DefenderHardeningSuite (DHS) – ChangeLog ======================================== Neueste Version zuerst. Diese Liste fasst die für Anwender wesentlichen Änderungen zusammen; die ausführliche Entscheidungs- und Audit-Chronik liegt im Repository (DECISIONS.md, SECURITY_AUDIT.md). Stand dieser Datei: 20. August 2026 V37 --- Drei neue Reiter: Angriffsabwehr, Scans und Wartung Abwehr ist die dritte verhaltensblockierende Schutzfamilie neben ASR und dem Ueberwachten Ordnerzugriff. Der Brute-Force-Schutz riegelt ab, wer sich mit erzwungenen Anmeldeversuchen Zutritt verschaffen will; der Schutz vor Remote-Verschluesselung stoppt Ransomware, die ueber SMB von einem anderen Geraet aus verschluesselt. Beide bringen eine Aggressivitaets-Leiter, eine maximale Blockierdauer und je eine eigene Ausschlussliste mit - dort stehen IP-Adressen, Subnetze oder Rechnernamen, keine Pfade. Scans holt Defenders Zeitplaene an einen Ort: taeglicher Schnellscan, geplanter Scan mit Typ, Tag und Uhrzeit, der wenig bekannte Nachbehandlungs-Vollscan sowie die Schalter, die eine eingestellte Uhrzeit ehrlich einordnen - Nur im Leerlauf, Zufallsfenster und Nachholen je Scan-Art. Ein Nur-Lese-Block zeigt die letzten tatsaechlichen Scans. Wartung ergaenzt Aufbewahrungsfenster, Wiederherstellungspunkt vor der Bereinigung, den geplanten Signatur-Termin samt Nachhol-Intervall und die Update-Ringe. Ein Klick auf "Empfehlungen anwenden" setzt den gekennzeichneten byteland-Vorschlag als kompletten Satz mit gestaffeltem Tag: 09:00 Signaturen, 10:00 Schnellscan, 11:00 Nachbehandlung, 12:00 Freitag-Vollscan. Das Zufallsfenster bleibt bewusst bei einer Stunde, damit die Staffel die Streuung ueberlebt. Alle drei Reiter sind bewusst lokal. Kein Preset fasst sie an, in die Ampel der Uebersicht zaehlen sie nicht, und im Deploy-Skript reisen sie nur auf ausdruecklichen Wunsch mit (--scope). In Snapshots sind sie enthalten. Das Flotten-Skript oeffnet sich fuer diese drei Kategorien und ist zugleich enger gefasst: Es aendert niemals Berechtigungen oder Besitzverhaeltnisse, sein einziger Eingriff ins Dateisystem ist das eigene Protokoll an fester Stelle unter %ProgramData%, und -DryRun ist der einzige Parameter. Nummerierte Abschnitts-Banner und vier benannte Engine-Durchgaenge machen es von oben nach unten lesbar. Die Oberflaeche traegt ein einheitliches Kasten-Design: Jede Abschnitts-Ueberschrift sitzt als gerahmtes Etikett in der Rahmenlinie ihres Kastens, alle Rahmen in derselben Farbe, rundere Ecken und mehr Luft zwischen den Bloecken. Jede Tabelle misst ihre Spaltenbreiten aus dem eigenen Inhalt, sodass die Startansicht ohne waagerechten Balken auskommt; ein Doppelklick auf den Reiter stellt diese Breiten wieder her. Der Fenstertitel gruesst seither mit "harden easy, enjoy your coffee". Der Katalog waechst damit auf 69 Einstellungen, die Hilfe auf 142 Seiten in Deutsch und Englisch. V36 --- Die Ansicht ohne Gedaechtnis, der Kaffee-Link und klare Nutzungsbedingungen Die Ansicht wird nicht mehr gespeichert. Fenstergroesse, Spaltenbreiten und aktive Unter-Reiter sind aus der Konfiguration verschwunden; jeder Start oeffnet die Standard-Ansicht. Dafuer passt ein Doppelklick auf einen Reiter die Spalten der dortigen Tabelle an den Inhalt an - in Uebersicht, ASR, Verlauf und System-Info direkt, bei Ereignissen und Ausschluessen fuer den aktiven Unter-Reiter. "Ansicht zuruecksetzen" bleibt als Neustart-Angebot. Oben rechts sitzt jetzt "Buy me a coffee". Ein Klick oeffnet die PayPal-Seite im Browser - wie jeder Doku-Link, nur auf Klick. DHS selbst sendet nichts, es gibt keinen Nag-Screen und keinen Start-Dialog. Die Ueber-Seite stellt erstmals die Nutzungsbedingungen klar: unentgeltlich fuer private wie geschaeftliche Nutzung, auf beliebig vielen Rechnern. Sie traegt ausserdem den ersten ausdruecklichen Haftungsausschluss (Bereitstellung ohne Gewaehr, Nutzung in eigener Verantwortung, zwingende gesetzliche Haftung unberuehrt). Dieselben Bedingungen zeigt der Installer auf einer eigenen Lizenzseite: "Weiter" bleibt ausgegraut, bis der Zustimmungshaken gesetzt ist. Eine stille Installation per msiexec /qn ueberspringt wie bei jedem MSI die gesamte Oberflaeche. Ausserdem wurde "unbefristet" aus saemtlichen Programm- und Hilfetexten entfernt, und die Hilfe nennt jetzt alle sieben Presets. V35 --- Das Deploy-Skript ist ein 1:1-Abbild * Das erzeugte Flotten-Skript enthält die Werte der Referenzmaschine eins zu eins – nichts wird weggelassen, gedeckelt oder umgeschrieben. Was mit einem Wert geschehen darf, entscheidet sich erst beim Anwenden. * Beim Anwenden gilt unverändert: Ohne Zutun wird auf keinem Ziel eine Schutzfunktion abgesenkt. Absenken kann allein der Administrator, indem er es in der Skriptdatei ausdrücklich freischaltet. * Über den Manipulationsschutz geht das Skript grundsätzlich nicht hinweg. Die davon gedeckten Einstellungen werden nur angehoben, nie abgesenkt; dort ist ein Absenken bauartbedingt ausgeschlossen. * Zwei Betriebsparameter ohne Schutzrichtung – Prüfintervall und Updates über getaktete Verbindungen – werden exakt auf den Referenzwert gesetzt. Presets: eine Leiter aus plus, byteland und aggressive * Neu: „byteland-Empfehlung (Arbeitsplatz)" – die auf byteland.de veröffentlichte Empfehlung als anklickbares Preset. Wie „plus", zusätzlich Beispiel-Einsendung „alle Beispiele"; die Regeln 15 bis 18 stehen auf Warnen statt Beobachten, der Benutzer sieht den Eingriff als Dialog und kann einzeln freigeben. * „Aggressive" ist jetzt ausdrücklich ein Appliance-Profil für Kassen, Kioske und Terminals: Cloud-Nulltoleranz, Beispiel-Einsendung „alle Beispiele", Signatur-Prüfintervall 2 Stunden, ASR 1 bis 16 blockieren, Previews warnen. Auf einem normalen Arbeitsplatz erzeugt das Fehlalarm-Reibung. Zulässige Bedrohungen sichtbar machen * Neuer Unter-Tab im Ausschlüsse-Reiter. Ein Klick auf „Zulassen" im Schutzverlauf der Windows-Sicherheit erzeugt keinen Ausschluss, sondern schaltet die Erkennungssignatur selbst gerätweit stumm – unsichtbar für jede Ausschlussliste und für Get-MpPreference. * Die Tabelle nennt Bedrohungs-ID, Name, Schweregrad, die gespeicherte Standardaktion und den Zeitpunkt der Zulassung, soweit das Ereignis noch im Protokoll steht. Gelesen wird ohne Administratorrechte. * Bewusst reine Anzeige: DHS legt solche Einträge nie an und entfernt sie nicht – der Registry-Zweig lässt nur SYSTEM, den Defender-Dienst und den TrustedInstaller schreiben. Entfernt wird in der Windows-Sicherheit. V34 --- Sichern und Wiederherstellen * „Snapshot anwenden" stellt den gesicherten Stand exakt wieder her: Einstellungen, ASR-Modi und alle Listen – reguläre Ausschlüsse, CFA-Listen, regelspezifische ASR-Ausschlüsse – auch mit Entfernungen. Presets und Profile bleiben dagegen additiv und verstärken nur. * Entfernt wird nur, wenn beide Seiten vollständig bekannt sind: der Snapshot muss die Listen tragen, die aktuellen Listen müssen lesbar sein. Sonst sagt DHS das vorab und stellt allein die Werte her. Unbekannt gilt nie als leer. * Snapshots ohne Administratorrechte sind beim Anlegen und in der Auswahlliste als „ohne Listen" gekennzeichnet; das Profil-Menü führt fünf klar benannte Punkte. Notfall-Wiederherstellung * Neben den Snapshots liegen die Anleitung RECOVERY-README.txt und ein Hinweis auf den Ort des Wiederherstellungsskripts; beide werden bei jedem Start geprüft und bei Abweichung erneuert. Das Skript selbst bleibt im Programmordner, weil es Administratorrechte braucht. * Die Anleitung benennt, was vor einer Deinstallation zu sichern ist: Skript, Anleitung und ältester Snapshot. Die Deinstallation entfernt den Programmordner – die vorgenommene Härtung bleibt bestehen. * Das Skript läuft auch unter App Control/WDAC und Smart App Control im eingeschränkten Sprachmodus. Schutzsenkende Einträge eines Snapshots stehen unter eigener Warnung und verlangen eine gesonderte Bestätigung. Ehrliche Anzeige: „aus" ist nicht „nicht gelesen" * Werte, die nicht gelesen werden konnten, sind als solche gekennzeichnet und nicht bedienbar. Ein per Richtlinie *abgeschalteter* Schutz wird als rote Lücke ausgewiesen statt im gleichen ruhigen Ton als „verwaltet" abgehakt, und eine leere Ereignisliste nach einem Lesefehler wird ausdrücklich als solche benannt. * Die Übersicht prüft ihre Zeilen gegen den Live-Zustand von Defender und berücksichtigt die dokumentierten Abhängigkeiten der ASR-Regeln. * Nach jedem Anwenden liest DHS den Live-Zustand zurück – auch bei Listen-Aktionen; still verworfene Schreibvorgänge werden benannt. Katalog * Neu abgedeckt und damit lesbar, wiederherstellbar und exportierbar: Cloudschutzstufe „Moderat" sowie die Stufen „nur Datenträgeränderungen blockieren/überwachen" des Überwachten Ordnerzugriffs. * „Alle Beispiele senden" gilt als erfülltes Ziel. Ein ausdrückliches „Nie senden" wird flottenweit nie angehoben – Datenschutz bleibt eine Entscheidung des Administrators, keine Härtungslücke. * Der ASR-Katalog folgt der Microsoft-Dokumentation: Regeln ohne Warn-Modus bieten ihn nicht mehr an, und Regeln, die auf einer Rolle nichts bewirken, bleiben dort unkonfiguriert. Oberfläche * DHS bringt ein eigenes dunkles Erscheinungsbild mit; das Fenster sieht damit auf jeder Maschine gleich aus. * Hilfe → „Fehler melden…" öffnet das eigene E-Mail-Programm mit der Adresse dhs@byteland.de – ohne Anhang, ohne gesammelte Daten, ohne Versand durch DHS. * Der Ereignisse-Reiter aktualisiert sich beim Hineinwechseln selbst. Die Hilfe umfasst 96 Seiten in Deutsch und Englisch. Kommandozeile * Vollständig deutsch, einschließlich der Hilfetexte (dhs --lang de -h). * Dokumentierte Exit-Codes: 0 erfolgreich, 1 teilweise fehlgeschlagen, 2 nicht durchführbar, 3 angewandt aber wirkungslos, 4 Eingabefehler. * Neu: rollback --list, events --type, asr-exclude --remove, apply --json als ein maschinenlesbares Dokument sowie --force für Ausgabedateien. undo --apply zeigt vorab, was es tut, und fragt nach (--yes für Skripte). Flotten-Deploy-Skript * Vor dem Export benennt DHS den Inhalt: Ausschlüsse für hochwertige ASR-Regeln, generische Interpreter in der CFA-Erlaubt-Liste und Einträge, die an den Referenzrechner gebunden sind. Nichts davon wird verweigert – es soll nur niemand erst auf der Flotte davon erfahren. * Im Lauf wird ehrlich gezählt: Nicht Durchführbares erscheint als übersprungen mit Grund. Die Logdatei ist auf SYSTEM und Administratoren beschränkt und rotiert. Installation * Deutsche und englische MSI ersetzen einander statt zwei Einträge zu hinterlassen; die Downgrade-Sperre greift. * Die Startmenü-Verknüpfung heißt „DefenderHardeningSuite" ohne Versionsnummer – angeheftete Einträge überleben ein Update. * Der CLI-Ordner liegt auf dem Rechner-PATH: DefenderHardeningSuite-cli läuft in jeder neuen Konsole per Name. Windows 7/8 und Server 2012 werden mit klarer Meldung abgewiesen. V33 --- * Regelspezifische ASR-Ausschlüsse werden einheitlich verwaltet: DHS übernimmt die von Defender gespeicherte Schreibweise der Regel-GUID wortgetreu – beim Hinzufügen wie beim Entfernen, in allen Schreibwegen vom Ereignis-Kontextmenü über Presets, Lern-Assistent und Kommandozeile bis zum Deploy-Skript. * Pfadlisten einer Regel werden als einzelne Einträge gelesen und angezeigt. Ältere Exporte werden beim Laden automatisch in Einzeleinträge überführt. * Listen-Einträge werden nach dem Anwenden zurückgelesen: reguläre Ausschlüsse, CFA-Einträge und regelspezifische Ausschlüsse – fürs Hinzufügen wie fürs Entfernen. Weil Defender diese Listen vor einem nicht erhöhten Lesevorgang verbirgt, läuft die Nachprüfung nur bei nachweislich vertrauenswürdigem Lesen und schweigt sonst, statt zu raten. * Ein Eintrag, den DHS nicht entfernen kann, wird ausdrücklich benannt. * Eingabeprüfung für Erweiterungs- und IP-Ausschlüsse: Die Endung folgt der dokumentierten Form ohne Platzhalter, die Adresse muss eine echte IP-Adresse oder ein CIDR-Netz sein – umgeformt wird dabei nichts stillschweigend. Das Entfernen validiert bewusst nicht: Was in einer Liste steht, lässt sich auch wieder herausholen. * Die Auflösung der gespeicherten Schreibweise sitzt jetzt zentral im erhöhten Ausführungs-Broker – an dem einen Tor, durch das jeder Schreibvorgang führt, statt in jedem Aufrufer einzeln. Der Broker läuft immer erhöht und sieht die Listen deshalb immer. * Das erzeugte Deploy-Skript wurde Zeile für Zeile auditiert: Es läuft erhöht, unbeaufsichtigt und bei jedem Systemstart auf fremden Maschinen und wird deshalb nach demselben Maßstab geprüft wie der Programmcode. Bestätigt hat das Audit die Schutzlinien – ein Probelauf schreibt nachweislich nie, jeder Eintrag ist einzeln gegen Fehler isoliert, und nach dem Anwenden verifiziert sich das Skript selbst. * Das Flottenskript kommt jetzt ohne statische .NET-Aufrufe aus und arbeitet damit nach demselben Standard wie der Ausführungs-Broker: Cloudschutzstufe, PUA, Netzwerkschutz und der CFA-Modus werden auch im eingeschränkten Sprachmodus (WDAC, AppLocker) gesetzt. Ein Test hält das dauerhaft fest. V31 --- * Die Übersicht urteilt nach Wirksamkeit statt nach dem gesetzten Wert: OK heißt wirksam, nicht bloß gesetzt. Ein rotes Urteil "Unwirksam" weist aus, wenn eine dokumentierte Abhängigkeitskette nicht erfüllt ist – etwa Überwachter Ordnerzugriff, Netzwerkschutz, Verhaltensüberwachung oder Skript-Schutz ohne laufenden Echtzeitschutz, oder Cloudschutzstufe und Block At First Seen ohne MAPS. Das Urteil entsteht nur bei nachweislich gerissener Kette, nie nach einem fehlgeschlagenen Lesen. * CSV- und HTML-Berichte führen dieses Urteil als eigene Spalte samt Grund. * Netzwerkschutz beim Härten plattform-intelligent: Auf Clients wird wie bisher nur der Modus gesetzt; auf Servern setzt dieselbe Aktion in einer Transaktion alles mit, was die Plattform braucht – das dokumentierte Opt-in, auf Server 2016 zusätzlich das Down-Level-Opt-in. Jede Zusatzaktion ist im Bestätigungsdialog sichtbar. * Das Deploy-Skript ist für Clients gedacht; einen Windows Server härtet man direkt mit DHS, das dabei auch die Server-Opt-ins setzt. * Neue ausführliche Hilfeseite, die die GPO-Verteilung Schritt für Schritt beschreibt. * Alle sechs Presets definieren einen Pfad-Ausschluss für die installierte DHS-EXE (fester Program-Files-Pfad, nie der laufende Interpreter). Die Presets konfigurieren selbst Schutzfunktionen, die DHS blockieren können – "DHS sperrt sich nicht selbst aus" gilt damit konstruktiv. * Der Skript-Schutz trägt jetzt das Manipulationsschutz-Schloss: Ein Abschalt-Versuch wird bei aktivem Manipulationsschutz von Windows ignoriert, DHS weist ihn deshalb als geschützt aus. V30 --- * Drei neue, einzeln änderbare Einstellungen halten die lokalen Erkennungsdaten frisch: ein zusätzliches Prüfintervall für Signatur-Updates (empfohlen vier Stunden; 0 bedeutet keine zusätzliche Prüfung), das Aktualisieren der Signaturen vor einer geplanten Überprüfung, und das Zulassen von Updates über getaktete Verbindungen. * Diese drei gehören zur gemeinsamen Baseline – sie werden also von ALLEN Presets gesetzt und wandern in den Konfigurations-Export und ins Deploy-Skript. * Einordnung: Die lokalen Signaturen sind das Offline-Fundament. Die Lücke der ersten Stunden schließt weiterhin die Cloud – frische Signaturen sind kein Cloud-Ersatz, sondern der Boden, auf dem alles andere steht. * Neues sechstes Preset "Hardening plus, ASR/CFA Block": ASR-Regeln 1 bis 14 blockieren, CFA blockieren, Cloudschutzstufe Hoch plus – bewusst eine Stufe milder als "aggressive", das zusätzlich jede Nicht-Preview-Regel blockiert. * Ein Wert, der einen Schutz abschalten würde, wird beim Import und im Deploy-Skript weiterhin monoton verweigert. Das Notfall-Skript wurde entsprechend nachgezogen. * Übersicht aufgeräumt: zuerst die setzbaren Kategorien, dann die ASR-Lage unter eigener aufklappbarer Überschrift, zuletzt der schreibgeschützte Block – dieser startet eingeklappt, damit der Reiter ohne Scrollen sichtbar bleibt. V29 --- * Sehr große Konfigurationssätze (alle Einstellungen samt Ausschluss- und CFA-Listen) ließen sich in V28 nicht anwenden: Die Erhöhung scheiterte an der Windows-Kommandozeilen-Länge, noch bevor eine UAC-Abfrage erschien. * DHS teilt solche Änderungen jetzt in mehrere Blöcke auf, die einzeln erhöht ausgeführt werden – ganz ohne Skript auf der Festplatte (die Sicherheitsdoktrin bleibt unverändert). * Vor dem Anwenden weist DHS darauf hin, wie viele UAC-Bestätigungen kommen und warum. V28 --- * Vollständiger Konfigurations-Export: Ein exportiertes Profil umfasst jetzt ALLE übertragbaren Defender-Einstellungen – neben Settings und ASR-Regeln auch die regulären Ausschlüsse (Pfad, Prozess, Endung, IP), die Listen des Überwachten Ordnerzugriffs (erlaubte Apps, geschützte Ordner) und die regelspezifischen ASR-Ausschlüsse. * Weil Defender diese Listen nur mit Administratorrechten preisgibt, fordert DHS beim Export einmalig die Erhöhung an. Ohne Bestätigung unterbleibt der Export bewusst, statt unvollständig zu sein. * Ein so exportiertes Profil überträgt eine Referenzmaschine vollständig auf andere Rechner; das Zurücklesen fügt nur Fehlendes hinzu und entfernt nie etwas. * Presets neu geordnet: fünf klar benannte Kombinationen der Achsen ASR und CFA (Beobachten / Blockieren), inklusive der neuen Variante „ASR Audit, CFA Block". * Behoben: Große Presets ließen sich nach dem V27-Umbau zunächst nicht mehr anwenden, weil die interne Kommandozeile zu lang wurde (endgültig gelöst in V29). V27 --- * Anwenden auch in gehärteten Umgebungen: Der Erhöhungs-Broker wendet Änderungen jetzt auch im eingeschränkten Sprachmodus (Constrained Language Mode) an – also auf Rechnern mit WDAC / App Control, AppLocker oder Smart App Control. * Statt dynamischer Codeausführung verteilt der Broker jede Aktion über einen festen, geprüften Katalog aus Defender-Cmdlets; die fälschungssichere Ergebnisdatei wird ohne .NET-Objekte abgesichert. * Damit funktionieren Lesen UND Anwenden auf abgeschotteten Rechnern gleichermaßen. Die Sicherheitsgarantien bleiben unverändert. Frühere Versionen: siehe die ausführliche Chronik im Repository.