Feature „Bei erster Anzeige blockieren“ konfigurieren
Dieser `REG_DWORD`-Wert steuert die Microsoft-Defender-Antivirus-Funktion „Bei erster Anzeige blockieren“.
seit 0.9.8.11
Zweck
Registry-Schlüssel anzeigen (1)
HKLM\Software\Policies\Microsoft\Windows Defender\Spynet\DisableBlockAtFirstSeen
Dieser REG_DWORD-Wert steuert die Microsoft-Defender-Antivirus-Funktion „Bei erster Anzeige blockieren“. Die Wertlogik ist wegen des Präfixes Disable umgekehrt: 0 aktiviert die Funktion, 1 deaktiviert sie. Entsprechend schaltet der Richtlinienstatus „Aktiviert“ die Funktion ein, obwohl dabei der Wert 0 verwendet wird.
Ist die Funktion aktiv, fragt Microsoft Defender Antivirus bei verdächtigen, bislang unbekannten Inhalten aus dem Internet beziehungsweise der Internetzone den Cloudschutz ab, bevor deren Ausführung oder Zugriff zugelassen wird. Dies betrifft ausführbare Dateien sowie nicht portable ausführbare Inhalte wie JavaScript-, VBScript- oder Makrodateien. Bei ausführbaren Dateien kann zunächst der Dateihash zur Bewertung an den Cloudschutz übermittelt werden.
Kann der Cloudschutz keine eindeutige Bewertung liefern, hält Microsoft Defender Antivirus die Datei vorübergehend gesperrt und kann eine Kopie zur weiteren Analyse an Microsoft übermitteln. Abhängig vom Analyseergebnis wird die Datei anschließend zugelassen oder als Bedrohung blockiert.
Hinweise
Weitere Wirkungen
Die Funktion kann die Erkennung und Blockierung neuer Schadsoftware gegenüber ausschließlich lokal verfügbaren Erkennungsinformationen erheblich beschleunigen. Sie verändert jedoch nicht eigenständig die Einstellungen für Cloudschutz oder Beispielübermittlung. Insbesondere werden diese Einstellungen durch DisableBlockAtFirstSeen = 1 nicht automatisch deaktiviert.
Sicherheit
Mit DisableBlockAtFirstSeen = 1 entfällt die zusätzliche Cloudprüfung vor der erstmaligen Ausführung oder Verwendung der betroffenen Inhalte. Dadurch sinkt der Schutz vor neuen oder noch nicht durch lokale Sicherheitsinformationen erkannten Bedrohungen. Der übrige Echtzeit- und Cloudschutz wird durch diesen Wert allein nicht vollständig abgeschaltet.
Bei aktiver Funktion können Dateihashes und, wenn eine Bewertung weitere Analysen erfordert, Dateikopien an den Microsoft-Clouddienst übermittelt werden. Welche Beispiele automatisch gesendet werden dürfen, hängt von der gesonderten Richtlinie für die Beispielübermittlung ab.
Mögliche Nebenwirkungen
Verdächtige, aber legitime und bislang unbekannte Dateien können während der Cloudanalyse vorübergehend nicht ausgeführt oder geöffnet werden. Die Dauer hängt unter anderem vom konfigurierten Zeitlimit für Cloudblocks und von der Erreichbarkeit des Cloudschutzdienstes ab.
Hinweise
Die Funktion ist von mehreren anderen Schutzkomponenten abhängig. Der Cloudschutz beziehungsweise die MAPS-Teilnahme und der Echtzeitschutz müssen aktiv sein. Außerdem muss die Überprüfung heruntergeladener Dateien und Anlagen eingeschaltet sein.
Für die Beispielübermittlung unterstützen die Werte 1 („Sichere Beispiele senden“) und 3 („Alle Beispiele senden“) die vollständige Funktion. Der Wert 0 („Immer auffordern“) verringert den Schutzumfang; bei 2 („Nie senden“) funktioniert „Bei erster Anzeige blockieren“ nicht.
Wenn der Manipulationsschutz aktiv ist, werden Änderungen an dieser Richtlinieneinstellung möglicherweise nicht angewendet.
Microsoft-Dokumentation
Microsoft Learn: ADMX_MicrosoftDefenderAntivirus Policy CSP – DisableBlockAtFirstSeen
Microsoft Learn: Blockierung beim ersten Auftreten in Microsoft Defender Antivirus konfigurieren