Verhindern oder aufräumen?

Worum es geht

Die falsch gestellte Frage

„Welcher Virenschutz ist der beste?“ ist die Frage, die in jedem Büro irgendwann fällt – und weil auf den Schreibtischen fast überall Windows läuft, ist es die Frage nach dem besten Windows-Virenschutz. Sie ist – mit Verlaub – falsch gestellt. Denn bei der reinen Erkennung sind 2026 alle Spitzenprodukte praktisch gleichauf, der eingebaute Windows Defender eingeschlossen. Die Frage, die wirklich zählt, ist eine andere: Was passiert, bevor etwas passiert? Denn Schutz zerfällt in zwei Phasen – und nur die erste ist echter Schutz. Alles danach ist, wenn man ehrlich ist, ein Backup.

Die Trennung

Zwei Phasen – und nur eine ist Schutz

Jeder Angriff hat einen Moment, in dem er kippt: den Moment, in dem der Schadcode das erste Mal läuft. Alles davor ist Prävention – verhindern, dass es überhaupt so weit kommt. Alles danach ist Schadensbegrenzung – retten, was zu retten ist.

Die Virenschutz-Industrie verkauft beides als „Schutz“. Aber das ist nicht dasselbe. Und wenn man ehrlich hinschaut, schrumpft die zweite Phase zu etwas sehr Bekanntem zusammen:

Damit ist die Messlatte klar: Ein Virenschutz ist genau so gut, wie er Phase 1 gewinnt. Die zweite Phase kauft man sich besser mit einer Backup-Strategie, die diesen Namen verdient – dazu am Ende mehr. Der Rest dieses Artikels dreht sich deshalb um die entscheidende Frage: Wer verhindert am meisten?

Phase 1, Teil A

Erkennung: 2026 ist das Rennen gelaufen

Beginnen wir mit dem, was jeder unter „Virenschutz“ versteht: Eine Datei kommt an, die Engine erkennt sie als böse, sie fliegt raus. Jahrelang war das die Disziplin, in der Windows Defender belächelt wurde. Diese Zeit ist vorbei.

In den unabhängigen Dauertests von AV-TEST und AV-Comparatives spielt Defender seit Jahren in der Spitzengruppe – Schulter an Schulter mit den kommerziellen Testsiegern:

Der ehrliche Befund: An der Spitze entscheidet nicht mehr, ob Malware erkannt wird, sondern wie viele Fehlalarme ein Produkt produziert und wie sehr es das System ausbremst. Und in beiden Nebendisziplinen steht Defender gut da: wenige Fehlalarme, und im Performance-Test liegt er solide im Mittelfeld, während manche Kaufsuite Datei-Operationen spürbar verlangsamt.

Wenn Erkennung also Gleichstand ist – wo entsteht dann überhaupt noch ein Unterschied? Genau eine Ebene höher.

Phase 1, Teil B

Die Schicht, über die keiner redet

Erkennung setzt voraus, dass Schadcode ankommt und als solcher erkannt wird. Die klügere Frage ist: Warum ihn überhaupt so weit kommen lassen? Genau hier setzt Angriffsflächen-Reduktion an (auf Englisch Attack Surface Reduction, ASR) – und dazu gehören der Überwachte Ordnerzugriff und der Netzwerkschutz.

Statt eine Datei zu erkennen, würgt diese Schicht die Verhaltensmuster ab, die Angreifer praktisch immer brauchen – unabhängig davon, ob die konkrete Schadsoftware schon bekannt ist:

Die Liste der Regeln liest sich wie das Drehbuch echter Vorfälle: Office-Makros, die eine PowerShell nachziehen. Werkzeuge, die Passwörter aus dem Arbeitsspeicher fischen. Mitgebrachte verwundbare Treiber, die den Virenschutz von innen abschießen sollen. Verschleierte Skripte samt Nachlade-Kette. Und Ransomware, die in Ihre Dokumente schreiben will – der Überwachte Ordnerzugriff weist schon den ersten Versuch ab. Für jeden dieser Wege gibt es eine eigene Regel; welche genau, was sie abwürgt und wo sie im Alltag zwickt, schlüsselt der Werkzeug-Artikel „Defender kann mehr, als Windows zeigt“ Regel für Regel auf.

Microsoft selbst und unabhängige Tests bescheinigen dieser Schicht eine hohe Wirksamkeit gegen genau die Angriffe, die im Mittelstand real Schaden anrichten. Ein Allheilmittel ist sie nicht – einzelne Regeln lassen sich mit Aufwand umgehen –, aber jede Regel reißt Angreifern einen Standardweg aus dem Drehbuch. Und jetzt kommt der Punkt, der alles verändert:

Der Haken

Der Haken: ab Werk ausgeschaltet

Wenn diese Härtung so wirksam ist – warum profitiert dann kaum jemand davon? Weil sie standardmäßig deaktiviert ist. In Microsofts eigener Sprache stehen die ASR-Regeln auf „nicht konfiguriert“, und das ist gleichbedeutend mit aus. Kein Schalter in der Windows-Sicherheits-App bietet sie an. Ohne zentrale Unternehmens-Verwaltung bleiben dafür nur PowerShell-Befehle – und genau da beginnt das eigentliche Problem.

Denn Härtung von Hand hat eine kurze Lebenserwartung: Sie endet im berüchtigten Skript-Friedhof – und spätestens, wenn die erste Regel ein legitimes Werkzeug blockt, schaltet der genervte Mensch sie wieder ab. Diese Geschichte, und der Regelkreis, der sie beendet, ist das Kernstück des Werkzeug-Artikels. Hier genügt der Befund: Der wirksamste Teil von Defender liegt brach, weil ihn niemand bedienen mag.

Die Falle

Der Denkfehler beim Umstieg auf eine Suite

Jetzt die Wendung, die viele übersehen. Der Reflex bei der Frage „bin ich sicher genug?“ lautet: eine bekannte Kaufsuite installieren. Das fühlt sich nach mehr Schutz an. Technisch passiert aber etwas anderes.

Eine kommerzielle Antivirus-Suite ersetzt Defenders Echtzeitschutz – zwei Scanner nebeneinander vertragen sich nicht, also legt Windows den eigenen schlafen. Und mit dem Echtzeitschutz verschwindet die ganze Härtungsschicht: Der Überwachte Ordnerzugriff funktioniert ausdrücklich nur, solange Defender der primäre Virenschutz ist – sobald eine Fremdsuite übernimmt, ist er tot. Für die ASR-Regeln gilt dasselbe.

Man kann eben nicht beides haben: die Härtung von Defender und die Engine einer Fremdsuite. Es ist eine Entweder-oder-Entscheidung – und genau die macht dieser Vergleich sichtbar.

Der zweite Blick

Die stille Nebenrechnung jeder Fremdsuite

Neben der verlorenen Härtungsschicht steht noch ein zweiter Posten auf der Rechnung, über den selten gesprochen wird: Jeder zusätzliche Virenschutz bringt einen eigenen Treiber tief in den Windows-Kern. Das ist prinzipbedingt – wer Schadsoftware vor dem Start abfangen will, muss dort sitzen, wo Prozesse entstehen. Nur bedeutet das eben auch: Das Schutzprogramm selbst wird zu einer Komponente, die alles mitreißen kann, wenn sie fällt.

Fair bleiben: So ein Fehler kann jedem passieren, auch Microsoft. Aber die Rechnung ändert das nicht. Jede Komponente, die Sie nicht installieren, kann Sie auch nicht lahmlegen. Wer beim Virenschutz des Betriebssystem-Herstellers bleibt, hat eine tief im System verankerte Fremdkomponente weniger – und die verbleibende wird von demselben Haus getestet, das auch Windows baut.

Der dritte Posten ist banal: Defender ist bereits bezahlt. Kein Abo, keine Verlängerung, keine Zusatzkonsole, kein weiterer Anbieter, der Ihre Telemetrie sehen will. Und die gehärtete Variante kostet mit der kostenlosen DefenderHardeningSuite: ebenfalls nichts.

Gegenübergestellt

Der ehrliche Vergleich

Ausstattung wie VPN, Passwort-Manager oder Kinderschutz lassen wir bewusst weg – das ist Komfort, kein Schutz. Es bleibt der tatsächliche Schutz, getrennt nach den zwei Phasen. „Beste Kaufsuite“ meint jeweils den Testsieger der Kategorie, kein Durchschnittsprodukt.

Die Tabelle liest sich in einer Zeile: Vor der Infektion gewinnt der gehärtete Defender, weil er als einziger die Härtungsschicht hat. Nach der Infektion gewinnt niemand – da gewinnt das Backup.

Die Einordnung

Welches Schutzniveau man erreicht

Drei Stufen, klar benannt:

Und was wäre mit Defender for Endpoint?

Bleibt die Enterprise-Ausbaustufe: Microsoft Defender for Endpoint, die Version mit den teuren Lizenzen. Bringt die mehr Schutz? Die ehrliche Antwort: vor der Infektion praktisch nicht. Defender for Endpoint benutzt exakt denselben Virenschutz – Microsoft selbst beschreibt Defender Antivirus als die Präventions-Komponente von Defender for Endpoint. Auch die Härtungsschicht ist dieselbe: ASR-Regeln und Überwachter Ordnerzugriff wirken auf dem Gerät – die Enterprise-Lizenz steuert sie nur zentral über viele Maschinen und wertet sie zentral aus. Genau diese Schicht schaltet die DefenderHardeningSuite lokal scharf, ohne Lizenz.

Das Mehr von Defender for Endpoint liegt ganz überwiegend nach dem Start eines Angriffs: Verhaltens-Aufzeichnung und Angriffs-Zeitachsen (EDR), automatische Untersuchung und Reaktion, zentrale Sicht über die ganze Flotte – dazu eine Schwachstellen-Übersicht, die zwar der Prävention zuarbeitet, aber nur organisiert, was zeitnahes Patchen ohnehin leistet. Das ist für Unternehmen mit Sicherheitsteam wertvoll – aber in der Logik dieses Artikels ist es professionalisiertes Erkennen und Aufräumen, kein zusätzliches Verhindern. Allenfalls der EDR-Blockmodus kann in Grenzfällen Verhalten stoppen, das der Virenschutz allein durchließe – ein Rand-Plus, kein Kategoriensprung.

Und wie sieht diese Härtung nun konkret aus? Welcher Wert, welche Regel, in welcher Reihenfolge – das steht vollständig in Defender einstellen – daheim wie im Büro: unsere komplette Konfiguration zum Nachbauen, für den Rechner zu Hause wie für die im Büro.

Ehrliches Schlusswort

Und dann? Das ehrliche Schlusswort

Keine Härtung der Welt ist vollständig. Ein unbekannter Zero-Day, der keine der geregelten Verhaltensweisen auslöst; ein Mitarbeiter, der sein Passwort auf einer perfekt gefälschten Seite eingibt; ein Innentäter – dagegen hilft keine Engine und keine ASR-Regel. Dagegen helfen nur drei Dinge: zeitnah patchen, Menschen schulen – und ein Backup, das den Namen verdient.

Genau deshalb löst sich der scheinbare Vorteil der Kaufsuiten – das Ransomware-Rollback – bei ehrlicher Betrachtung auf. Es ist der Versuch, ein fehlendes Backup softwareseitig zu ersetzen. Wer ein richtiges, vom System getrenntes Backup hat (idealerweise nach der 3-2-1-Regel: drei Kopien, zwei Medien, eine außer Haus), braucht diese Funktion nicht – und ist im Ernstfall besser dran.

Damit schließt sich der Kreis. Der beste Virenschutz ist nicht der, der am elegantesten aufräumt. Es ist der, bei dem am wenigsten durchkommt. Verhindern schlägt Aufräumen – und das Aufräumen überlässt man am besten dem Backup.