Glossar
Überwachter Ordnerzugriff
Funktion von Microsoft Defender Antivirus, die nicht vertrauenswürdige Apps daran hindert, Dateien in geschützten Ordnern zu ändern, und so Ransomware-Schäden begrenzt.
Der überwachte Ordnerzugriff (Controlled folder access) ist Teil von Microsoft Defender Antivirus. Er schützt eine Liste von Ordnern – standardmäßig die Ordner Dokumente, Bilder, Videos und Musik des Benutzers und die öffentlichen Pendants sowie die Favoriten des Benutzers (auch für Systemkonten wie LocalService) – und die Bootsektoren des Datenträgers, sodass nur Anwendungen, die Microsoft als vertrauenswürdig einstuft oder die ein Administrator ausdrücklich zugelassen hat, darin Dateien schreiben, umbenennen oder löschen können. Jeder andere Prozess, der eine Änderung versucht, wird blockiert, und im Protokoll Windows Defender Operational wird Ereignis 1123 erfasst (1124 im Überwachungsmodus). Zusätzliche geschützte Ordner und zugelassene Anwendungen lassen sich per Gruppenrichtlinie, Intune, Configuration Manager oder PowerShell festlegen.
Die Funktion begrenzt den Schaden, den Ransomware und Wiper-Malware an Benutzerdaten anrichten können, selbst wenn der bösartige Prozess läuft. Sie setzt Defender Antivirus im aktiven Modus mit Echtzeitschutz voraus. Beginnen Sie für einige Wochen im Überwachungsmodus, um Fachanwendungen zu finden, die legitim in geschützte Speicherorte schreiben, lassen Sie diese per Pfad oder Signatur zu und schalten Sie dann auf Blockieren um. Betrachten Sie die Funktion als letzte Schicht nach Anwendungssteuerung und Verringerung der Angriffsfläche, nicht als Ersatz für Backups.