Verhindern oder aufräumen?

Worum es geht

Die falsch gestellte Frage

„Welcher Virenschutz ist der beste?“ ist die Frage, die in jedem Büro irgendwann fällt – und weil auf den Schreibtischen fast überall Windows läuft, ist es die Frage nach dem besten Windows-Virenschutz. Sie ist – mit Verlaub – falsch gestellt. Denn bei der reinen Erkennung sind 2026 alle Spitzenprodukte praktisch gleichauf, der eingebaute Windows Defender eingeschlossen. Die Frage, die wirklich zählt, ist eine andere: Was passiert, bevor etwas passiert? Denn Schutz zerfällt in zwei Phasen – und nur die erste ist echter Schutz. Alles danach ist, wenn man ehrlich ist, ein Backup.

Die Trennung

Zwei Phasen – und nur eine ist Schutz

Jeder Angriff hat einen Moment, in dem er kippt: den Moment, in dem der Schadcode das erste Mal läuft. Alles davor ist Prävention – verhindern, dass es überhaupt so weit kommt. Alles danach ist Schadensbegrenzung – retten, was zu retten ist.

Die Virenschutz-Industrie verkauft beides als „Schutz“. Aber das ist nicht dasselbe. Und wenn man ehrlich hinschaut, schrumpft die zweite Phase zu etwas sehr Bekanntem zusammen:

Damit ist die Messlatte klar: Ein Virenschutz ist genau so gut, wie er Phase 1 gewinnt. Die zweite Phase kauft man sich besser mit einer Backup-Strategie, die diesen Namen verdient – dazu am Ende mehr. Der Rest dieses Artikels dreht sich deshalb um die entscheidende Frage: Wer verhindert am meisten?

Phase 1, Teil A

Erkennung: 2026 ist das Rennen gelaufen

Beginnen wir mit dem, was jeder unter „Virenschutz“ versteht: eine Datei ankommt, die Engine erkennt sie als böse, sie fliegt raus. Jahrelang war das die Disziplin, in der Windows Defender belächelt wurde. Diese Zeit ist vorbei.

In den unabhängigen Dauertests von AV-TEST und AV-Comparatives spielt Defender seit Jahren in der Spitzengruppe – Schulter an Schulter mit den kommerziellen Testsiegern:

Der ehrliche Befund: An der Spitze entscheidet nicht mehr, ob Malware erkannt wird, sondern wie viele Fehlalarme ein Produkt produziert und wie sehr es das System ausbremst. Und in beiden Nebendisziplinen steht Defender gut da – wenige Fehlalarme, und im Performance-Test der leichteren Hälfte des Feldes, während manche Kaufsuite Datei-Operationen spürbar verlangsamt.

Wenn Erkennung also Gleichstand ist – wo entsteht dann überhaupt noch ein Unterschied? Genau eine Ebene höher.

Phase 1, Teil B

Die Schicht, über die keiner redet

Erkennung setzt voraus, dass Schadcode ankommt und als solcher erkannt wird. Die klügere Frage ist: Warum ihn überhaupt so weit kommen lassen? Genau hier setzt Angriffsflächen-Reduktion an (auf Englisch Attack Surface Reduction, ASR) – und dazu gehören der Überwachte Ordnerzugriff und der Netzwerkschutz.

Statt eine Datei zu erkennen, würgt diese Schicht die Verhaltensmuster ab, die Angreifer praktisch immer brauchen – unabhängig davon, ob die konkrete Schadsoftware schon bekannt ist:

• Office darf keine Kindprozesse starten – das Excel-Makro aus der Bewerbungsmail kann keine PowerShell mehr aufrufen. Die häufigste Ransomware-Kette reißt im ersten Glied.
• Kein Zugriff auf den Zugangsdaten-Speicher – Werkzeuge wie Mimikatz kommen nicht mehr an die Passwörter im Arbeitsspeicher.
• Kein Missbrauch verwundbarer Treiber – die beliebte Masche, einen löchrigen, aber gültig signierten Treiber mitzubringen, um den Virenschutz von innen abzuschießen, läuft ins Leere.
• Verschleierte Skripte und Nachlade-Ketten werden blockiert, bevor die zweite Stufe überhaupt heruntergeladen wird.
• Überwachter Ordnerzugriff lässt nur vertrauenswürdige Programme in Ihre Dokumente schreiben – ein Ransomware-Prozess wird schon beim ersten Verschlüsselungsversuch abgewiesen.

Microsoft selbst und unabhängige Tests bescheinigen dieser Schicht eine hohe Wirksamkeit gegen genau die Angriffe, die im Mittelstand real Schaden anrichten. Und jetzt kommt der Punkt, der alles verändert:

Der Haken

Der Haken: ab Werk ausgeschaltet

Wenn diese Härtung so wirksam ist – warum profitiert dann kaum jemand davon? Weil sie standardmäßig deaktiviert ist. In Microsofts eigener Sprache stehen die ASR-Regeln auf „nicht konfiguriert“, und das ist gleichbedeutend mit aus. Kein Schalter in der Windows-Sicherheits-App bietet sie an. Sie existieren nur als PowerShell-Befehle – und genau da beginnt das eigentliche Problem.

Denn Härtung von Hand endet fast immer im selben Ordner: Scripts oder tools oder einfach neu, mit harden.ps1, harden_v2.ps1 und – mit etwas Pech – harden_v2_FINAL_wirklich.ps1. Niemand weiß mehr, welches davon auf welcher Maschine lief und was es dort angestellt hat. Und der Tag danach ist noch schlimmer: Eine Regel blockt ein legitimes Werkzeug, ein frischer Build wird fälschlich als Bedrohung eingestuft – und nach dem dritten Vorfall schaltet der genervte Mensch die Regel einfach wieder ab. So stirbt Härtung in der Praxis.

Die Falle

Der Denkfehler beim Umstieg auf eine Suite

Jetzt die Wendung, die viele übersehen. Der Reflex bei der Frage „bin ich sicher genug?“ lautet: eine bekannte Kaufsuite installieren. Das fühlt sich nach mehr Schutz an. Technisch passiert aber etwas anderes.

Eine kommerzielle Antivirus-Suite ersetzt Defenders Echtzeitschutz – zwei Scanner nebeneinander vertragen sich nicht, also legt Windows den eigenen schlafen. Und mit dem Echtzeitschutz verschwindet die ganze Härtungsschicht: Der Überwachte Ordnerzugriff funktioniert ausdrücklich nur, solange Defender der primäre Virenschutz ist – sobald eine Fremdsuite übernimmt, ist er tot. Für die ASR-Regeln gilt dasselbe.

Man kann eben nicht beides haben: die Härtung von Defender und die Engine einer Fremdsuite. Es ist eine Entweder-oder-Entscheidung – und genau die macht dieser Vergleich sichtbar.

Gegenübergestellt

Der ehrliche Vergleich

Ausstattung wie VPN, Passwort-Manager oder Kinderschutz lassen wir bewusst weg – das ist Komfort, kein Schutz. Es bleibt der tatsächliche Schutz, getrennt nach den zwei Phasen. „Beste Kaufsuite“ meint jeweils den Testsieger der Kategorie, kein Durchschnittsprodukt.

Die Tabelle liest sich in einer Zeile: Vor der Infektion gewinnt der gehärtete Defender, weil er als einziger die Härtungsschicht hat. Nach der Infektion gewinnt niemand – da gewinnt das Backup.

Die Einordnung

Welches Schutzniveau man erreicht

Drei Stufen, klar benannt:

Ehrliches Schlusswort

Und dann? Das ehrliche Schlusswort

Keine Härtung der Welt ist vollständig. Ein unbekannter Zero-Day, der keine der geregelten Verhaltensweisen auslöst; ein Mitarbeiter, der sein Passwort auf einer perfekt gefälschten Seite eingibt; ein Innentäter – dagegen hilft keine Engine und keine ASR-Regel. Dagegen helfen nur drei Dinge: zeitnah patchen, Menschen schulen – und ein Backup, das den Namen verdient.

Genau deshalb löst sich der scheinbare Vorteil der Kaufsuiten – das Ransomware-Rollback – bei ehrlicher Betrachtung auf. Es ist der Versuch, ein fehlendes Backup software-seitig zu ersetzen. Wer ein richtiges, vom System getrenntes Backup hat (idealerweise nach der 3-2-1-Regel: drei Kopien, zwei Medien, eine außer Haus), braucht diese Funktion nicht – und ist im Ernstfall besser dran.

Damit schließt sich der Kreis. Der beste Virenschutz ist nicht der, der am elegantesten aufräumt. Es ist der, bei dem am wenigsten durchkommt. Verhindern schlägt Aufräumen – und das Aufräumen überlässt man am besten dem Backup.