Glossar
Manipulationsschutz
Microsoft Defender-Einstellung, die lokale Änderungen an zentralen Antivirus-Einstellungen selbst durch Administratoren verhindert, damit Angreifer ihn nicht abschalten.
Der Manipulationsschutz (Tamper protection) sperrt kritische Einstellungen von Microsoft Defender Antivirus, sodass sie auf dem Gerät weder über die Registrierung noch über PowerShell, Gruppenrichtlinien oder die App Windows-Sicherheit geändert werden können. Zu den geschützten Einstellungen gehören Echtzeitschutz, Verhaltensüberwachung, Cloudschutz, IOAV (Prüfung heruntergeladener Dateien), Updates der Sicherheitsinformationen und – bei Verwaltung ausschließlich über Intune oder ausschließlich über Configuration Manager und erfüllten Voraussetzungen – Ausschlüsse. Wird eine Änderung blockiert, behält Defender seine Konfiguration bei und löst mit Defender for Endpoint eine Warnung aus. Verwalten lässt er sich mandantenweit im Microsoft Defender-Portal, über Intune oder Configuration Manager oder lokal auf nicht verwalteten Privatgeräten aktivieren.
Das Abschalten des Virenschutzes gehört zu den ersten Schritten von Ransomware-Akteuren, sobald sie Administratorrechte erlangt haben. Der Manipulationsschutz macht daraus einen auffälligen, gescheiterten Versuch statt eines stillen Erfolgs. Aktivieren Sie ihn überall, verwalten Sie Ausschlüsse zentral statt lokal und alarmieren Sie bei Manipulationsversuchen. Beachten Sie, dass er nicht vor Angriffen auf Kernelebene schützt; kombinieren Sie ihn daher mit der Sperrliste für anfällige Treiber und der Speicherintegrität.
Siehe Microsoft Defender Antivirus härten und Defender-Ausschlüsse prüfen.