Aktivieren der Verhaltensüberwachung
Diese Computerrichtlinie steuert die Verhaltensüberwachung von Microsoft Defender Antivirus.
seit 0.9.8.11
Zweck
Registry-Schlüssel anzeigen (1)
HKLM\Software\Policies\Microsoft\Windows Defender\Real-Time Protection\DisableBehaviorMonitoring
Diese Computerrichtlinie steuert die Verhaltensüberwachung von Microsoft Defender Antivirus. Die Verhaltensüberwachung beobachtet Prozess-, Datei- und Dienstaktivitäten in Echtzeit. Sie verwendet bekannte Verhaltensmuster und Anomalieerkennung, um verdächtige Vorgänge zu erkennen und darauf zu reagieren. Dadurch kann Defender auch Bedrohungen identifizieren, die nicht mit bekannten Schadsoftwaresignaturen übereinstimmen.
Der Registry-Wert ist ein REG_DWORD mit umgekehrter Namenslogik:
0aktiviert die Verhaltensüberwachung.1deaktiviert die Verhaltensüberwachung.
Ist die Richtlinie aktiviert oder nicht konfiguriert, ist die Verhaltensüberwachung aktiviert. Bei deaktivierter Richtlinie wird sie ausgeschaltet. Die Verhaltensüberwachung ist standardmäßig aktiviert.
Hinweise
Weitere Wirkungen
Die Verhaltensüberwachung ist eine Voraussetzung für Zulassungs- und Sperrindikatoren auf Grundlage von Dateihashes. Auch Zulassungs- und Sperrindikatoren für IP-Adressen und URLs sowie die Webinhaltsfilterung des Netzwerkschutzes sind von ihr abhängig. Bei deaktivierter Verhaltensüberwachung stehen diese Funktionen daher nicht oder nur eingeschränkt zur Verfügung.
Sicherheit
Das Deaktivieren verringert die Fähigkeit von Microsoft Defender Antivirus, bislang unbekannte oder sich verändernde Bedrohungen anhand ihres Laufzeitverhaltens zu erkennen. Insbesondere ungewöhnliche Dateiänderungen, verdächtige Prozessaktivitäten und Änderungen an sicherheitsrelevanten Systembereichen können dadurch unentdeckt bleiben, wenn keine andere Erkennungsmethode anschlägt.
Die Einstellung deaktiviert für sich genommen weder Microsoft Defender Antivirus insgesamt noch sämtliche Komponenten des Echtzeitschutzes. Sie entfernt gezielt die verhaltensbasierte Erkennungsschicht und beeinträchtigt die davon abhängigen Schutzfunktionen.
Mögliche Nebenwirkungen
Die Verhaltensanalyse kann bei bestimmten Dateien, Prozessen oder Arbeitslasten zur CPU-Auslastung des Defender-Prozesses MsMpEng.exe beitragen. Ob sie tatsächlich die Ursache einer erhöhten Auslastung ist, hängt vom jeweiligen System und dessen Aktivitäten ab.
Hinweise
Die Verhaltensüberwachung gehört zu den durch den Manipulationsschutz geschützten Einstellungen. Bei aktiviertem Manipulationsschutz kann Windows Änderungen über Gruppenrichtlinien oder direkt über die Registrierung blockieren, obwohl der konfigurierte Wert zunächst erfolgreich übernommen zu sein scheint. Der vorhandene Registry-Wert entspricht dann unter Umständen nicht dem tatsächlich wirksamen Schutzstatus.
Microsoft-Dokumentation
Microsoft Learn: Verhaltensüberwachung in Microsoft Defender Antivirus
Microsoft Learn: Referenz der Azure Policy-Gastkonfigurationsbaseline für Windows Server 2025
Microsoft Learn: Überblick über den Manipulationsschutz