Zum Inhalt springen
Setup FoundrySetup Foundry
ENAnmelden

Dokumentation · Richtlinien-Anhang

Virenschutz und Angriffsflächen

Jede Einstellung des Pakets „Virenschutz und Angriffsflächen“ mit Wirkung, Wert und Empfehlungsquellen.

seit 0.9.8.11

Zweck

Diese Seite nennt jede Einstellung des Pakets „Virenschutz und Angriffsflächen“: was sie bewirkt, welchen Wert Setup Foundry setzt und wer sie empfiehlt. Sie wird aus dem Katalog erzeugt und nicht von Hand geändert.

37 Einstellungen, davon 17 mit spürbarer Nebenwirkung.

Hinweise

Adobe Reader am Nachstarten von Programmen hindern

Verhindert, dass Adobe Reader neue Prozesse startet, wie es Exploits oft versuchen.

Alle Office-Programme am Starten von Kindprozessen hindern

Verhindert, dass Word, Excel, PowerPoint & Co. eigenständig neue Prozesse starten.

Nebenwirkung: Seltene, bewusste Fälle wie ein Makro, das gezielt PowerShell startet, würden ebenfalls blockiert und bräuchten eine Ausnahme; normale Büroarbeit braucht das nie.

Ausführbare Mail-Anhänge und Skripte aus E-Mail blockieren

Blockiert Makros in Office-Dateien -- genauer: ausführbare Anhänge und Skripte aus E-Mail und Webmail.

Nebenwirkung: Ein per Mail zugesandtes Programm oder Skript lässt sich nicht mehr direkt aus dem Mail-Client heraus starten; normales Öffnen von Dokumenten und Bildern bleibt unverändert.

Auslesen von Anmeldedaten aus dem LSASS-Speicher blockieren

Erschwert das Auslesen von Windows-Anmeldedaten aus dem Speicher des Systemdienstes LSASS.

Nebenwirkung: Praktisch keine im normalen Betrieb; nur der Speicherzugriff wird gesperrt, nicht das Starten von Prozessen selbst.

Bösartige Boot-Treiber beim Systemstart blockieren

Legt fest, welche Boot-Treiber der frühe Anti-Malware-Schutz beim Systemstart noch laden darf.

Cloud-Sofortschutz 'Block at First Sight' eingeschaltet lassen

Hält den Cloud-Sofortschutz 'Block at First Sight' von Defender eingeschaltet.

Code-Einschleusung durch Office-Programme verhindern

Verhindert, dass Office-Programme Code in andere laufende Prozesse einschleusen.

Datei- und Programmaktivität laufend überwachen (On-Access-Schutz)

Hält die laufende Überwachung von Datei- und Programmaktivität eingeschaltet.

Dateilose Verankerung über WMI-Ereignisabonnements verhindern

Verhindert, dass sich Schadsoftware über WMI-Ereignisabonnements dauerhaft im System einnistet.

Nebenwirkung: Für normale Nutzer unsichtbar; nur wer sehr WMI-lastige Verwaltungssoftware einsetzt, müsste vorab im Audit-Modus testen - für Privat- und Werkstattkunden nicht relevant.

Dateizugriffe in beide Richtungen überwachen

Überwacht Dateien in beide Richtungen (lesend und schreibend) statt nur einseitig.

Defender-Funde automatisch bereinigen

Lässt Defender erkannte Bedrohungen automatisch bereinigen, statt nur eine Nutzerentscheidung abzuwarten.

Direkte Windows-Systemaufrufe aus Office-Makros sperren

Verhindert, dass VBA-Makros in Office direkt Windows-Systemfunktionen (Win32-APIs) aufrufen.

Echtzeitschutz und Signatur-Updates schon während der Windows-Ersteinrichtung

Aktiviert Echtzeitschutz und Signatur-Updates bereits während der Windows-Ersteinrichtung (OOBE).

Echtzeitschutz von Microsoft Defender eingeschaltet lassen

Hält den kompletten Echtzeitschutz von Microsoft Defender eingeschaltet.

Erweiterten Cloud-Schutz gegen Erpressersoftware nutzen

Bietet zusätzlichen, Cloud-gestützten Schutz gegen Ransomware über reine Signaturerkennung hinaus.

Nebenwirkung: Eine ganz neue, noch unbekannte, aber harmlose Datei kann kurzzeitig blockiert werden, bis sie sich in der Cloud einen guten Ruf erarbeitet hat.

Heruntergeladene Dateien und E-Mail-Anhänge automatisch scannen

Hält die Prüfung heruntergeladener Dateien und E-Mail-Anhänge eingeschaltet.

Nebenwirkung: Kurze, kaum wahrnehmbare Prüfverzögerung beim ersten Öffnen einer frisch heruntergeladenen Datei - sonst keine.

Lokale Defender-Ausnahmen mit Richtlinien-Vorgaben zusammenführen

Erlaubt, dass lokal von Administratoren gesetzte Defender-Ausnahmen mit den Richtlinien-Vorgaben zusammengeführt werden.

Missbrauch verwundbarer, aber signierter Treiber blockieren

Verhindert, dass Programme bekannt verwundbare, aber gültig signierte Treiber auf dem Rechner ablegen.

Nebenwirkung: Für normale Nutzer praktisch unsichtbar, da im Alltag keine verwundbaren Treiber installiert werden.

Office am Erzeugen ausführbarer Dateien hindern

Verhindert, dass Word, Excel & Co. ausführbaren Code erzeugen und starten.

Nebenwirkung: Nur Makros oder Add-ins, die absichtlich Dateien erzeugen und ausführen, wären betroffen - im normalen Büroalltag praktisch nie der Fall.

Outlook am Nachstarten von Schadcode hindern (keine Kindprozesse)

Verhindert, dass Outlook von Schadcode missbrauchte Kindprozesse startet.

Potenziell unerwünschte Anwendungen (PUA) blockieren

Blockiert automatisch potenziell unerwünschte Anwendungen wie Adware oder Toolbars.

Nebenwirkung: Vereinzelt kann ein Installer, der ungewollte Zusatzsoftware mitbringt, gar nicht erst durchlaufen - das ist im Sinne des Nutzers.

Prozesse beim Einschalten des Echtzeitschutzes einmalig prüfen

Löst beim Einschalten des Echtzeitschutzes automatisch eine Prozess-Überprüfung aus.

Nebenwirkung: Kurze zusätzliche Systemlast direkt nach dem Aktivieren des Echtzeitschutzes, sonst nichts.

Regeln zur Verringerung der Angriffsfläche (ASR) grundsätzlich aktivieren

Schaltet die Regeln zur Reduzierung der Angriffsfläche (ASR) von Defender grundsätzlich ein.

Skript-gestützte Downloads am automatischen Starten hindern

Verhindert, dass JavaScript- oder VBScript-Dateien heruntergeladene ausführbare Inhalte starten.

Skripte vor Ausführung auf Schadverhalten prüfen

Hält die Prüfung von Skriptdateien (Script Scanning) im Echtzeitschutz eingeschaltet.

SmartScreen im Datei-Explorer aktivieren

Aktiviert Windows Defender SmartScreen im Datei-Explorer, das vor bekannten schädlichen Dateien warnt.

Nebenwirkung: Beim ersten Start einer heruntergeladenen, unbekannten Datei erscheint eine kurze Warnmeldung, die bestätigt werden muss – das ist bereits der Windows-Standard und den meisten Nutzern vertraut.

Unsignierte Programme nicht direkt von USB starten lassen

Verhindert das Ausführen unsignierter, nicht vertrauenswürdiger Programme direkt von USB-Datenträgern.

Nebenwirkung: Wer portable, nicht installierte Tools direkt vom USB-Stick startet, muss sie erst auf die Festplatte kopieren, falls sie unsigniert sind.

Verhaltensüberwachung des Echtzeitschutzes eingeschaltet lassen

Hält die Verhaltensüberwachung des Echtzeitschutzes eingeschaltet.

Verschleierte Skripte nicht ausführen lassen

Blockiert Skripte, deren Code gezielt verschleiert wurde, um vor Analyse zu schützen.

Nebenwirkung: In seltenen Fällen kann ein legitimes, aber stark verschleiertes Skript blockiert werden; normale Skriptnutzung im Alltag ist kaum betroffen.

Virenschutz-Ausnahmen vor lokalen Administratoren verstecken

Versteckt die Liste der Virenschutz-Ausnahmen vor lokalen Administratoren, ohne sie zu entfernen.

Nebenwirkung: Wer selbst einmal eine Ausnahme setzt (z. B. für ein Spiel oder ein Tool), kann sie später nicht mehr über die Sicherheit-App oder PowerShell einsehen - sie wirkt trotzdem weiter.

Wechseldatenträger von Virenscans nicht ausnehmen

Sorgt dafür, dass Wechseldatenträger wie USB-Sticks beim Scannen nicht ausgenommen werden.

Nebenwirkung: Ein Scan kann bei angeschlossenen USB-Geräten etwas länger dauern, sonst keine Auswirkung.

Zugriff auf bekannt gefährliche Internetadressen blockieren (Netzwerkschutz)

Blockiert automatisch den Zugriff auf gefährliche Internet-Domains (Phishing, Exploit-Hosting) durch beliebige Anwendungen.

Nebenwirkung: Der Zugriff auf eine als gefährlich eingestufte Adresse schlägt fehl statt aufgebaut zu werden - das betrifft nur tatsächlich gefährliche Seiten.

Defender-Watson-Fehlerberichte abschalten

Dieser computerbezogene Registry-Wert steuert, ob Microsoft Defender Antivirus Watson-Ereignisse an Microsoft sendet. Dabei handelt es sich um Diagnose- beziehungsweise Fehlerereignisse des Produkts.

Meldung von Infektionsinformationen durch das Tool zum Entfernen bösartiger Software unterbinden

Der REG_DWORD-Wert DontReportInfectionInformation mit den Wertdaten 1 deaktiviert die Infektionsberichterstattung des Windows-Tools zum Entfernen bösartiger Software (Malicious Software Removal Tool, MSRT). Das Tool übermittelt dadurch keine Informationen über erkannte Infektionen an Microsoft.

Automatische Rechteausweitung bei MSI-Installationen verbieten

Verhindert, dass MSI-Installationen automatisch mit Systemrechten statt Benutzerrechten laufen.

Umgehen der Installer-Sicherheitsprüfungen durch Nutzer verbieten

Verbietet Benutzern, bei MSI-Installationen sonst nur Admins vorbehaltene Optionen zu ändern.

Nebenwirkung: Nur schlecht gebaute Installationsroutinen, die genau auf diese Umgehung angewiesen sind, könnten abbrechen; normale Software installiert sich unverändert.

Windows Script Host-Remoting deaktivieren

Remote WSH ermöglicht es, ein lokales Windows-Script über die Objekte WshController und WshRemote auf einem anderen Computer auszuführen. Die Übertragung und Steuerung erfolgen über DCOM; der Zielcomputer führt das übertragene Script mit Windows Script Host aus.

Siehe auch