiviert).
• Bevor ein Scan ausgeführt wird, sollte nach neuen Viren- und Spywaredefinitionen geprüft werden (Standard: deaktiviert).
• Signatur-Aktualisierungsquellen die kontaktiert werden sollen: Mehrfachauswahl aus Interner Signatur-Updateserver, Microsoft Update Server, MMPC und Dateifreigabe. Die gewählten Quellen erscheinen darunter in einer Liste; ihre Reihenfolge wird per Ziehen oder über die Pfeilschaltflächen festgelegt und bestimmt, in welcher Reihenfolge der Defender die Quellen anfragt. Ohne Auswahl bleibt die Windows-Voreinstellung bestehen.
• UNC-Dateifreigabequellen zum Herunterladen von Signatur-Updates: Liste von UNC-Pfaden (z. B. \\fileserver\defender-updates), die bei der Quelle Dateifreigabe verwendet werden.

Im Scan beinhaltete Dateitypen #

Der Abschnitt Im Scan beinhaltete Dateitypen legt fest, welche Inhalte der Defender prüft.

• Erlaubt das Scannen von Archiven (Standard: aktiviert), etwa ZIP- oder CAB-Dateien.
• Erlaubt das Scannen von Netzdateien (Standard: aktiviert).
• Erlaubt das Scannen von Wechseldatenträgern (Standard: aktiviert): USB-Sticks und andere Wechseldatenträger werden in vollständige Scans einbezogen.
• Erlaubt das Scannen von E-Mails (Standard: deaktiviert).
• Erlaubt das Scannen von zugeordneten Netwerklaufwerken (Standard: deaktiviert): verbundene Netzlaufwerke werden in vollständige Scans einbezogen.
• Dateingruppen, die überwacht werden sollten: Richtung der Echtzeitüberwachung – Alle Dateien (Standard), Alle eingehenden Datein sollen überwacht werden oder Alle ausgehenden Datein sollen überwacht werden.

Vom Scan ausgeschlossene Dateitypen #

Im Abschnitt Vom Scan ausgeschlossene Dateitypen werden Ausnahmen als Listen gepflegt. Jeder Eintrag wird einzeln hinzugefügt.

• Verzeichnispfade, die während dem Scan ignoriert werden: Ordner oder Dateien, z. B. C:\Daten\Build\.
• Dateitypen, die während dem Scan ignoriert werden: Dateiendungen, z. B. log.
• Prozesse, die während dem Scan ignoriert werden: Dateien, die von diesen Prozessen geöffnet werden, werden nicht gescannt, z. B. C:\Programme\Beispiel\app.exe.

Das Portal prüft die Einträge nicht auf ein gültiges Format. Der Hinweistext am Feld zeigt einen Beispielpfad mit Schrägstrichen (/Users/user/Documents/); Windows erwartet Pfade in der Windows-Schreibweise mit Laufwerksbuchstabe und Backslash.

Erweiterte Einstellungen #

Der Abschnitt Erweiterte Einstellungen enthält die Schutzfunktionen des Defenders.

• Erlaubt Windows Defender Echtzeitüberwachung (Standard: aktiviert).
• Erlaubt Windows Defender Verhaltensüberwachung (Standard: aktiviert).
• Erlaubt Microsoft Defender Antivirus Clouddienst (Standard: aktiviert): Cloudbasierter Schutz, bei dem unbekannte Dateien mit dem Clouddienst von Microsoft abgeglichen werden.
• Spezifiziert das Level an Schutz durch den Microsoft Defender Antivirus Clouddienst (ab Version 1709):
  • Standardmäßige Windows Defender-Sperrstufe (Standard)
  • Alle unbekannte ausführbare Dateien werden blockiert
  • Blockieren von Unbekannten und Optimierung der Clientleistung
  • Blockieren von Unbekannten und Anwendung von zusätzlichen Schutzmaßnamen
• Gibt an wie lange die Dateien in der Cloud geblockt und gescannt werden (ab Version 1709): 10 bis 60 Sekunden in Schritten von 10 Sekunden (Standard: 10 Sekunden). Übertragen wird die Verlängerung über die üblichen 10 Sekunden hinaus.
• Überprüft die Zustimmungsebene des Benutzer in Windows Defender, um Daten zu senden: legt fest, ob verdächtige Dateien als Beispieldaten an Microsoft gesendet werden.
  • Benutzter immer zur Eingabe auffordern
  • Sichere Beispieldaten automatisch senden (Standard)
  • Alle Beispieldaten automatisch senden
  • Nie senden
• Erlaubt Windows Defender IOAV Protection (Standard: aktiviert): Prüfung heruntergeladener Dateien und Anhänge.
• Erlaubt Windows Defender Intrusion Prevention (Standard: aktiviert).
• Erlaubt dem Benutzer auf die Windows Defender Benutzeroberfläche zuzugreifen (Standard: aktiviert).
• Erlaubt Windows Defender On Access Protection (Standard: aktiviert): Prüfung von Dateien beim Zugriff.
• Stellt den durchschnittlichen CPU-Lastfaktor für den Windows Defender-Scan dar: maximale durchschnittliche CPU-Auslastung während eines Scans, 0 bis 100 % (Standard: 50 %).
• Erlaubt das scannen von Skripten (Standard: aktiviert).
• Aktiviert den kontrollierten Ordnerzugriff (ab Version 1709): Deaktiviert (Standard), Aktiviert oder Überwachungsmodus. Der kontrollierte Ordnerzugriff schützt Ordner vor Änderungen durch nicht vertrauenswürdige Anwendungen, etwa durch Ransomware; im Überwachungsmodus werden Zugriffe nur protokolliert.
• Erlaubt Anwendungen Inhalte von Ordnern, die durch den kontrollierten Ordnerzugriff geschützt sind, zu ändern (ab Version 1709): Liste von Programmpfaden, die geschützte Ordner trotzdem ändern dürfen.
• Ordner, die durch den kontrollierten Ordnerzugriff geschützt sind (ab Version 1709): Liste zusätzlicher Ordner, die über die von Windows vorgegebenen hinaus geschützt werden.
• Spezifiziert das Level an Schutz gegen potenziell unerwünschte Anwendungen (PUAs): Deaktiviert (Standard), Aktiviert oder Überwachungsmodus.
• Aktiviert den Netzwerkschutz (ab Version 1709): Deaktiviert (Standard), Aktiviert oder Überwachungsmodus. Der Netzwerkschutz verhindert laut Microsoft Verbindungen zu Adressen mit geringer Reputation.

Bedrohungs-Management #

Im Abschnitt Bedrohungs-Management wird für jeden Schweregrad die Standardaktion festgelegt, die der Defender bei einer erkannten Bedrohung ausführt:

• Bedrohungen mit geringem Schweregrad
• Bedrohungen mit moderatem Schweregrad
• Bedrohungen mit hohem Schweregrad
• Schwerwiegende Bedrohungen

Zur Auswahl stehen jeweils Nicht konfiguriert (Standard), Versucht die Dateien wiederherzustellen und zu desinfizieren, Verschiebt Dateien in die Quarantäne, Entfernt Dateien aus dem System, Erlaubt Dateien, Benutzer muss eine Entscheidung treffen und Blockiert die Dateiausführung. Bei Nicht konfiguriert überträgt Relution für diesen Schweregrad keine Aktion; es gilt das Standardverhalten von Windows.

• Quarantäneelemente nach einer festgelegten Zeit löschen (Standard: deaktiviert): Nur bei aktivem Schalter ist das eingerückte Feld Zeitraum (in Tagen), in dem Quarantäneelemente auf dem System gespeichert werden bearbeitbar (1 bis 90 Tage, Standard: 1). Ist der Schalter deaktiviert, wird 0 übertragen; laut Microsoft bleiben Quarantäneelemente dann unbegrenzt erhalten.

Regeln zur Verringerung der Angriffsfläche #

Regeln zur Verringerung der Angriffsfläche (Attack Surface Reduction, ASR) unterbinden typische Verhaltensweisen von Schadsoftware, etwa das Starten von Prozessen aus Office-Anwendungen. Alle Einstellungen dieses Abschnitts setzen Windows 10 ab Version 1709 voraus.

• Deaktiviert Regeln zur Verringerung der Angriffsfläche (ASR) für spezifizierte Dateipfade: Liste von Dateien und Ordnern, die von allen ASR-Regeln ausgenommen sind.

Die Regeln selbst stehen in einer Liste mit den Spalten ASR Regel und Status. Über Hinzufügen öffnet sich der Dialog Regel zur Verringerung der Angriffsfläche mit den Feldern ASR Regel (Pflichtfeld) und Status:

• Deaktivieren der ASR-Regel (Standard): Die Regel ist ausgeschaltet.
• Aktivieren der ASR-Regel: Die Regel blockiert.
• Bewerten, wie sich die ASR-Regel auf Ihre Organisation auswirken würde, wenn sie aktiviert ist: Überwachungsmodus, Ereignisse werden nur protokolliert.
• Aktivieren der ASR-Regel, aber Zulassen, dass der Endbenutzer den Block umgeht: Warnmodus.

Eine bestehende Regel lässt sich nicht bearbeiten. Für einen anderen Status wird die Regel markiert, über Löschen entfernt und neu hinzugefügt. Das Portal verhindert nicht, dass dieselbe Regel mehrfach in der Liste steht; jede Regel sollte nur einmal eingetragen sein.

Folgende Regeln stehen im Feld ASR Regel zur Auswahl, in der Reihenfolge des Portals:

Die Regel Persistenz durch WMI-Ereignisabonnement blockieren überträgt Relution nur an Geräte ab Windows 10 Version 1903.

Übertragung auf das Gerät #

Relution überträgt die Einstellungen über den Policy CSP Defender unter ./Vendor/MSFT/Policy/Config/Defender/. Dabei werden alle Schalter und Auswahlfelder des Formulars gesetzt, auch wenn sie auf dem Standardwert stehen. Ausgenommen sind:

• leere Listen: Sie werden nicht übertragen; war zuvor ein Wert gesetzt, wird er vom Gerät entfernt,
• Standardaktionen im Bedrohungs-Management mit Nicht konfiguriert,
• Felder, die die Windows-Version oder -Edition des Geräts nicht unterstützt (siehe Voraussetzungen →).

Listen werden als ein Wert mit | als Trennzeichen übertragen, die Standardaktionen als Schweregrad=Aktion (z. B. 4=2|5=3) und die ASR-Regeln als GUID=Status.

Den Zustand des Defenders zeigen die Gerätedetails in der Karte Sicherheit, sofern der Defender-Dienst auf dem Gerät läuft, unter anderem Windows Defender ist aktiviert, Echtzeitschutz ist aktiviert, Windows Defender Signatur ist veraltet und Uhrzeit des letzten Schnellscans. Ein Scan außerhalb des Zeitplans lässt sich über die Geräteaktion Gerät Scannen auslösen.

Verwandte Themen #

• Verfügbare Aktionen → — u. a. die Aktion Gerät Scannen für einen Defender-Scan auf Abruf.
• Windows Firewall → — Firewall-Profile und -Regeln für Windows-Geräte.
• App-Kontrolle → — Anwendungssteuerung mit WDAC-Richtlinien.
• Benutzerdefinierte CSP → — Defender-Einstellungen, die die Konfiguration nicht abdeckt.
• Einschränkungen der Windows Home Edition → — Richtlinien und Aktionen auf Windows Home.