Zum Inhalt springen
Setup FoundrySetup FoundryDoku
aktuell · 0.9.8.15
aktuell · 0.9.8.150.9.8.150.9.8.140.9.8.120.9.8.110.9.8.100.9.8.90.9.8.80.9.8.6
ENAnmelden

Virenschutz und Angriffsflächen ​

seit 0.9.8.11

Zweck ​

Diese Seite nennt jede Einstellung des Pakets „Virenschutz und Angriffsflächen“: was sie bewirkt, welchen Wert Setup Foundry setzt und wer sie empfiehlt. Sie wird aus dem Katalog erzeugt und nicht von Hand geändert.

37 Einstellungen, davon 17 mit spürbarer Nebenwirkung.

Hinweise ​

Adobe Reader am Nachstarten von Programmen hindern ​

Verhindert, dass Adobe Reader neue Prozesse startet, wie es Exploits oft versuchen.

Alle Office-Programme am Starten von Kindprozessen hindern ​

Verhindert, dass Word, Excel, PowerPoint & Co. eigenständig neue Prozesse starten.

Nebenwirkung: Seltene, bewusste Fälle wie ein Makro, das gezielt PowerShell startet, würden ebenfalls blockiert und bräuchten eine Ausnahme; normale Büroarbeit braucht das nie.

Ausführbare Mail-Anhänge und Skripte aus E-Mail blockieren ​

Blockiert Makros in Office-Dateien -- genauer: ausführbare Anhänge und Skripte aus E-Mail und Webmail.

Nebenwirkung: Ein per Mail zugesandtes Programm oder Skript lässt sich nicht mehr direkt aus dem Mail-Client heraus starten; normales Öffnen von Dokumenten und Bildern bleibt unverändert.

Auslesen von Anmeldedaten aus dem LSASS-Speicher blockieren ​

Erschwert das Auslesen von Windows-Anmeldedaten aus dem Speicher des Systemdienstes LSASS.

Nebenwirkung: Praktisch keine im normalen Betrieb; nur der Speicherzugriff wird gesperrt, nicht das Starten von Prozessen selbst.

Bösartige Boot-Treiber beim Systemstart blockieren ​

Legt fest, welche Boot-Treiber der frühe Anti-Malware-Schutz beim Systemstart noch laden darf.

Cloud-Sofortschutz 'Block at First Sight' eingeschaltet lassen ​

Hält den Cloud-Sofortschutz 'Block at First Sight' von Defender eingeschaltet.

Code-Einschleusung durch Office-Programme verhindern ​

Verhindert, dass Office-Programme Code in andere laufende Prozesse einschleusen.

Datei- und Programmaktivität laufend überwachen (On-Access-Schutz) ​

Hält die laufende Überwachung von Datei- und Programmaktivität eingeschaltet.

Dateilose Verankerung über WMI-Ereignisabonnements verhindern ​

Verhindert, dass sich Schadsoftware über WMI-Ereignisabonnements dauerhaft im System einnistet.

Nebenwirkung: Für normale Nutzer unsichtbar; nur wer sehr WMI-lastige Verwaltungssoftware einsetzt, müsste vorab im Audit-Modus testen - für Privat- und Werkstattkunden nicht relevant.

Dateizugriffe in beide Richtungen überwachen ​

Überwacht Dateien in beide Richtungen (lesend und schreibend) statt nur einseitig.

Defender-Funde automatisch bereinigen ​

Lässt Defender erkannte Bedrohungen automatisch bereinigen, statt nur eine Nutzerentscheidung abzuwarten.

Direkte Windows-Systemaufrufe aus Office-Makros sperren ​

Verhindert, dass VBA-Makros in Office direkt Windows-Systemfunktionen (Win32-APIs) aufrufen.

Echtzeitschutz und Signatur-Updates schon während der Windows-Ersteinrichtung ​

Aktiviert Echtzeitschutz und Signatur-Updates bereits während der Windows-Ersteinrichtung (OOBE).

Echtzeitschutz von Microsoft Defender eingeschaltet lassen ​

Hält den kompletten Echtzeitschutz von Microsoft Defender eingeschaltet.

Erweiterten Cloud-Schutz gegen Erpressersoftware nutzen ​

Bietet zusätzlichen, Cloud-gestützten Schutz gegen Ransomware über reine Signaturerkennung hinaus.

Nebenwirkung: Eine ganz neue, noch unbekannte, aber harmlose Datei kann kurzzeitig blockiert werden, bis sie sich in der Cloud einen guten Ruf erarbeitet hat.

Heruntergeladene Dateien und E-Mail-Anhänge automatisch scannen ​

Hält die Prüfung heruntergeladener Dateien und E-Mail-Anhänge eingeschaltet.

Nebenwirkung: Kurze, kaum wahrnehmbare Prüfverzögerung beim ersten Öffnen einer frisch heruntergeladenen Datei - sonst keine.

Lokale Defender-Ausnahmen mit Richtlinien-Vorgaben zusammenführen ​

Erlaubt, dass lokal von Administratoren gesetzte Defender-Ausnahmen mit den Richtlinien-Vorgaben zusammengeführt werden.

Missbrauch verwundbarer, aber signierter Treiber blockieren ​

Verhindert, dass Programme bekannt verwundbare, aber gültig signierte Treiber auf dem Rechner ablegen.

Nebenwirkung: Für normale Nutzer praktisch unsichtbar, da im Alltag keine verwundbaren Treiber installiert werden.

Office am Erzeugen ausführbarer Dateien hindern ​

Verhindert, dass Word, Excel & Co. ausführbaren Code erzeugen und starten.

Nebenwirkung: Nur Makros oder Add-ins, die absichtlich Dateien erzeugen und ausführen, wären betroffen - im normalen Büroalltag praktisch nie der Fall.

Outlook am Nachstarten von Schadcode hindern (keine Kindprozesse) ​

Verhindert, dass Outlook von Schadcode missbrauchte Kindprozesse startet.

Potenziell unerwünschte Anwendungen (PUA) blockieren ​

Blockiert automatisch potenziell unerwünschte Anwendungen wie Adware oder Toolbars.

Nebenwirkung: Vereinzelt kann ein Installer, der ungewollte Zusatzsoftware mitbringt, gar nicht erst durchlaufen - das ist im Sinne des Nutzers.

Prozesse beim Einschalten des Echtzeitschutzes einmalig prüfen ​

Löst beim Einschalten des Echtzeitschutzes automatisch eine Prozess-Überprüfung aus.

Nebenwirkung: Kurze zusätzliche Systemlast direkt nach dem Aktivieren des Echtzeitschutzes, sonst nichts.

Regeln zur Verringerung der Angriffsfläche (ASR) grundsätzlich aktivieren ​

Schaltet die Regeln zur Reduzierung der Angriffsfläche (ASR) von Defender grundsätzlich ein.

Skript-gestützte Downloads am automatischen Starten hindern ​

Verhindert, dass JavaScript- oder VBScript-Dateien heruntergeladene ausführbare Inhalte starten.

Skripte vor Ausführung auf Schadverhalten prüfen ​

Hält die Prüfung von Skriptdateien (Script Scanning) im Echtzeitschutz eingeschaltet.

SmartScreen im Datei-Explorer aktivieren ​

Aktiviert Windows Defender SmartScreen im Datei-Explorer, das vor bekannten schädlichen Dateien warnt.

Nebenwirkung: Beim ersten Start einer heruntergeladenen, unbekannten Datei erscheint eine kurze Warnmeldung, die bestätigt werden muss – das ist bereits der Windows-Standard und den meisten Nutzern vertraut.

Unsignierte Programme nicht direkt von USB starten lassen ​

Verhindert das Ausführen unsignierter, nicht vertrauenswürdiger Programme direkt von USB-Datenträgern.

Nebenwirkung: Wer portable, nicht installierte Tools direkt vom USB-Stick startet, muss sie erst auf die Festplatte kopieren, falls sie unsigniert sind.

Verhaltensüberwachung des Echtzeitschutzes eingeschaltet lassen ​

Hält die Verhaltensüberwachung des Echtzeitschutzes eingeschaltet.

Verschleierte Skripte nicht ausführen lassen ​

Blockiert Skripte, deren Code gezielt verschleiert wurde, um vor Analyse zu schützen.

Nebenwirkung: In seltenen Fällen kann ein legitimes, aber stark verschleiertes Skript blockiert werden; normale Skriptnutzung im Alltag ist kaum betroffen.

Virenschutz-Ausnahmen vor lokalen Administratoren verstecken ​

Versteckt die Liste der Virenschutz-Ausnahmen vor lokalen Administratoren, ohne sie zu entfernen.

Nebenwirkung: Wer selbst einmal eine Ausnahme setzt (z. B. für ein Spiel oder ein Tool), kann sie später nicht mehr über die Sicherheit-App oder PowerShell einsehen - sie wirkt trotzdem weiter.

Wechseldatenträger von Virenscans nicht ausnehmen ​

Sorgt dafür, dass Wechseldatenträger wie USB-Sticks beim Scannen nicht ausgenommen werden.

Nebenwirkung: Ein Scan kann bei angeschlossenen USB-Geräten etwas länger dauern, sonst keine Auswirkung.

Zugriff auf bekannt gefährliche Internetadressen blockieren (Netzwerkschutz) ​

Blockiert automatisch den Zugriff auf gefährliche Internet-Domains (Phishing, Exploit-Hosting) durch beliebige Anwendungen.

Nebenwirkung: Der Zugriff auf eine als gefährlich eingestufte Adresse schlägt fehl statt aufgebaut zu werden - das betrifft nur tatsächlich gefährliche Seiten.

Defender-Watson-Fehlerberichte abschalten ​

Dieser computerbezogene Registry-Wert steuert, ob Microsoft Defender Antivirus Watson-Ereignisse an Microsoft sendet. Dabei handelt es sich um Diagnose- beziehungsweise Fehlerereignisse des Produkts.

Meldung von Infektionsinformationen durch das Tool zum Entfernen bösartiger Software unterbinden ​

Der REG_DWORD-Wert DontReportInfectionInformation mit den Wertdaten 1 deaktiviert die Infektionsberichterstattung des Windows-Tools zum Entfernen bösartiger Software (Malicious Software Removal Tool, MSRT). Das Tool übermittelt dadurch keine Informationen über erkannte Infektionen an Microsoft.

Automatische Rechteausweitung bei MSI-Installationen verbieten ​

Verhindert, dass MSI-Installationen automatisch mit Systemrechten statt Benutzerrechten laufen.

Umgehen der Installer-Sicherheitsprüfungen durch Nutzer verbieten ​

Verbietet Benutzern, bei MSI-Installationen sonst nur Admins vorbehaltene Optionen zu ändern.

Nebenwirkung: Nur schlecht gebaute Installationsroutinen, die genau auf diese Umgehung angewiesen sind, könnten abbrechen; normale Software installiert sich unverändert.

Windows Script Host-Remoting deaktivieren ​

Remote WSH ermöglicht es, ein lokales Windows-Script über die Objekte WshController und WshRemote auf einem anderen Computer auszuführen. Die Übertragung und Steuerung erfolgen über DCOM; der Zielcomputer führt das übertragene Script mit Windows Script Host aus.

Siehe auch ​