Microsoft liefert in Windows den Defender als Virenschutz mit, der eigentlich ausreicht. Aber in den Werkseinstellungen ist der Defender-Schutz recht "zahm" eingestellt. Mit der "DefenderHardeningSuite" (DHS) lassen sich versteckte Einstellungen (ASR-Regeln, Überwachter Ordnerzugriff, Netzwerkschutz, Cloud-Blockstufe) sichtbar und mit wenigen Klicks scharf schalteten. Ein kostenloses Werkzeug für kleine und mittlere Firmen ohne Intune/MDE.
Rückblick: Reicht der Defender aus?
Wie schaut es mit dem Virenschutz in Windows aus, reicht der Defender als Lösung zur Absicherung? Microsoft sagte noch im April 2026 zu dieser Frage, dass der mit Windows mitgelieferte Microsoft Defender als Sicherheitslösung zum Schutz vor Viren und Schadsoftware eigentlich ausreicht. Dazu hatte Microsoft zum 9. April 2026 in einem Blog-Beitrag Best antivirus software for 2026: The built-in Windows protection you need das Ganze näher erläutert.
Ich hatte das Ganze im Beitrag Microsoft sagt, dass der Defender als Virusschutz ausreicht aufgegriffen und bin auf meinen Windows-Systemen seit ewigen Zeiten mit dem Defender unterwegs. Microsoft aktualisiert den Defender auch um Signaturen zur Erkennung der neuesten Malware – was aber auch schon mal schief gehen kann, wie ich gerade berichtet habe (Windows Defender stirbt mit App-Crash beim Schnellscan (18.8.2026)).
Ich weiß auch nicht, was intern passiert ist, Microsoft hat seinen oben erwähnten Beitrag mit dem Tenor, dass der Defender als Virenschutz ausreicht, inzwischen gelöscht. Ich hatte dies im Beitrag Rückzieher: Microsoft Löscht Beitrag, der den Defender "als ausreichend" darstellt aufgegriffen. Das ist die Gemengelage, die Aufhänger für den Beitrag ist.
Ein Leserhinweis auf die "DefenderHardeningSuite"
Am Beitragsende sind einige Artikel einer vierteiligen Artikelreihe verlinkt, die sich mit dem Fall einer Fehlerkennung des Defenders bei der Synology-Backup-Lösung und den sich ergebenden Implikationen befasst. Blog-Leser Stefan M., der mir diesen Fall zur Kenntnis gebracht hat, befasst sich recht intensiv mit dem Microsoft Defender, der in allen Windows-Systemen dabei ist.
Bereits vorher, zum 23. Juli 2026, hatte sich Blog-Leser Stefan M. bei mir per E-Mail gemeldet – was aber urlaubsbedingt "auf Halde" landete und etwas unterging. In seiner Mail schrieb er "als Tool-Tipp für Ihren Blog – passt gut zu Ihrer laufenden Defender-Berichterstattung und der „reicht Defender?"-Debatte". Worum geht es?
Der Leser hat die sogenannte DefenderHardeningSuite (DHS) entwickelt. Das ist ein kostenloses, Authenticode-signiertes Werkzeug aus Potsdam, das die versteckte n Möglichkeiten des Defenders (ASR-Regeln, Überwachter Ordnerzugriff, Netzwerkschutz, Cloud-Blockstufe) sichtbar macht und mit wenigen Klicks scharf schaltet.
Die DHS ist für kleine und mittlere Firmen ohne Intune/MDE gedacht. Kern ist ein Regelkreis:
- Defender-Ereignis -> Rechtsklick -> passende, regelspezifische Ausnahme.
- Dazu automatischer Snapshot vor jeder Änderung,
- Rollback ohne das Tool, keine direkten Registry-Eingriffe (nur dokumentierte Cmdlets),
- keine Telemetrie – und ein GPO-Startskript-Export für Flotten/MSPs.
Warum das für den einen oder anderen aus der Leserschaft interessant sein dürfte, beschreibt Stefan M so: "DHS ist der Gegenentwurf zur These 'Defender reicht schon so'". Der Leser meint dazu: Der Defender ist gut, aber ab Werk zahm eingestellt. DHS macht den Microsoft Defender in Windows "ehrlich scharf", ohne im Hintergrund Einstellungen in die Registry zu schreiben. Stefan schreibt dazu
Der Defender kann mehr, als Windows zeigt. Die DefenderHardeningSuite (DHS) macht die versteckten Schutzfunktionen des Microsoft Defender sichtbar und mit wenigen Klicks nutzbar – kostenlos, signiert, ohne Telemetrie – für kleine und mittlere Unternehmen und ihre IT-Dienstleister.
Die DefenderHardeningSuite der byteland software solutions e.K. (Potsdam) holt die Einstellungen und Möglichkeiten an die Oberfläche, erklärt sie und schaltet sie kontrolliert scharf – und alles ohne teure Enterprise-Lizenzen (Intune / Defender for Endpoint).
DefenderHardeningSuite (DHS), Screenshot Byteland
Das Werkzeug (DHS) ist kostenlos, Authenticode-signiert, greift ausschließlich über
dokumentierte Microsoft-Cmdlets zu und sendet keine Telemetriedaten. Der DHS steht für Windows 10/11 und Windows Server 2016–2025 mit deutscher und englischer Oberfläche zur Verfügung. Weitere Details zum DHS sind der Seite hier zu entnehmen.
Ähnliche Artikel:
Microsoft sagt, dass der Defender als Virusschutz ausreicht
Rückzieher: Microsoft Löscht Beitrag, der den Defender "als ausreichend" darstellt
Windows Defender stirbt mit App-Crash beim Schnellscan (18.8.2026)
I: Microsoft Defender hält Synology-Backups für einen Trojaner (3.8.2026)
II: Nachtrag zum Defender-Fehlalarm: Rückmeldung von Synology und Microsoft
III: Synology erklärt, warum die zweite Backup-Warnung nie kommt
IV: Microsoft Defender Zulassen-Entscheidung im Defender verfällt nach sieben Tagen
MVP: 2013 – 2016
Wow, das Tool feier ich gerade hart ab.
Ich nutze dieses Jahr, um mein Toolset bei Kunden nach meinen Vorstellungen zu erweitern. U.a. mit dem Proxmox Mail Gateway Spam und Phishing Versuche zu unterbinden. Hierzu habe ich eine Einrichtungsanleitung des Proxmox MG geschrieben, weil meine Filterquote durchaus ansehnlich hoch ist. Zuästzlich habe ich einen eigenen Policyservice für Postfix geschrieben, der einen erheblichen Teil böser Mails bereits vor dem Spamassassin in Postfix filtert.
Mein Mantra ist hier, dass ich keinen über ClamAV hinausgehenden Virenschutz brauche, weil der Angriffsvektor nicht mehr angehängte .exe Dateien sind, sondern über Links mit Internet-Netzlaufwerken kommt, auf denen bösartige WSH Skripte liegen. Hierfür habe ich mir (mit KI) eine Erweiterung für Proxmox MG geschrieben, der bei Spamverdacht die Links über ein Warnfenster leitet. Diese Erweiterung "Defang" habe ich ebenfalls kostenfrei ins Proxmox Forum und auf meine Webseite gestellt.
Leider sind diese bösartigen Links manchmal in PDFs versteckt und gelegentlich erreicht eines davon den Kunden. Also habe ich gedacht: Du musst dir ein Härtungstool schreiben (mit KI), welches WSH verbietet, Firewallregeln für den Zugriff auf Samba-Shares unter öffentlichen IP-Adressen, etc.
Das Tool ist bisher rudimentär und erst auf 3 Test-PCs ausgerollt.
Byteland scheint nun genau das in Perfektion vorweggenommen zu haben. Echt gut.
Weil ich nicht weißt, ob Herr Born das in seinem Block haben möchte, zum einfacheren Löschen:
Einrichtungsanleitung / Filtertuning PMG:
https://www.krause-computer.de/proxmox/proxmox-mail-gateway-konfigurieren
Policyguard – Postfix Filtertool:
https://www.krause-computer.de/proxmox/policyguard-early-reject-postfix-policy-spamfilter-fuer-google-co
Defang / Rewrite Mail URLs für PMG
https://www.krause-computer.de/proxmox/mail-gateway-rewrite-urls-in-mail-bodies-on-high-score
Muss ich mir mal ansehen, bis jetzt nutzte ich https://www.cyberlock.global/defenderui.aspx .
Mmmh, Windows ist bereits gehärtet und Defender nutz ich nicht (zu viele störende Macken und Unzulänglichkeiten), aber für Family & Friends die unbedingt den Defender wollen, wird das wohl der passende Companion ;-P
Sieht zumindest gut aus muss ich mal auf nem Testrig evaluieren.
Thx für die Vorstellung.
frickel mal schön weiter, Kleiner. Du wirst es nie verstehen;-P
Na ich weiß nicht… Als ich mir das Ganze mal kurz angesehen habe, war ich vom Umfang und vom Lernaufwand erst mal erschlagen. Für Family & Friends halte ich das nicht gerade geeignet. Es setzt schon ein hohes Maß an Vorkenntnissen voraus nur um die Hilfetexte und Erklärungen zu verstehen. Und hat man es für eine Einzelfunktion verstanden, gilt das noch lange nicht für die Zusammenarbeit mehrerer Funktionen. Vielleicht verstehe nur ich es nicht, aber ich halte das Ganze für eine große Kanone, die man auf einen kleinen Spatz richtet. Ich kann mir gut vorstellen, dass nach unbedarfter Anwendung auf einmal verschiedene Dinge nicht mehr funktionieren und der Rückweg mühsam wird. Ich hatte mich vor Jahren schon einmal mit dem Thema beschäftigt und erinnere mich schwach, dass es für die Nichtnutzung einzelner Härtungstipps gute Gründe gab (u.a. abhängig von der verwendeten Hardware.) Ich werde es mir aber trotzdem mal ansehen bzw. mir die dazu gehörende Internetseite gründlich durchlesen. Dümmer wird man nicht davon.
Profil – Presets – "Hardening, ASR/CFA Audit". Das bringt eine deutliche Grundhärtung mit. Dann unter CFA alle Ordner eintragen, wo der Benutzer Daten hinschreibt. Die üblichen Verdächtigen sind da schon als Standard drin. Dann Profil – Lern-Assistent starten und nach einer Woche auswerten. Wenn dort dann Einträge auftauchen und legitim sind, als Ausnahmen hinzufügen (ASR/CFA). Danach scharf schalten über Preset: Hardening, ASR/CFA Block, Hardening plus, ASR/CFA Block oder (meine Empfehlung) byteland recommendation.
Wenn dann noch etwas geblockt wird, meldet Windows Defender das. Dann kann man unter Ereignisse Ausnahmen per rechter Maustaste aus dem Event erstellen. Also alles sehr simpel. Alle weiteren Einstellungen sind dann was für "Nerds" oder für Leute mit höherem Schutzbedarf. Und: Du kannst die Einstellungen als Snapshot speichern und auf einen weiteren Rechner übertragen.
Super Tool.
positiv:
– gutes übersichtliches Interrface.
– Gute Dokumentation.
Im Reiter "Härten" die Fragezeichen anklicken oder im Reiter "ASR" Rechtsklick und "Hilfe zu dieser Regel".
– bereits gesetzte GPOs werden erkannt.
Diese stehen dann im Reiter "Härten" im unteren Kasten ("nicht einstellbar – nur Anzeige") und im Reiter "ASR" sind diese ausgegraut.
Dadurch kann das Tool die Admin-Vorgaben nicht überschreiben und nicht zerstören.
– Es funktioniert trotz scharf eingestelltem Applocker mit auch für Admins blockierten Temp-Ordnern.
In diesem Modus versagt selbst dism.
Auch Powershell läuft dann nur noch im eingeschränkten "Constrained Language Mode".
Das Tool läuft sauber durch.
Technisch ist das sehr gut gelöst.
– Im Reiter "Verlauf" wird protokolliert welche Einstellungen man verändert hat.
– Im Reiter "Übersicht" wird sogar erkannt, wenn Einstellungen wirkungslos sind, weil diese von anderen Einstellungen abhängen, die ihrerseits in den Sicherheitseinstellungen des Defender oder per GPO blockiert wurden.
Beispiel 1:
"Cloudschutzstufe" hängt von MAPS (Cloudbasierter Schutz) ab
Falls "Cloudbasierter Schutz" in den Defender-Sicherheitseinstellungen oder "MAPS" in den Gruppenrichtlinien des Defender deaktiviert ist, dann ist die eingestellte "Cloudschutzstufe" irrelevant bzw zwecklos.
Beispiel 2:
"Netzwerkschutz" hängt von der "SmartScreen"-Funktion ab
Falls SmartScreen deaktiviert ist, dann ist die eingestellte "Netzwerkschutz"-Stufe zwecklos.
—
So ein Tool wäre auch für den Applocker wünschenswert.
Applocker … bin schon dran. ;-)
Das Tool heißt mittlerweile App Control for Business.
Richtig, weil MS sehr offensichtlich Spaß daran hat, regelmäßig Funktionen oder Dienste neu zu benennen. Im GPO-Editor heißt es übrigens immer noch AppLocker. ;-)) Es hat sich also offensichtlich selbst bei MS noch nicht bis in jede Ecke herumgesprochen.
Wenn es so weiter geht, gehört byteland nächstes Jahr wohl zu Microsoft. ;-D
Spaß beiseite, die DSH ist hilfreicher als die Tools von Microsoft und der App Control for Business Wizard (https://learn.microsoft.com/en-us/windows/security/application-security/application-control/app-control-for-business/design/appcontrol-wizard) wird bestimmt auch heftig abstinken.
Vielen Dank!
Alles, was ausschließlich lokal konfiguriert wird, kann von einem Angreifer mit lokalem Zugriff auch wieder deaktiviert werden. Ohne zentrale Cloud-Verwaltung und Tamper Protection ist die Schutzwirkung daher nur eingeschränkt gegeben.
Das gilt doch im Umkehrschluss auch für die Cloud, oder?
Da müsste der Angreife auch die Cloud kompromittiert haben.
Ein Defender XDR im Verbund mit E5 Secutity sind eine ganz andere Welt.
Also schaut man sich die Meldungen7Vorfälle der letzten Jahre mal an ist es weitaus einfacher die Cloud zu infiltrieren als ein gesichertes /gehärtetes OnPrem System!
MS kann bis heute nicht zu 100% sicher sagen ob sie die Angreifer draußen hat!
Was genau meinst du mit "Tamper Protection"?
– Schloss am PC-Gehäuse
– UEFI-Passwort
– Secure-Boot aktiviert
– Bitlocker aktiviert (oder VeraCrypt)
– Applocker aktiviert
– Defender Manipulationsschutz
– ASR-Regeln
– Anmeldung nur mit Smartcard bzw Passkey
Was gibt es sonst noch?
Ein lokaler Angreifer, der die Bitlocker-Verschlüsselung umgehen kann, etwa durch eine manipulierte WinRE, der könnte auch die Registry kopieren und auf seinem eigenen System mounten, die Defender (auch XDR) Dienste und den Anwendungsidentität-Dienst (für Applocker) per Registry abschalten, den manipulierte Registry-Hive zurückschreiben und danach hat er freie Hand, denn dann kann er Tools zur Rechteausweitung starten, da weder Applocker noch Defender XDR das blockieren können, wenn deren Dienste aus sind.
Mich würde mal interessieren, wie ein modifiziertes WinRE Bitlocker umgehen will. Verschlüsselt ist verschlüsselt.
Ansonsten: Tamper, das ist ein Manipultionsschutz innerhalb des Antivirus, der z.B. auch erkennt, ob der Schutz insgesamt unautorisiert angehalten wird.
Wie das funktioniert wissen wir dank des "YellowKey"-Exploits von NightmareEclipse (alias ChaoticExlipse).
Das stand auch hier mehrmals im Blog.
Microsoft hatte danach eine aktualisierte WinRE veröffentlicht.
Wenn man aber eine ältere WinRE ohne diesen Patch installiert, dann ist YellowKey wieder aktiv und lässt sich ausnutzen, indem man die Dateien aus dem Zip, das der Hacker NightmareEclipse veröffentlicht hatte, in die WinRE hineinkopiert und dadurch die Backdoor aktiviert.
Bitlocker lässt sich dann entschlüsseln bzw bleibt entschlüsselt, wenn man diese WinRE bootet.
Auch das geht ohne Zugriffsrechte und Bitlockerkey nicht. Wenn man so weit ist, braucht man schon nichts weiteres mehr zu cracken.
Der Manipulationsschutz des Defender ist aber völlig wirkungslos, wenn die Defender-Dienste gar nicht erst laufen.
Das kann man über die Registry machen, indem man in den Services den Starttyp auf 4 = disabled einstellt.
An die Registry kommt man heran, indem man die Registry-Datei in ein anderes System mounted und dann dort die Werte einträgt. Nach unmount dieser geänderten Datei stehen die Werte dann im angegriffenen System drin und die Dienste des Defender sind dann aus.
Der Registry-Zweig HKLM\System steht in der Datei %Windir%\SYSTEM32\Config\System
und HKLM\Software steht im selben Pfad in der Datei "Software".
Früher hieß die Datei noch System.dat.
Heute fehlt die Dateierweiterung ".dat".
Die anderen Registry-Zweige stehen in ntuser.dat im User-Profil.
*ttps://learn.microsoft.com/de-de/troubleshoot/windows-server/performance/windows-registry-advanced-users
Im Windows 10 hat der Defender 3 Dienste MDCoreSvc, WdNisSvc, WinDefend im Registry-Zweig
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\
Wenn man dort jeweils bei "Start" den Wert 4 (disabled) einstellt, dann ist nach einem Neustart der Defender inklusive Manipulationsschutz aus.
Dazu brauchst du direkten unkontrollierten Zugriff auf das System bzw. die Datei. Wird bei verschlüsseltem Laufwerk sehr aufwändig… Und in dem Moment solltest du schon den Bitlockerkey haben, so dass man sich den Aufwand sparen kann.
https://learn.microsoft.com/de-de/defender-endpoint/manage-tamper-protection-microsoft-365-defender
Hat man Zugriff direkt auf die Hardware vor Ort ist eh nix sicher!
Nichts ist absolut sicher, bei keinem Anbieter. Es gibt EDRKiller die dir jede Schutzsoftware aushebeln können. Das wären dann allerdings gezielte Angriffe.
Tamper Protection kann man lokal nur elevated umgehen. Wenn man also nicht als Admin arbeitet, und das sollte selbstverständlich sein, ist Tamper Protection sehr wirkungsvoll. Man kann die Werte per Powershell setzen, sie werden dann aber kommentarlos verworfen. DHS zeigt das übrigens unmissverständlich an und berührt Tamper Protection nie (Design).
Ich finde das Tool wirklich gelungen und gut durchdacht. Zudem ist wirklich alles akribisch dokumentiert.
Da ich bei lieber direkt per GPO steuere hab ich das Tool lokal installiert, die GUIDs welche interessant sind kopiert und dann per GPO auf blockieren gestellt.
Dafür ist das Deploy-Script gedacht. Da ist dann auch gleich ein lokales Log pro Arbeitsstation und ein Regelwerk enthalten, dass den Schutz nie absenkt. Und natürlich umfangreich dokumentiert und anpassbar.
Stimmt, da musste ich erst ganz weit runter scrollen. Das schau ich mir nochmal an, danke.
Wie ist dieses Tool im Vergleich mit den alteingesessenen Tools DefenderUI und ConfigureDefender?
Kann es irgendetwas besser?
Es kann beispielsweise präzise Ausschlüsse für ASR-Regeln. Die gelten dann pro Regel und nicht global für alle Regeln. Einfach per rechter Maustaste aus dem Event. Gleiches für CFA. Weiterhin erschließt es noch weit mehr Defender-Einstellungen. Alles über die offiziell von Microsoft dafür vorgesehenen Cmdlets. Läuft auch im "Constrained Language Mode" und schreibt – aus Gründen der Sicherheit – keine temporären Dateien auf die Festplatte.
Mal eine Frage zu diesem Tool. Kann man dieses Tool auch für einen Heimcomputer nutzen, oder ist es nur für Unternehmen gedacht. Habe Windows 11 Home.
Funktioniert problemlos.
Vielen Dank.
Da wäre noch etwas.
1. Was passiert, wenn die monatlichen Windows Updates eingespielt werden? Bleiben die Einstellungen erhalten?
2. Ich habe auf der AMTSO-Seite mal versucht, den Defender auf Phishing zu testen. Leider reagiert er nicht auf den Test. Habe Bedenken bzgl. der Vertrauenswürdigkeit des Defenders.
3. Ich habe mein Windows 11 Home mit einem lokalen Konto installiert und verwende das Microsoft Konto nur, wenn ich mich im Store anmelden muss. Hat das irgendeinen Nachteil für den Schutz meines Rechners, oder schützt der Defender nur dann vollständig, wenn ich mich mit einem Microsoft Konto angemeldet habe?
Entschuldigen sie bitte meine Fragerei, aber ich bin leider kein Profi und ein wenig mißtrauisch.
LG
Der Defender unterscheidet sich nicht zwischen den Versionen einer Generation. Die Engine ist also bei W11 pro, home etc. gleich. Ein Update ändert daran auch nichts, da das Tool die offiziellen Cmdlets von Microsoft nutzt. Man könnte alle Einstellungen auch mit der Powershell von Hand machen. Ist allerdings deutlich komplizierter und aufwendiger.
Danke vielmals für die Info.
Also kann ich mich, bei normalen Umgang mit dem Internet, zurücklehnen und den Defender vertrauen? Ich benötige also kein anderes AV?
LG, Olaf
Genau, Olaf. Der Defender ist ausreichend.
Dann werde ich darauf vertrauen und den Defender seine Arbeit machen lassen.
Danke.
LG
https://byteland.de/werkstatt/verhindern-oder-aufraeumen.html
Hier mal ein Vergleich.
https://byteland.de/werkstatt/defender-empfehlung-arbeitsplatz.html
Und die Empfehlungen.
Grandioses Tool! Ich bin von Stefan Matz und seinem Team begeistert! Hut ab!