Defender kann mehr, als Windows zeigt

Worum es geht

Defender kann mehr, als Windows zeigt

In jedem Windows steckt ein Virenschutz, der in unabhängigen Tests seit Jahren die Bestnote holt – und ab Werk mit angezogener Handbremse fährt. Seine stärksten Regeln gegen Makro-Malware, Passwort-Diebstahl, Ransomware und Rückrufe zum Angreifer sind abgeschaltet – und in keiner Windows-Oberfläche zu finden. Die DefenderHardeningSuite löst die Handbremse: Schalter sichtbar machen, in Minuten setzen – und dafür sorgen, dass am Montag trotzdem noch alle arbeiten können. Kostenlos, signiert, Download am Ende.

Das Problem

Warum das trotzdem keiner scharf schaltet

Wenn die Handbremse so leicht zu lösen wäre, hätte es längst jeder getan. Ist sie aber nicht. Die Windows-Sicherheits-App zeigt Grundschalter; alles Wirksame darüber hinaus – 19 ASR-Regeln (Attack Surface Reduction, Microsofts Angriffsflächen-Reduzierung), Cloud-Block-Level, Network Protection, die Feinsteuerung des Überwachten Ordnerzugriffs – existiert nur als PowerShell-Cmdlet. Und so endet Härtung in der Praxis im Skript-Friedhof.

Sie kennen den Ordner. Er heißt Scripts oder tools oder einfach neu, und darin liegen harden.ps1, harden_v2.ps1, harden_v2_FINAL.ps1 und – mit etwas Pech – harden_v2_FINAL_wirklich.ps1. Niemand weiß mehr, welches davon auf welcher Maschine gelaufen ist. Und was es dort genau gestellt hat, weiß erst recht keiner.

Und das eigentliche Problem kommt nach dem Einschalten

Härtung scheitert selten am Härten. Sie scheitert am Tag danach:

• Eine ASR-Regel blockt ein legitimes Administrationswerkzeug.
• Defender stuft Ihre frisch kompilierte EXE als Bedrohung ein – willkommen im Club.
• Der Überwachte Ordnerzugriff verhindert, dass Ihr Build-Skript in den eigenen Projektordner schreiben darf.

Und jetzt? Ereignisanzeige öffnen. Das richtige Log finden. Die Regel-GUID heraussuchen. Den Pfad aus dem Ereignis extrahieren. Den passenden Add-MpPreference-Aufruf bauen – mit korrektem Quoting, versteht sich. Pro Vorfall. Nach dem dritten Mal schaltet der Mensch die Regel einfach ab. Und genau so stirbt Härtung: nicht mit einem Knall, sondern mit einem Achselzucken.

Unsere Haltung

Warum überhaupt Defender?

Weil wir aus Erfahrung Fans des Virenschutzes vom Hersteller des Betriebssystems sind. Das ist keine Bequemlichkeit, sondern eine Rechnung mit drei Posten: Defender ist messbar gut – in den unabhängigen Dauertests seit Jahren im Spitzenfeld der Kaufprodukte. Er ist schon da – kein zusätzlicher Treiber tief im Windows-Kern, der alles mitreißen kann, wenn er fällt. Und er ist bereits bezahlt: kein Abo, keine Zusatzkonsole, kein weiterer Anbieter, der Ihre Telemetrie sehen will.

Die Pointe für diesen Artikel: Der beste Virenschutz ist der, den Sie schon haben – vorausgesetzt, er ist richtig eingestellt. Und genau das ist er fast nirgends. Denn die Werkseinstellung von Defender ist ein Kompromiss für eine Milliarde sehr unterschiedliche Rechner. Ihrer ist keiner davon. Ihrer ist Ihrer.

Der Nutzen

Was Sie einschalten – und was es abwehrt

Das hier ist kein Feature-Bingo. Jede dieser Regeln schließt einen Weg, den echte Angriffe tatsächlich gehen – und jede ist ab Werk aus.

Zur Einordnung: Die lokalen Erkennungsdaten sind das Offline-Fundament – sie greifen auch ohne Internet. Die Lücke der ersten Stunden schließt trotzdem die Cloud. Frische Signaturen sind also kein Cloud-Ersatz, sondern der Boden, auf dem alles andere steht. Wer allein auf sie setzt, hat einen sehr gewissenhaften Türsteher – mit der Gästeliste von gestern.

Lesen Sie die rechte Spalte noch einmal. Das ist keine Politur – das sind die Wege, auf denen echte Vorfälle laufen: Makro, Nachladen, Anmeldedaten abgreifen, Treiber missbrauchen, verschlüsseln, nach Hause telefonieren. Wer diese Regeln scharf schaltet, nimmt einem Angriff nicht eine Möglichkeit, sondern fast seinen ganzen Werkzeugkasten.

Das Kernstück

Die Annäherung: erst zusehen, dann zuschlagen

Wer sofort blockt, ohne hinzusehen, hat am nächsten Morgen die Buchhaltung am Telefon. Deshalb ist der richtige Weg immer derselbe: erst beobachten, dann blocken. Das Einstiegsprofil „Hardening, ASR/CFA Audit“ schaltet die scharfen Basis-Schutzschichten sofort ein, lässt die ASR-Regeln aber zunächst nur mitlaufen: Sie melden, was sie blockieren würden, ohne den Betrieb anzuhalten. So sehen Sie eine Woche lang, was in Ihrem Alltag tatsächlich anschlüge.

Der Rechtsklick auf das Problem

Ein Dienstag, 9:40 Uhr. Die neue Praxissoftware läuft – aber sie kann ihre Dateien nicht mehr im Dokumente-Ordner speichern. „Zugriff verweigert“, sonst nichts. Kein Absturz, keine Viruswarnung. Früher hieße das jetzt Ereignisanzeige durchwühlen, das richtige Log finden, herausfinden, dass der Überwachte Ordnerzugriff dazwischenfunkt, einen Add-MpPreference-Befehl für die Erlaubnisliste basteln, Daumen drücken. Zwanzig Minuten, wenn man Glück hat.

Mit der Suite sind es drei Klicks: Reiter Ereignisse öffnen – da steht der blockierte Zugriff, mit Uhrzeit, Programm und geschütztem Ziel. Rechtsklick auf die Zeile → „Diese App zulassen“. Ein Dialog zeigt den exakten Befehl, der gleich liefe. Bestätigen. Die Praxissoftware speichert wieder – und jeder andere Ordnerschutz bleibt scharf. Kein Skript, kein Google, kein Achselzucken.

Das ist das Kernstück: Die Suite liest die Defender-Ereignisse und legt sie in eine Liste, damit Sie sehen, was geblockt wurde, bevor sich jemand beschwert – und der Rechtsklick macht daraus die passende Ausnahme. Nicht irgendeine. Die passende.

Am kniffligsten sind die ASR-Regeln – und da zeigt sich, wo die Sorgfalt sitzt. Die regelspezifische Ausnahme läuft über die echten, dokumentierten Add-MpPreference-Parameter AttackSurfaceReductionRules_RuleSpecificExclusions_Id (die Regel-GUID) und …RuleSpecificExclusions (der Pfad). Beide sind im Produkt vorhanden, in Microsofts Cmdlet-Referenz aber bis heute nicht dokumentiert – offiziell beschrieben ist der Weg nur für Gruppenrichtlinie, Intune und Portal. Genau deshalb fragt die Suite zur Laufzeit per (Get-Command Add-MpPreference).Parameters nach – und setzt die Ausnahme nur dann regelspezifisch, gültig für die eine auslösende Regel. Fehlt der Parameter, weicht sie auf eine globale ASR-Ausnahme aus – und sagt im Bestätigungsdialog offen, dass die den Schutz aller ASR-Regeln lockert. Kein Registry-Trick, keine undokumentierte Schnittstelle: nur, was Microsoft selbst anbietet. Das ist gelegentlich der unbequemere Weg – aber der einzige, der auch nach dem nächsten Windows-Update noch da ist.

Dazu zwei Ebenen Schutz vor dem eigenen Fuß: Der Menüpunkt ist überhaupt nur aktiv, wenn ein konkretes Ziel existiert – und der Dialog zeigt immer den exakten Befehl, der gleich liefe.

Vorausschauend statt hinterher: der Lern-Assistent

Der Rechtsklick löst Vorfälle auf, nachdem sie passiert sind. Der Lern-Assistent dreht das um: Er schaltet die gewählten Schutzbereiche für 24 Stunden, 3 oder 7 Tage in den Beobachtungsmodus, sammelt alles, was Defender blockieren würde, und legt am Ende geprüfte Vorschläge vor – ideal, um ein frisch installiertes Programm unter voller Härtung einzuführen, ohne vorher zu raten. Ein Satz trägt dabei das ganze Sicherheitsmodell: Der Assistent wendet nie selbst etwas an – jede Ausnahme läuft durch denselben bestätigten Diff wie jede andere Änderung.

Und weil während der Lernphase auch Schadsoftware mitlaufen könnte, bekommt jeder Vorschlag eine Risiko-Stufe aus Signaturprüfung und Pfad-Vertrauen – vorausgewählt ist nur, was wirklich harmlos aussieht:

Und selbst „gering“ hat eine Grenze – eine gründliche: Bei 17 der 19 ASR-Regeln wird nie etwas vorausgewählt, auch bei gültiger Signatur nicht. Vorausgewählt wird nur dort, wo ein Ausschluss nachweislich harmlos ist – beim USB-Pfad der Wechseldatenträger-Regel und bei der Safe-Mode-Vorschauregel. Die Beweislast ist damit umgekehrt: nicht „vorauswählen, außer es ist gefährlich“, sondern „nur vorauswählen, wo es belegt unbedenklich ist“. Denn gerade die hochwertigen Regeln – Office-Kindprozesse, LSASS, WMI, PsExec, verschleierte Skripte – schützen davor, dass signierte, legitime Software missbraucht wird; hier soll ein Mensch zustimmen, kein Haken von allein sitzen. Und dass eine verschwundene Datei als „hoch“ gilt, hat ebenfalls einen Grund: Eine Binärdatei, die sich nach getaner Arbeit selbst löscht, tat das selten aus Bescheidenheit.

Der gefährlichste Ausschluss ist der, den niemand sieht

Ein realer Vorfall auf einem Produktivserver hat einen Blindfleck aufgedeckt, den praktisch jedes Audit-Werkzeug teilt. Wer im Schutzverlauf der Windows-Sicherheit bei einer Erkennung auf „Zulassen“ klickt, erzeugt nämlich keinen Ausschluss – er schaltet die Erkennungssignatur selbst stumm: geräteweit, für jedes Programm. Der Eintrag steht in keiner Ausschlussliste – er lebt in einer eigenen Einstellung namens ThreatIDDefaultAction_Ids, in die niemand sieht, der Ausschlüsse prüft. Ein Klick, den man in zwei Sekunden macht und in zwei Jahren nicht wiederfindet.

Seit V35 zeigt der Ausschlüsse-Reiter deshalb den Unter-Tab „Zulässige Bedrohungen“ mit Bedrohungs-ID, Name, Schweregrad und – solange das Ereignis noch im Protokoll steht – dem Zeitpunkt der Zulassung. Bewusst als reine Anzeige: DHS legt solche Einträge nie an und entfernt sie auch nicht, denn der Registry-Zweig lässt selbst Administratoren nur lesen. Entfernt wird dort, wo der Eintrag entstand – in der Windows-Sicherheit unter Schutzverlauf. Und auch hier gilt die Hausregel: Ein fehlgeschlagener Lesevorgang wird als solcher angezeigt, nie als beruhigendes „nichts zugelassen“.

So gehen Sie vor

Schritt für Schritt zum gehärteten Rechner

Die ganze Theorie von oben, kondensiert in einen Fahrplan: an einem Nachmittag gestartet, nach einer Woche fertig.

1. Das Audit-Profil anwenden. Das Preset „Hardening, ASR/CFA Audit“ wählen: Es stellt die ASR-Regeln und den Überwachten Ordnerzugriff auf Beobachten – und schaltet den Rest sofort scharf: alle Scanflächen, Cloud-Schutz auf hoher Blockstufe, Network Protection, PUA-Schutz. Ein Diff, eine UAC, fertig. Ihr Rechner ist ab diesem Moment besser geschützt als ab Werk – und noch blockt nichts, was Ihren Alltag stören könnte. Guter Zeitpunkt dafür: ein Nachmittag ohne Termine. Weniger guter: Freitag, 16:45 Uhr.
2. Eine Woche lernen lassen. Den Lern-Assistenten starten – im einfachsten Fall mit 7 Tagen – und einfach normal arbeiten. Defender protokolliert im Hintergrund, was er blockieren würde; Ihr Alltag läuft ungebremst weiter. Die anspruchsvollste Aufgabe dieser Woche: nichts tun.
3. Auswerten und scharf schalten. Nach der Woche legt der Assistent die Vorschläge vor: die berechtigten zulassen, dann die gelernten Bereiche auf Block heben (nur die Vorschau-Regeln bleiben klugerweise im Beobachten). Noch eine Runde lernen? Können Sie – nötig ist es selten: Ab jetzt landet jeder künftige Block im Reiter „Ereignisse“ – die Liste wird beim Wechsel auf den Reiter neu gelesen – und wird per Rechtsklick zur passenden Ausnahme. Dafür ist der Regelkreis da.

Unter der Haube

Wie es gebaut ist – die Philosophie

Ein Werkzeug, das mit Adminrechten an der Sicherheitskonfiguration dreht, ist selbst ein lohnendes Ziel – wer es übernimmt, muss nichts mehr knacken, der darf einfach. Die folgenden Prinzipien sind deshalb keine Absichtserklärungen, sondern im Code erzwungen.

Keine direkten Griffe in die Defender-Policy-Registry

Gehärtet wird ausschließlich über die dokumentierten Microsoft-Cmdlets Set-MpPreference, Add-MpPreference, Remove-MpPreference – nie mit einem direkten Schreibzugriff auf Defenders Richtlinien-Schlüssel. Klar: Diese Cmdlets legen ihre Werte am Ende in der Registry ab – aber über Microsofts eigene, geprüfte Schnittstelle, nicht hinter Defenders Rücken. Genau deshalb ist die Zusage „wir überschreiben niemals eine per Gruppenrichtlinie oder Intune verwaltete Einstellung“ überhaupt haltbar.

Eine UAC pro Transaktion – und kein Skript auf der Platte

Die gesamte Aktionsliste geht als -EncodedCommand an PowerShell; es wird keine temporäre .ps1 geschrieben. Klingt nach Detail, ist aber ein real ausnutzbarer Befund:

Läuft auch unter strenger App-Control (Constrained Language Mode)

Sobald WDAC/App Control, AppLocker oder Smart App Control greifen, zwingt Windows PowerShell in den Constrained Language Mode – dynamische Codeerzeugung ist dann gesperrt, und viele Werkzeuge scheitern hier komplett. DHS nicht: Der Broker schöpft ausschließlich aus einem festen Katalog wörtlich hinterlegter Defender-Cmdlets, bildet Objekte über [ordered] und sperrt die fälschungssichere Ergebnisdatei mit icacls statt über .NET. Nichts davon ist unter CLM verboten – Lesen und Anwenden funktionieren gleichermaßen. Und weil Smart App Control das auch auf neuen Windows-11-Rechnern auslöst, ist das kein reiner Enterprise-Fall.

Es sperrt sich nicht einmal selbst aus

Ein scharf gestellter Defender misstraut allem, was neu und selten ist – und ein Härtungswerkzeug ist beim ersten Start genau das. Wäre es erst geblockt, käme man nur noch von Hand heraus, in einer erhöhten PowerShell. Also genau dort, wo man nie wieder hinwollte. Deshalb stellt die Suite der Härtung drei eng begrenzte Ausnahmen für genau ihre eigene Programmdatei voran – sichtbar im Diff, protokolliert, umkehrbar. Zur bequemen Abkürzung greift sie dabei bewusst nicht: powershell.exe wird niemals ausgeschlossen (darüber läuft der halbe Werkzeugkasten eines Angreifers), und die Ausnahme gilt genau einer Datei – nicht ihrem Ordner, nicht einer Endung. Ehrlich bleibt: Jede Ausnahme ist ein Blindfleck. Dieser hier ist so schmal wie möglich und liegt in Program Files, wo ohne Adminrechte ohnehin niemand hineinschreibt.

Der Manipulationsschutz bleibt heilig

Tamper Protection ist Defenders Selbstschutz. Einen Schalter, der ihn umlegt, hat die Suite nicht – das wäre der perfekte Helfer für Schadsoftware. Ein Härtungswerkzeug mit Aus-Knopf für den Selbstschutz wäre ungefähr so überzeugend wie ein Tresor mit Reißverschluss. Blind ist sie deshalb aber nicht: Sie zeigt den Status in Klartext (grün/rot, ist er aus, umrahmt sie ihr ganzes Fenster rot), führt bei Bedarf zum richtigen Schalter in der Windows-Sicherheit – und liest nach jedem Schreiben zurück, ob es überhaupt gegriffen hat. Umlegen muss den Schutz aber der Mensch.

Nie ein falsches grünes Häkchen

Ob eine Option existiert, wird nicht anhand der Build-Nummer geraten, sondern am lebenden Cmdlet erfragt. Was nicht änderbar ist, steht als Klartext mit Begründung da – keine ausgegrauten Pseudo-Schalter. Genau eine Ausnahme gibt es, und sie ist Absicht: Ein Wert, der sich nicht lesen ließ, erscheint als gesperrter Schalter mit dem Vermerk „nicht gelesen“ – eine Sperre ist ehrlicher als ein Häkchen, das eine Tatsache behauptet, die niemand geprüft hat. Ein unbekannter Wert erscheint nie als „OK“, sondern als „prüfen“. Und läuft Defender nur passiv (weil ein anderer Virenschutz aktiv ist), bekommt jede Aktion den Vermerk: geschrieben, aber wirkungslos. Kein falsches Sicherheitsgefühl.

Die Übersicht geht dabei noch einen Schritt weiter: OK heißt wirksam – nicht bloß gesetzt. Viele Defender-Schalter hängen voneinander ab: Ordnerzugriff, Netzwerkschutz und Skript-Schutz etwa brauchen den laufenden Echtzeitschutz, die Cloud-Blockierstufe braucht MAPS. Ein Wert kann also richtig gesetzt und trotzdem wirkungslos sein – ein grünes Häkchen wäre hier die falsche Beruhigung. Deshalb steht dort ein rotes Unwirksam samt Begründung, und zwar nur bei nachweislich gerissener Kette, nie nach einem fehlgeschlagenen Lesen. Die CSV- und HTML-Berichte führen das Urteil als eigene Spalte mit – ein Compliance-Nachweis, der nicht schönfärbt.

Dieselbe Ehrlichkeit gilt gegenüber zentraler Verwaltung. Eine Richtlinie, die einen Schutz setzt, ist eine gute Nachricht und wird als solche vermerkt. Eine Richtlinie, die einen Schutz abschaltet, ist das Gegenteil – und wird nicht mehr im gleichen ruhigen Ton als „verwaltet" abgehakt, sondern als rote Lücke ausgewiesen. Verwaltet zu sein ist kein Wert an sich; entscheidend ist, wohin verwaltet wurde.

Der doppelte Boden

Wenn es zu scharf war: der doppelte Boden

Härten ist die eine Hälfte des Vertrauens. Die andere ist: jederzeit wieder herauszukommen. Jede Schreibtransaktion beginnt mit einem automatischen Snapshot – einem Vollabbild des zuvor gelesenen Zustands: alle Einstellungen, alle 19 ASR-Regeln und – wenn DHS erhöht läuft – auch die Listen, also Ausschlüsse, die CFA-Listen und die regelspezifischen ASR-Ausschlüsse.

„Snapshot anwenden“ stellt genau diesen Stand wieder her – Entfernungen eingeschlossen. Was seither in eine Liste gewandert ist, ein Ausschluss oder eine IP-Adresse, verschwindet also auch wieder; sonst bekäme man nicht den Zustand zurück, den man gesichert hat. Entfernt wird allerdings nur, wenn beide Seiten vollständig bekannt sind: Der Snapshot muss die Listen tragen und die aktuellen Listen müssen lesbar sein. Andernfalls sagt DHS das vor dem Lauf und stellt allein die Werte her, ohne die Listen anzufassen – Unbekanntes gilt nie als leer. Ein ohne Administratorrechte erstellter Snapshot trägt keine Listen und ist in der Auswahl entsprechend gekennzeichnet. Der älteste ist der ehrliche Zustand vor Ihrer allerersten Änderung. Gelöscht wird nie einer.

Darauf bauen drei Stufen auf – bis hin zu dem Fall, dass die Suite selbst nicht mehr läuft:

So sieht das in der Praxis aus:

:: Probelauf (Standard) gegen den neuesten Snapshot
powershell -ExecutionPolicy Bypass -File dhs-recovery.ps1

:: anwenden (erhöhte Konsole, fragt nach Bestätigung)
powershell -ExecutionPolicy Bypass -File dhs-recovery.ps1 -Apply

:: ohne Snapshot: alles Blockende auf Audit/Default
powershell -ExecutionPolicy Bypass -File dhs-recovery.ps1 -Disarm -Apply

Ihr nächster Schritt

Ausprobieren – und uns sagen, was fehlt

Genug gelesen. Die DefenderHardeningSuite ist kostenlos und signiert. Programm und Installer tragen eine Authenticode-Signatur (Azure Artifact Signing, mit RFC-3161-Zeitstempel); zusammen mit der je Release veröffentlichten SHA-256-Prüfsumme (unten) beweist sie Herkunft und Unversehrtheit – nicht die Implementierung selbst, das sagen wir weiter oben offen. Alles, was das Werkzeug tut, steht in diesem Artikel, samt der Grenzen.

Die komplette Konfiguration zum Nachbauen – jeder Wert begründet, in zwei Phasen ohne Betriebsunterbrechung, wahlweise geklickt oder als PowerShell-Block – steht in Defender einstellen – daheim wie im Büro.

Sie möchten es lieber machen lassen? Wir härten Ihre Maschinen auch von Hand – und hinterlassen dabei keinen Skript-Friedhof.