Konfigurieren des Zusammenführungsverhaltens von lokalen Administratoren für Listen
Dieser computerbezogene Registry-Wert bestimmt, ob Microsoft Defender Antivirus lokal definierte Listeneinträge mit den zentral über Gruppenrichtlinien verwalteten Listen zusammenführt.
seit 0.9.8.11
Zweck
Registry-Schlüssel anzeigen (1)
HKLM\Software\Policies\Microsoft\Windows Defender\DisableLocalAdminMerge
Dieser computerbezogene Registry-Wert bestimmt, ob Microsoft Defender Antivirus lokal definierte Listeneinträge mit den zentral über Gruppenrichtlinien verwalteten Listen zusammenführt.
Bei 1 ist die lokale Zusammenführung deaktiviert. Für die wirksame Konfiguration werden ausschließlich die zentral verwalteten Listeneinträge verwendet. Lokal von Administratoren festgelegte Einträge werden nicht berücksichtigt.
Bei 0 oder nicht vorhandenem Wert werden eindeutige lokale und zentral verwaltete Einträge zusammengeführt. Widersprechen sich Einträge, haben die zentralen Richtlinieneinstellungen Vorrang.
Hinweise
Weitere Wirkungen
Das Zusammenführungsverhalten betrifft insbesondere:
- Ausschlusslisten von Microsoft Defender Antivirus
- Listen mit festgelegten Aktionen zur Bedrohungsbehebung
- Datei- und Ordnerausschlüsse für Regeln zur Verringerung der Angriffsfläche (Attack Surface Reduction, ASR)
Bei deaktivierter Zusammenführung werden außerdem lokal festgelegte Einstellungen für den überwachten Ordnerzugriff nicht in die wirksame Richtlinie übernommen. Dies betrifft unter anderem lokal hinzugefügte geschützte Ordner und zugelassene Apps.
Sicherheit
Wenn lokale Listen zusammengeführt werden, kann ein lokaler Administrator zusätzliche Antivirenausschlüsse einbringen. Solche Ausschlüsse können die Überprüfung der betroffenen Dateien, Ordner oder Prozesse einschränken und dadurch den Schutz vor Schadsoftware verringern. Ein kompromittiertes Administratorkonto könnte diese Möglichkeit ebenfalls ausnutzen.
Der Wert 1 verhindert, dass lokal definierte Listeneinträge die zentral verwaltete Schutzkonfiguration ergänzen. Die Einstellung entzieht lokalen Administratoren jedoch keine allgemeinen Administratorrechte und steuert nicht sämtliche lokalen Änderungen an Microsoft Defender Antivirus.
Mögliche Nebenwirkungen
Bei 1 bleiben lokal erforderliche Ausnahmen wirkungslos. Programme oder Arbeitsabläufe, die von einem lokalen Antivirus- oder ASR-Ausschluss beziehungsweise einer lokal zugelassenen App für den überwachten Ordnerzugriff abhängen, können deshalb blockiert, erkannt oder anderweitig beeinträchtigt werden, sofern die entsprechenden Einträge nicht in der zentral verwalteten Richtlinie enthalten sind.
Microsoft-Dokumentation
Microsoft Learn: Richtlinien-CSP – ADMX_MicrosoftDefenderAntivirus – DisableLocalAdminMerge