IV: Microsoft Defender Zulassen-Entscheidung im Defender verfällt nach sieben Tagen

In einer Artikelreihe hatte ich die Tage über einen Fehlalarm des Microsoft Defender bezüglich Synology-Backups berichtet. Dort hieß es, dass die Option "Zulassen" eine Erkennungsregel dauerhaft setzt. Der betroffene Leser hat sich in einem Nachtrag gemeldet und berichtet, dass die Option "Zulassen" nur für sieben Tage wirkt. Das ist undokumentiert, aber eventuell für weitere Administratoren aus der Leserschaft relevant.

Rückblick auf das Backup- und Defender-Problem

Es ist schon ein fettes Problem, was Blog-Leser Stefan M. Anfang August 2026 aufgeworfen hat. Der Leser hatte mich informiert, dass der von ihm auf Servern verwendete Microsoft Defender eine Verbindungsprüfung der Synology-Backup-Software (ABB) für einen Trojaner hält. Der Defender hat diese Software auf verschiedenen Servern des Lesers in Quarantäne geschoben. Dadurch laufen die Sicherungen nicht mehr durch.

Ich hatte im Beitrag I: Microsoft Defender hält Synology-Backups für einen Trojaner (3.8.2026) die Details sowie die tiefere Analyse des Blog-Lesers eingestellt. Später hat mir der Blog-Leser noch die Rückmeldungen von Microsoft und Synology auf seine Supportanfragen zukommen lassen (siehe wie ich im Beitrag II: Nachtrag zum Defender-Fehlalarm: Rückmeldung von Synology und Microsoft).

Sachstand ist, dass Microsoft nichts an seinen Signaturdateien zur Erkennung der Befehle ändert will. Synology prüft, wie die Verbindungsprüfung ausgeführt werden kann, ohne die Erkennung einer Schadfunktion durch den Microsoft Defender zu triggern. Wann da ein Fix kommt, ist offen. Für betroffene Administratoren ergeben sich gleich zwei Probleme:

• in Administrator kann im Microsoft Defender die fehlerhafte Erkennung des Synology Backups nicht einfach über die Schaltfläche "Zulassen" korrigieren. Denn der Trigger erfolgt über einen Befehl zur Verbindungsprüfung und Zulassen würde die Erkennungsregel des Defender dauerhaft außer Kraft setzen.
• Die Benachrichtigung, dass das Synology Backup gescheitert ist, kommt nur ein einziges Mal. Nach der ersten fehlgeschlagenen Sicherung erfolgt noch eine erste Meldung, danach bleibt die Alarmierung stumm.

Ich bin in den am Beitragsende verlinkten Teilen 1 bis 3 der Artikelreihe detaillierter auf die angesprochenen Punkte eingegangen.

Zulassen-Option deaktiviert Erkennung sieben Tage

Ein spezielles Problem war, dass die Defender-Option "Zulassen" die ganze Erkennungsregel über einen Registrierungseintrag abschaltet. Der Leser war der Annahme, dass dies dauerhaft gilt, hat aber noch etwas getestet und nur neue Erkenntnisse nachgereicht.

Dazu schrieb mir der Leser: "Zu Ihrer dreiteiligen Serie über den Defender-Fehlalarm bei Synology Active Backup for Business habe ich einen Nachtrag, der für die Betroffenen praktisch relevant sein dürfte."

Die Entscheidung „Zulassen" im Schutzverlauf ist nicht dauerhaft. Sie verfällt nach sieben Tagen.

Blog-Leser Stefan M. hat die Defender-Ereignisprotokolle von vier Virtualisierungs-Hosts vollständig ausgewertet. Auf allen vieren Hosts wurde die Zulassung am 2. August 2026 von ihm gesetzt. Das passierte jeweils wenige Minuten nach der letzten Erkennung von Synology Backup durch den Microsoft Defender. Auf allen vier Virtualisierungs-Hosts verschwand der Zulassen-Eintrag, der die Erkennungsregel aussetzt, nach sieben Tagen wieder. Das ging ohne Zutun eines Administrators, und wurde als Ereignis 5007 mit dem Systemkonto als Auslöser protokolliert.

Entfernt wird der Eintrag jeweils beim ersten Defender-Wartungslauf nach Ablauf der sieben Tage, schrieb mir der Leser. Da dieser Lauf auf jedem System zu einer anderen Uhrzeit greift, verteilt sich das Ende über zwei Kalendertage. Unmittelbar davor steht auf allen vier Virtualisierungs-Hosts, im Abstand von höchstens einer Sekunde, das Ereignis 1013 über das Entfernen von Verlaufsinformationen.

Stefan schrieb: "Die naheliegende Erklärung über die Aufbewahrungsfrist des Schutzverlaufs trägt nicht. Diese steht ab Werk auf fünfzehn Tage, und genau diesen Stichtag zeigen die Protokolle auch. Die Erkennungen stammen aber vom 1. und 2. August und waren am Löschtag erst acht Tage alt." Der Wartungslauf räumt laut Blog-Leser offenbar zweierlei ab, die Verlaufsdaten nach fünfzehn Tagen und die abgelaufene Zulassung nach sieben Tagen.

Eine Teilentwarnung mit Haken

Dazu schrieb Stefan M.: "Für Ihre Leser ist das eine Teilentwarnung mit Haken." Eine Entwarnung, weil die geräteweite Abschaltung der Erkennungsregel kein Dauerzustand ist. Das ist der gute Teil der Geschichte. Der Haken steckt im Umstand, dass niemand  mit dem oben sowie in den drei Teilen berichteten Verhalten rechnet.

Wer die Sicherung nach dem Klick auf "Zulassen" im Defender für repariert hielt, sieht sie sieben Tage später erneut ausfallen. Dann stellt der Betroffene aber i.d.R. den Zusammenhang zum eigenen Eingriff nicht mehr her. Und das Ganze tritt fuf jedem Host zu einer anderen Uhrzeit auf.

Dokumentiert ist dieses Verhalten nirgends, schrieb der Leser. Weder die Referenz zu Set-MpPreference und ThreatIDDefaultAction_Ids, noch die Beschreibung des Schutzverlaufs erwähnen einen Ablauf, und einstellen lässt sich der Ablauf auch nicht.

"Interessant finde ich den Vergleich mit Defender for Office 365", schrieb mir der Leser. Dort ist eine Ablauffrist für Zulassungen ausdrücklich vorgesehen und wählbar. Dort steht als Vorgabe ein Tag, sieben oder dreißig Tage, zur Auswahl. Den eigenen Stand prüft man mit einer Zeile:

(Get-MpPreference).ThreatIDDefaultAction_Ids

An dieser Stelle mein Dank an den Leser für diesen Nachtrag, der für den einen oder anderen Administrator in der Leserschaft möglicherweise hilfreich ist.

Artikelreihe
I: Microsoft Defender hält Synology-Backups für einen Trojaner (3.8.2026)
II: Nachtrag zum Defender-Fehlalarm: Rückmeldung von Synology und Microsoft
III: Synology erklärt, warum die zweite Backup-Warnung nie kommt
IV: Microsoft Defender Zulassen-Entscheidung im Defender verfällt nach sieben Tagen