![\"Bug\"](\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2025\/10\/bug05.jpg\" "\\"Bug\\"")
Der Microsoft Defender h\u00e4lt Synology-Backups auf den Servern der Betroffenen f\u00fcr einen Trojaner und schiebt diese Software in Quarant\u00e4ne, was einige Probleme bringt. Nun hat mir der Leser weitere Informationen in Form von R\u00fcckmeldungen von Synology und Microsoft zukommen lassen.<\/p>\n
<\/p>\n
Das Problem ist schnell beschrieben: Der Microsoft Defender h\u00e4lt oder hielt Synology-Backups auf verschiedenen Servern f\u00fcr einen Trojaner. Dadurch laufen die Sicherungen nicht mehr durch. Zum echten Problem f\u00fcr Administratoren wird das Ganze, weil die Defender-Option \"Zulassen\" f\u00fcr den in Quarant\u00e4ne geschobenen Prozess die ganze Erkennungsregel abschaltet.<\/p>\n
Das Problem, welches mir von Blog-Leser Stefan M. zugetragen wurde, hat einige weitere Administratoren betroffen. Ich hatte im Beitrag I: Microsoft Defender h\u00e4lt Synology-Backups f\u00fcr einen Trojaner<\/a> (3.8.2026)<\/em> die Details sowie die tiefere Analyse des Blog-Lesers bereits eingestellt.<\/p>\n Der Blog-Leser schrieb mir in einer Nachtrags-Mail:\u00a0Aus dem Diagnosepaket eines betroffenen Servers l\u00e4sst sich das Rollout-Fenster pr\u00e4zise datieren: Die Erkennungen laufen von 01.08.2026, 04:01:56<\/em> bis 02.08.2026, 05:00:50<\/em>, 32 Ereignisse im Stundentakt, Signaturstand 1.455.482.0.<\/p>\n Und Active Backup for Business feuert nicht nur den Verbindungstest, sondern zus\u00e4tzlich eine Ausf\u00fchrbarkeits-Sonde: Sie legt eine leere Datei:<\/p>\n an, f\u00fchrt sie aus und l\u00f6scht sie sofort wieder. Blog-Leser Stefan M. meint dazu:<\/p>\n Inhaltlich nichts. Als Verhaltensmuster gelesen aber \"Skript in TEMP schreiben, starten, Spuren beseitigen\" \u2013 womit sich die Frage, warum eine ML-Heuristik anschl\u00e4gt, weitgehend von selbst beantwortet.<\/p><\/blockquote>\n Zum Schluss der Befund, der den Leser am meisten besch\u00e4ftigt und den er f\u00fcr den eigentlich gef\u00e4hrlichen h\u00e4lt. Der Befund hat mit dem Defender gar nichts zu tun, sondern liegt im grunds\u00e4tzlichen Konzept. Es geht um die Frage: \"Bekommt der Administrator \u00fcberhaupt mit, dass es Probleme bei der Sicherung gibt und kann er dies erkennen?\".<\/p>\n Zum Hintergrund:\u00a0Die Hypervisoren des Blog-Lesers sichern die virtuellen Maschinen zu Arbeitszeiten st\u00fcndlich. Als die Sicherungen ausfielen, kam zwar eine Benachrichtigung: Allerdings nur f\u00fcr den ersten Fehlschlag. Danach gab es keine Benachrichtigungen mehr. Stunde um Stunde schlugen weitere L\u00e4ufe fehl, die Benachrichtigung erfolgte nicht mehr.<\/p>\n Das klingt nach einer Kleinigkeit, ist aber das Gegenteil, argumentiert der Leser. Eine fehlgeschlagene Sicherung ist Alltag f\u00fcr die IT-Abteilungen: Es gibt Netzh\u00e4nger, es treten Neustarts auf, es gibt ein Wartungsfenster und andere Ursachen, so dass eine Sicherung nicht ausgef\u00fchrt werden kann.<\/p>\n Kein vern\u00fcnftiger Administrator eskaliert deswegen, denn in einer Stunde l\u00e4uft der n\u00e4chste Versuch. Blog-Leser Stefan M. schrieb dazu: \"Eine Meldung ist Rauschen. Drei Meldungen in Folge w\u00e4ren das Signal [das etwas schief l\u00e4uft]. Genau dieses Signal kommt nicht.\"<\/p>\n Beim Leser blieb der Ausfall deshalb stundenlang unbemerkt \u2013 nicht weil die Alarmierung aus war, sondern weil der Administrator exakt die eine Nachricht bekam, die man, so Stefan M.,\u00a0 gelernt hat als unauff\u00e4llig einzuordnen. Und es gab keine der Art von Nachrichten, die dem widersprochen h\u00e4tten. Das Perfide ist das Timing, argumentiert der Leser: \"Ein vor\u00fcbergehender Fehler erzeugt eine Meldung und 'l\u00f6st sich auf'. Ein dauerhafter Fehler erzeugt ebenfalls eine Meldung \u2013 und dann Stille, ununterscheidbar von Erholung. Je ruhiger es wird, desto schlimmer steht es.\"<\/p>\n Die Benachrichtigungen sind auf allen betroffenen Ger\u00e4ten korrekt konfiguriert, Testmeldungen kommen an; ein Konfigurationsfehler ist es nicht. Synology hat laut Blog-Leser inzwischen zugesagt, dem Punkt als eigenst\u00e4ndigem Problem nachzugehen.<\/p>\n Den Blog-Leser besch\u00e4ftigt daran vor allem, dass diese L\u00fccke bei jeder Ursache auftritt, die eine Agent-Verbindung h\u00e4ngen l\u00e4sst. \"Der Defender hat diese L\u00fccke nicht gebaut, er hat sie nur sichtbar gemacht.\" schrieb mir der Leser.<\/p>\n Blog-Leser Stefan M. hat sich zum 4. August 2026 dann per E-Mail mit dem Betreff \"Nachtrag zum Defender-Fehlalarm: Synology r\u00e4umt ein, Microsoft winkt ab \u2013 und der Kunde sitzt im Patt<\/em>\" zur\u00fcckgemeldet. Dazu merkte er an, dass er sich deutlich schneller als erwartet zur\u00fcckmelden k\u00f6nnen. Denn er hatte zum 3. August 2026 bereits zwei Antworten von Synology und eine von Microsoft bekommen hat.<\/p>\n Der urspr\u00fcngliche Tenor aus Teil 1 (Microsoft Defender h\u00e4lt Synology-Backups f\u00fcr einen Trojaner<\/a><\/em>) mit dem Tenor \"Virenscanner erkennt Backup falsch\" hat sich laut Leser zum \"Patt, in den der Kunde ger\u00e4t\" gemausert. In Teil 1 wurde ja gezeigt, dass der Microsoft Defender eine Kommandozeile von Synology Active Backup for Business als Trojan:Win32\/Commando.A!ml <\/em>erkennt und entfernt. Die Sicherungen \u00fcber die Software bleiben stehen und der Administrator hat ein Problem.<\/p>\n Der\u00a0 naheliegende Klick auf die Defender-Option Zulassen<\/em> schaltet dabei die komplette Erkennungssignatur ger\u00e4teweit ab. Und dies gilt unbefristet und f\u00fcr f\u00fcr Audits unsichtbar. Der Sachverhalt ist ausf\u00fchrlich im verlinkten Teil 1 analysiert und besprochen worden.<\/p>\n Blog-Leser Stefan M. hatte den in Teil 1 beschriebenen Fall bei Synology als Ticket eingereicht. Die erste Antwort des technischen Supports nannte zwei Schritte. Schritt 1 lautete w\u00f6rtlich: \"Klicken Sie auf Aktionen und w\u00e4hlen Sie Auf Ger\u00e4t zulassen.\" <\/i>Das wurde a<\/i>usdr\u00fccklich als vor\u00fcbergehende<\/i> Ma\u00dfnahme bezeichnet.<\/p>\n War nat\u00fcrlich ein \"Schuss in den Ofen\", der dem Leser nicht half. Denn er hatte ja vorher in der Analyse die Implikationen gesehen und ich habe diese in Teil 1 (Microsoft Defender h\u00e4lt Synology-Backups f\u00fcr einen Trojaner<\/a><\/em>) ausf\u00fchrlich beschrieben.<\/p>\n Martin schrieb dazu: \"Das ist, mit Verlaub, genau der Klick, dessen Nebenwirkung ich tags zuvor beschrieben hatte. Der Hersteller empfiehlt seinen Kunden also aktiv, auf ihren Hypervisoren eine Erkennungsregel gegen kodierte PowerShell mit Netzwerkverbindung abzuschalten \u2013 ausgerechnet auf den Maschinen, auf denen s\u00e4mtliche virtuellen Server eines Unternehmens liegen.\"<\/p>\n Schritt 2 empfahl Ordner- und Prozessausschl\u00fcsse, unter anderem f\u00fcr hyperv_helper.exe<\/em>. Blog-Leser Stefan M. hat\u00a0habe daraufhin Einspruch gegen die Antwort bzw. Anweisung des Synology-Supports eingelegt: Denn Schritt 1 ist keine Ausnahme, sondern eine Abschaltung der Erkennung. Das Ereignis 5007 h\u00e4lt den Registry-Wert fest:<\/p>\n ThreatIDDefaultAction\\2147840094 = 0x6<\/p><\/blockquote>\n Und Schritt 2 kann gar nicht greifen, weil die Erkennung dateilos (file less) ist. Beim Ressourcentyp CmdLine:_\u2026 <\/em>ist ja keine Datei beteiligt. Ein Prozessausschluss \u00fcberspringt laut Microsofts eigener Dokumentation nur die Dateien, die ein Prozess \u00f6ffnet \u2013 keine Kindprozesse und keine Kommandozeilen.<\/p>\n Der Leser hat dann auf seine Kritik eine zweite Antwort des\u00a0Synology-Supports mit einer \"sauberen\" L\u00f6sung erhalten. Dazu schrieb er: \"Die zweite Antwort hat mich positiv \u00fcberrascht, deshalb zitiere ich sie etwas ausf\u00fchrlicher.\" Vom Synology-Support hei\u00dft es:<\/p>\n \"Sie haben in beiden Punkten recht, und wir werden nicht versuchen, dies anders darzustellen. Diese Ma\u00dfnahme muss dauerhaft in Kraft bleiben \u2014 und nicht nur als einmaliger \u201avor\u00fcbergehender' Schritt \u2014, da Active Backup for Business auch bei jeder zuk\u00fcnftigen Sicherung auf dieselbe PowerShell-basierte Kommunikation angewiesen ist. [\u2026] Sie haben auch recht, dass die Erkennung dateilos und Befehlszeilen-basiert ist. Aus diesem Grund greifen die Ordner-\/Prozessausschl\u00fcsse in Schritt 2 nicht zuverl\u00e4ssig \u2014 Schritt 1 ist in der Praxis derzeit die einzige M\u00f6glichkeit, diesen Sicherungspfad funktionsf\u00e4hig zu halten.\"<\/i><\/p><\/blockquote>\n Dazu die Best\u00e4tigung, dass hyperv_helper.exe<\/em> eine legitime Komponente ist, die PowerShell zur Kommunikation mit der NAS nutzt, und dass die Blockade selbst die Fehlerursache ist \u2013 nicht etwa eine unzul\u00e4ngliche Konfiguration. Synology sagte au\u00dferdem zu, den Fehlalarm als Hersteller an Microsoft zu melden und zu pr\u00fcfen, ob der Verbindungstest anders implementiert werden muss. Beides allerdings ohne Zeitplan, bis wann das umgesetzt sein soll (was in der aktuellen Situation nachvollziehbar ist).<\/p>\n Blog-Leser Stefan M. merkt dazu an: \"Das ist eine offene Antwort, wie man sie selten bekommt, und ich m\u00f6chte das ausdr\u00fccklich anerkennen. Sie bedeutet allerdings auch: Der Hersteller r\u00e4umt ein, dass seine einzige verf\u00fcgbare Empfehlung darin besteht, dauerhaft eine Schutzfunktion abzuschalten.\"<\/p>\n Parallel hatte der Leser den Fehlalarm des Defender bei Microsoft eingereicht. Wie in Teil 1 erw\u00e4hnt geht dies nur \u00fcber die \"Fileless-Route\" mit dem Diagnosepaket MpSupportFiles.cab<\/em>, da es ja keine Datei zum Hochladen gibt. Der Vorgang ist inzwischen abgeschlossen. Das Urteil des Analysten:<\/p>\n \"The submitted files have been analyzed and confirmed to be benign and harmless. However, they contain patterns that match our detection logic and may trigger detection. [\u2026] If detection on these files is not desired, users are advised to carefully evaluate the use of exclusions.\"<\/i><\/p><\/blockquote>\n Microsoft best\u00e4tigt also die Harmlosigkeit, schrieb der Leser, und teilt mit, dass man die Erkennung nicht \u00e4ndert. Als Abhilfe wird auf Ausschl\u00fcsse<\/b> verwiesen. Auf genau das Mittel, von dem Synology und der Leser inzwischen beide festgestellt haben, dass es bei dieser Erkennungsart nicht funktioniert.<\/p>\n Die Antwort der Microsoft-Analysten spricht durchgehend von \u201ethe submitted files\"<\/i> und verlinkt Anleitungen f\u00fcr Datei-Ausschl\u00fcsse. Der Leser vermutet, der dateilose Charakter der Meldung ist dort schlicht nicht angekommen. B\u00f6se Zungen t\u00e4ten sagen: \"Wenn der kein Video eingereicht hat, verstehen die das bei Microsoft nicht\", aber das w\u00e4re billige Polemik.<\/p>\n Blog-Leser Stefan M. bringt das Dilemma f\u00fcr Administratoren bei dieser Konstellation auf den Punkt:<\/p>\n Damit herrscht ein Patt und der Administrator sitzt mitten drin. Blog-Leser Stefan M. schrieb dazu:<\/p>\n Wer in dieser Lage seine virtuellen Maschinen weiter gesichert haben will, hat genau eine Option \u2013 und die steht anschlie\u00dfend als Registry-Wert auf seinem Hypervisor, den kein Audit-Skript findet.<\/p><\/blockquote>\n Der Leser hat sich f\u00fcr diesen Weg entschieden, weil ungesicherte Server das gr\u00f6\u00dfere Risiko w\u00e4ren. Aber die Zulassung der Ausnahme ist in diesem Fall eine dokumentierte, befristete Abweichung mit Wiedervorlage, nicht ein stiller Dauerzustand. Das sei der Unterschied zwischen einer bekannten und einer unbekannten Ausnahme, und es ist auch schon der ganze Trost, merkt der Leser an.<\/p>\n An dieser Stelle mein Dank an den Leser f\u00fcr die ausf\u00fchrliche Analyse des Sachverhalts aus Teil I sowie die obigen Erg\u00e4nzungen, die er mit der Leserschaft teilt.<\/p>\n Artikelreihe<\/strong> Der Microsoft Defender h\u00e4lt Synology-Backups auf den Servern der Betroffenen f\u00fcr einen Trojaner und schiebt diese Software in Quarant\u00e4ne, was einige Probleme bringt. Nun hat mir der Leser weitere Informationen in Form von R\u00fcckmeldungen von Synology und Microsoft zukommen lassen.<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[398,8537,161,2557],"tags":[4327,2699,24,8588,4313,4364],"class_list":["post-328177","post","type-post","status-publish","format-standard","hentry","category-backup","category-problem","category-virenschutz","category-windows-server","tag-backup","tag-defender","tag-problem","tag-synology","tag-virenschutz","tag-windows-server"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/328177","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=328177"}],"version-history":[{"count":5,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/328177\/revisions"}],"predecessor-version":[{"id":328184,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/328177\/revisions\/328184"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=328177"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=328177"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=328177"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}Zwei Nachtr\u00e4ge zur ersten Mail<\/h3>\n
%TEMP%\\ActiveBackup-[zufall].ps1<\/pre>\n
Das Problem der fehlenden Alarmierung bei Problemen<\/h3>\n
R\u00fcckmeldungen von Microsoft und Synology<\/h2>\n
Runde eins: Der Synology-Support empfiehlt …<\/h3>\n
Runde zwei: Sauberes Einlenken des Synology-Supports<\/h3>\n
Runde drei: Microsoft schlie\u00dft den Kreis<\/h3>\n
![\"Microsoft](\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2026\/08\/Microsoft-WDSI-Ergebnis-anonymisiert-2026-08-04-1024x758.jpg\")
<\/a>
\nMicrosoft WDSI-Ergebnis (2026-08-04), zum Vergr\u00f6\u00dfern klicken<\/a><\/em><\/p>\nDamit herrscht ein Patt, Nutzer steht im Regen<\/h2>\n
\n
\nI: Microsoft Defender h\u00e4lt Synology-Backups f\u00fcr einen Trojaner<\/a> (3.8.2026)
\nII: Nachtrag zum Defender-Fehlalarm: R\u00fcckmeldung von Synology und Microsoft<\/a>
\nIII: Synology erkl\u00e4rt, warum die zweite Backup-Warnung nie kommt<\/p>\n","protected":false},"excerpt":{"rendered":"