Kernschutz

Zweck

Diese Seite nennt jede Einstellung des Pakets „Kernschutz“: was sie bewirkt, welchen Wert Setup Foundry setzt und wer sie empfiehlt. Sie wird aus dem Katalog erzeugt und nicht von Hand geändert.

7 Einstellungen, davon 6 mit spürbarer Nebenwirkung.

Hinweise

SEHOP aktivieren (Schutz vor manipulierten Exception-Handlern)

Schaltet SEHOP ein, einen Schutz gegen das Kapern von Exception-Handlern durch Speicherüberläufe.

Nebenwirkung: Im Normalbetrieb unsichtbar; nur sehr alte oder tief in den Speicher eingreifende Software könnte in seltenen Fällen betroffen sein.

• Technisch:
  • Registry-Wert: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\kernel\DisableExceptionChainValidation = 0 (REG_DWORD)
  • Bedeutung des Werts: 0 = SEHOP-Schutz aktiv/eingeschaltet (Validierung der Exception-Kette läuft, Baseline-Wert); 1 würde die Validierung abschalten.
• Schalter in der App: Richtlinien › Kernschutz
• Ausführlich: Schutz vor Überschreiben der strukturierten Ausnahmebehandlung (SEHOP) aktivieren
• Quelle: Microsoft Learn: Hinweise zum Exploit-Schutz – Ausnahmeketten überprüfen (SEHOP)
• Empfohlen von: Windows 11 v25H2 Security Baseline

Secure Boot als Mindestvoraussetzung für VBS festlegen

Verlangt für VBS mindestens Secure Boot als Sicherheitsgrundlage der Plattform.

• Technisch:
  • Richtlinie: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard\RequirePlatformSecurityFeatures = 1 (REG_DWORD)
  • Bedeutung des Werts: 1 = VBS mit Secure Boot als Mindestanforderung (Standard); 3 = VBS mit Secure Boot UND DMA-Schutz (erfordert zusätzliche Hardware-Unterstützung wie IOMMUs).
• Schalter in der App: Richtlinien › Kernschutz
• Ausführlich: Virtualisierungsbasierte Sicherheit aktivieren
• Quelle: Microsoft Learn: Richtlinien-CSP – DeviceGuard
• Empfohlen von: Windows 11 v25H2 Security Baseline · ACSC/ASD: Hardening Microsoft Windows 11 workstations · BSI SiSyPHuS Win10, Arbeitspaket 11: Konfigurationsempfehlungen zur Härtung von Windows 10 mit Bordmitteln, Abschnitt 5.2.2.1 · CIS Benchmark (Windows 11) · Microsoft Learn

UEFI-Speicherattributtabelle für verlässliche Speicherintegrität verlangen

Verlangt, dass die Firmware eine UEFI-Speicherattributtabelle bereitstellt, sonst greift die Speicherintegritätsprüfung nicht mit voller Garantie.

Nebenwirkung: Nur auf älterer oder unvollständig UEFI-konformer Firmware spürbar: Dort startet die Speicherintegritätsprüfung dann nicht mit voller Garantie, ohne dass der Rechner deswegen ausfällt.

• Technisch:
  • Richtlinie: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard\HVCIMATRequired = 1 (REG_DWORD)
  • Bedeutung des Werts: 0 = UEFI-Speicherattributtabelle wird nicht verlangt (Standard); 1 = wird zwingend verlangt.
• Schalter in der App: Richtlinien › Kernschutz
• Ausführlich: Virtualisierungsbasierte Sicherheit aktivieren
• Quelle: Microsoft Learn: Richtlinien-CSP – DeviceGuard
• Empfohlen von: Windows 11 v25H2 Security Baseline

Vertrauenswürdigen Systemstart per Secure Launch erzwingen

Aktiviert System Guard Secure Launch, sofern die Hardware das unterstützt.

Nebenwirkung: Auf unterstützter Hardware höchstens eine minimal längere Boot-Zeit; auf nicht unterstützter Hardware bleibt die Funktion inaktiv, ohne dass der Start verweigert wird.

• Technisch:
  • Richtlinie: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard\ConfigureSystemGuardLaunch = 1 (REG_DWORD)
  • Bedeutung des Werts: 0 = nicht verwaltet, vom lokalen Administrator konfigurierbar (Standard); 1 = aktiviert Secure Launch, sofern Hardware das unterstützt; 2 = deaktiviert Secure Launch.
• Schalter in der App: Richtlinien › Kernschutz
• Ausführlich: Virtualisierungsbasierte Sicherheit aktivieren
• Quelle: Microsoft Learn: Richtlinien-CSP – DeviceGuard
• Empfohlen von: Windows 11 v25H2 Security Baseline

Virtualisierungsbasierte Sicherheit (VBS) als Grundlage einschalten

Schaltet die virtualisierungsbasierte Sicherheit (VBS) des Systems ein - Grundlage für Speicherintegrität und Credential Guard.

Nebenwirkung: In der Regel nichts spürbar; vereinzelt können ältere, inkompatible Virtualisierungssoftware oder Treiber Probleme bekommen. Windows aktiviert diese Grundfunktion auf passender neuer Hardware ohnehin bereits von selbst.

• Technisch:
  • Richtlinie: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard\EnableVirtualizationBasedSecurity = 1 (REG_DWORD)
  • Bedeutung des Werts: 0 = VBS deaktiviert (Standard); 1 = VBS aktiviert.
• Schalter in der App: Richtlinien › Kernschutz
• Ausführlich: Virtualisierungsbasierte Sicherheit aktivieren
• Quelle: Microsoft Learn: Richtlinien-CSP – DeviceGuard
• Empfohlen von: Windows 11 v25H2 Security Baseline · ACSC/ASD: Hardening Microsoft Windows 11 workstations · BSI SiSyPHuS Win10, Arbeitspaket 11: Konfigurationsempfehlungen zur Härtung von Windows 10 mit Bordmitteln, Abschnitt 5.2.2.1 · CIS Benchmark (Windows 11) · Microsoft Learn

Hardware-gestützten Kernel-Stapelschutz gegen ROP-Angriffe aktivieren

Aktiviert den hardwaregestützten Kernel-Stapelschutz (Shadow Stacks) gegen bestimmte Speicher-Angriffstechniken.

Nebenwirkung: In der Regel nichts spürbar, außer bei sehr wenigen inkompatiblen Treibern; auf Hardware ohne CET-Unterstützung bleibt die Funktion ohnehin inaktiv.

• Technisch:
  • Richtlinie: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard\ConfigureKernelShadowStacksLaunch = 1 (REG_DWORD)
  • Bedeutung des Werts: Nicht sicher belegt. Vermutlich analog zu anderen „Configure…Launch“-Schaltern derselben Richtliniengruppe (0 = nicht verwaltet/vom Administrator konfigurierbar, 1 = aktiviert sofern Hardware das unterstützt, 2 = deaktiviert) - für diesen konkreten Eintrag aber nicht über eine erlaubte Quelle bestätigt.
• Schalter in der App: Richtlinien › Kernschutz
• Ausführlich: Virtualisierungsbasierte Sicherheit aktivieren
• Quelle: Microsoft Learn: Richtlinien-CSP – DeviceGuard
• Empfohlen von: Windows 11 v25H2 Security Baseline

Speicherintegritätsprüfung (HVCI) mit unumkehrbarer UEFI-Sperre erzwingen

Aktiviert die hypervisorgestützte Speicherintegrität (HVCI) mit UEFI-Sperre, sodass sie nicht per Fernzugriff abschaltbar ist.

Nebenwirkung: Bei einem inkompatiblen Treiber drohen Systeminstabilität bis zum Bluescreen - und zum Abschalten ist dann physischer Zugriff auf die UEFI-Firmware nötig, was ein Privatkunde ohne Anleitung kaum selbst leisten kann.

• Technisch:
  • Richtlinie: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard\HypervisorEnforcedCodeIntegrity = 1 (REG_DWORD)
  • Bedeutung des Werts: 0 = deaktiviert (schaltet HVCI auch remote ab, falls vorher ohne UEFI-Sperre gesetzt); 1 = aktiviert mit UEFI-Sperre (nur lokal über Firmware abschaltbar); 2 = aktiviert ohne UEFI-Sperre (per Richtlinie fernsteuerbar).
• Schalter in der App: Richtlinien › Kernschutz
• Ausführlich: Virtualisierungsbasierte Sicherheit aktivieren
• Quelle: Microsoft Learn: Richtlinien-CSP – DeviceGuard
• Empfohlen von: Windows 11 v25H2 Security Baseline · BSI SiSyPHuS Win10, Arbeitspaket 11: Konfigurationsempfehlungen zur Härtung von Windows 10 mit Bordmitteln, Abschnitt 5.2.2.2 · Microsoft Learn

Siehe auch

• Richtlinien-Referenz
• Geräte und Wechselmedien
• Laufwerksverschlüsselung