Ordner oder Laufwerke vom Windows Defender-Scan ausschließen: Eine vollständige Anleitung

Wenn Windows Defender schon bei der geringsten Vermutung auslöst und Ordner oder Prozesse markiert, von denen Sie wissen, dass sie vertrauenswürdig sind, kann Ihr System langsamer werden oder häufig genutzte Aufgaben blockieren. Durch das Einrichten von Scan-Ausnahmen können Sie genau festlegen, was und wann gescannt wird, ohne den Schutz zu deaktivieren. Wichtig ist, dies mit Bedacht zu tun, um die Auswirkungen auf die Sicherheit so gering wie möglich zu halten.

In diesem ausführlichen und praxisorientierten Leitfaden erfahren Sie, wie Sie Dateien, Ordner, Dateierweiterungen, Laufwerke und Prozesse ausschließen und kontextbezogene Ausschlüsse festlegen , die nur für bestimmte Scans, Trigger oder spezifische Prozesse gelten. Sie lernen außerdem, wie Sie dies mit der Windows -Sicherheits-App , Gruppenrichtlinien, PowerShell und WMI umsetzen und wie Sie die Funktionsweise Ihrer Regeln mit Tools wie MpCmdRun oder der EICAR-Testdatei überprüfen .

Was sind Ausschlüsse in Microsoft Defender und wann sollten sie verwendet werden?

Ausnahmen sind Regeln, die Defender anweisen, was (Dateien, Ordner, Erweiterungen oder Prozesse) nicht zu scannen – egal ob bei geplanten Scans, Scans auf Anfrage oder im Echtzeitschutz. Ihr Hauptzweck ist die Behebung von Leistungsproblemen , doch sie haben ihren Preis: Sie reduzieren den Schutzgrad . Wenden Sie sie daher nur bei Bedarf und präzise an.

Ausnahmen sind nicht die optimale Lösung für Fehlalarme . Sollten Sie einen Fehlalarm feststellen, empfiehlt es sich, die Datei zur Analyse über das Microsoft Defender-Portal (Abonnement erforderlich) oder die Microsoft Security Intelligence -Website einzureichen . In Umgebungen mit Microsoft Defender for Endpoint kann es bei vorübergehenden Fällen sinnvoll sein, ein spezifisches „Zulassen“-Flag zu erstellen , anstatt einen gesamten Pfad auszuschließen.

Kontextbezogene Ausschlüsse: Einschränkung nach Routentyp, Prüfung, Auslöser oder Prozess

Kontextbezogene Ausschlüsse ermöglichen es Ihnen, sehr spezifisch zu sein wann ein Ausschluss gilt. Sie werden durch Hinzufügen von Einschränkungen auf die ausgeschlossene Route mittels eines Zeichenfolge mit Syntax Wie geht es Ihnen: <RUTA>\:{TypeName:value,TypeName:value}. Wichtig: Bei Typen und Werten wird zwischen Groß- und Kleinschreibung unterschieden.

Vier Einschränkungen stehen zur Verfügung , um Ihre Regeln feinabzustimmen:

• Pfadtyp (Datei oder Ordner): Bestimmt, ob der Ausschluss nur angewendet werden soll, wenn das Ziel Datei o Flyer. Ejemplo: C:\documents\*.mdb\:{PathType:file} o C:\documents\*\:{PathType:folder}.
• Scan-Typ (Prüfungsart): beschränkt den Ausschluss auf Prüfungen schnell o voller. Ejemplo: C:\documents\:{ScanType:full}.
• ScanTrigger (Trigger): Gilt, wenn die Prüfung beginnt Auf Nachfrage (beinhaltet geplante und gesteuerte vollständige/schnelle), Bei Zugriff (Echtzeit) oder durch BM (Verhaltensaufsicht). Ejemplo: C:\documents\:{ScanTrigger:OnAccess}.
• Prozess (Prozess): Beschränkt den Ausschluss auf den Zugriff von einem bestimmten Prozess (Platzhalter erlaubt). Ejemplo: C:\documents\design.doc\:{Process:\"winword.exe\"}.

Kurze Beispiele für die Anwendung der Syntax:

• Nur wenn es sich um eine Datei handelt und in Echtzeit: C:\documents\design.doc\:{PathType:file,ScanTrigger:OnAccess}.
• Nur wenn Sie es öffnen Word (nach Bildnamen): C:\documents\design.doc\:{Process:\"winword.exe\"}.
• Mit Platzhaltern in Routen und Erweiterungen: C:\*\*.doc\:{PathType:file,ScanTrigger:OnDemand}.
• Platzhalter im Prozesspfad: C:\documents\design.doc\:{Process:\"C:\\Program Files*\\Microsoft Office\\root\\Office??\\winword.exe\"}.

Beachten Sie das Standardverhalten: Wenn Sie PathType, ScanType oder ScanTrigger nicht angeben, wird der Ausschluss angewendet sowohl für Dateien als auch für Ordner y in allen Typen und Auslösern. Um Mehrdeutigkeiten zu vermeiden (zum Beispiel C:\program.exe könnte ein Ordner sein), kombiniert Einschränkungen wie in C:\program.exe\:{ScanType:quick,PathType:file}.

Prüfungsarten und Auslöser: Wie sie Ihre Regeln beeinflussen

Defender führt verschiedene Arten von Scans durch : Der Schnellscan untersucht häufige Boot-Speicherorte von Malware , den Arbeitsspeicher und relevante Registrierungsschlüssel; der vollständige Scan durchsucht zusätzlich zu den Bereichen, die der Schnellscan abdeckt, das gesamte Dateisystem; und der gezielte Scan analysiert ein bestimmtes Element (z. B. aus dem Kontextmenü).

Auslöser bestimmen, wann ein Ausschluss erfolgt . OnDemand gruppiert geplante und manuell gestartete Scans (Schnell-, Voll- und gezielte Scans); OnAccess entspricht dem Echtzeitschutz (Öffnen, Schreiben, Lesen oder Ändern); BM bezieht sich auf Scans, die durch Verhaltensüberwachung ausgelöst werden , einschließlich Speicherüberwachung.

Praktische Beispiele zur Anpassung der Auswirkungen auf die Leistung:

• Einen Ordner nur im kompletten: C:\documents\:{ScanType:full}.
• Schließen Sie eine Datei nur in der Schnellansicht aus. und sicherstellen, dass es sich um eine Datei handelt: C:\program.exe\:{ScanType:quick,PathType:file}.
• Ausschließen einer Nur-Echtzeit-Route: C:\documents\:{ScanTrigger:OnAccess}.

Durch die Kombination von Beschränkungen wird die Risikofläche verringert , indem übermäßig weit gefasste Ausschlüsse vermieden werden, die bei Anwendung in unvorhergesehenen Kontexten Bedrohungen übersehen könnten.

Versionsvoraussetzungen und Funktionsumfang

Kontextbezogene Ausschlüsse erfordern Microsoft Defender Antivirus mit Plattformversion 4.18.2205.7 oder höher und Engine-Version 1.1.19300.2 oder höher . Prüfen Sie, ob Plattform- und Sicherheitsupdates verfügbar sind, um sicherzustellen, dass Ihre Umgebung diese Optionen unterstützt.

Ausnahmen gelten für geplante Scans, On-Demand-Scans und Echtzeitschutz . Microsoft weist jedoch darauf hin, dass Ausnahmen im Allgemeinen nicht notwendig sind, außer in bestimmten Fällen (z. B. bei Verwaltungstools, Datenbanken oder ressourcenintensiven Vorgängen, die Sie kennen und kontrollieren).

So konfigurieren Sie Ausschlüsse: Windows-Sicherheits-App, Gruppenrichtlinie, PowerShell und WMI

Über die Windows-Sicherheits-App (grafische Oberfläche) : Öffnen Sie die Suchleiste und geben Sie „Sicherheit“ ein, um auf die Windows-Sicherheit zuzugreifen . Gehen Sie zu „Viren- und Bedrohungsschutz “ und anschließend zu „ Einstellungen verwalten “. Klicken Sie im Abschnitt „Ausnahmen “ auf „Ausnahmen hinzufügen oder entfernen“ und dann auf „Ausnahme hinzufügen “ . Sie können Datei , Ordner (einschließlich Unterordner), Dateityp (nach Erweiterung) oder Prozess (nach Name) auswählen. Um eine Ausnahme zu entfernen, klicken Sie auf das Symbol neben dem jeweiligen Eintrag und wählen Sie „Entfernen“.

Über Gruppenrichtlinien (GPO) : Öffnen Sie die Gruppenrichtlinien-Verwaltungskonsole , bearbeiten Sie das gewünschte GPO und navigieren Sie zu Computerkonfiguration > Administrative Vorlagen > Windows-Komponenten > Microsoft Defender Antivirus > Ausnahmen . Gehen Sie zu Pfadausschlüsse , wählen Sie „Aktiviert“ , klicken Sie auf „Anzeigen “ und fügen Sie jeden Pfad (Ordner oder Datei mit vollständigem Pfad) hinzu; geben Sie in der Spalte „Wert“ 0 ein . Wiederholen Sie dies für Erweiterungsausschlüsse (eine Erweiterung pro Zeile, mit oder ohne Punkt; Wert 0 ). Übernehmen Sie die Änderungen und klicken Sie auf „OK“.

Mit Microsoft Intune oder Configuration Manager : Sie können Ausnahmen nach Dateiname, Ordner oder Erweiterung in Intune definieren (siehe die entsprechende Sicherheitsrichtlinie) und in Configuration Manager (aktueller Zweig) mithilfe von Antimalware-Richtlinien im Abschnitt „Ausschlusseinstellungen“.

Mit PowerShell (Modul „Verteidigen“): verwenden Set-MpPreference zum Erstellen/Überschreiben, MpPreference hinzufügen hinzufügen und Entfernen-MpPreference zu entfernen. Die wichtigsten Parameter sind -ExclusionExtension (Erweiterungen) und -Ausschlusspfad (Dateien oder Ordner, einschließlich Unterverzeichnisse). Ejemplo: Add-MpPreference -ExclusionExtension ".test"Um alle Einstellungen zu überprüfen, führen Sie Get-MpPreference; Sie können auch in einer Variablen speichern: $WDAVprefs = Get-MpPreference und dann sehen $WDAVprefs.ExclusionExtension o $WDAVprefs.ExclusionPath.

Mit WMI stellt die Klasse MSFT_MpPreference die Methoden Set , Add und Remove für Eigenschaften wie ExclusionExtension und ExclusionPath bereit , ähnlich wie PowerShell-Cmdlets. Dies ist nützlich für die Automatisierung und Skripterstellung in verwalteten Umgebungen.

Verwenden von Platzhaltern und Umgebungsvariablen in Erweiterungen, Pfaden und Prozessen

Defender unterstützt Platzhalter in Pfad-/Datei-/Prozess- und Erweiterungsausschlüssen: das Sternchen * und das Fragezeichen ?, Plus Umgebungsvariablen (zum Beispiel, %ALLUSERSPROFILE%). Auge: seine Interpretation unterscheidet sich von anderen Sprachen und Apps; es ist wichtig, seinen Umfang gut zu verstehen.

Muster mit *: In Dateinamen/Erweiterung, ersetzt eine beliebige Anzahl von Zeichen in der zuletzt definierter Ordner; Im Ordnerausschlüssejeweils * ersetzt einen einzelnen Ordner im Pfad und nach dem Abgleichen von Platzhaltern und benannten Ordnern, alle Unterordner sind enthalten. Beispiele: C:\MyData\*.txt deckt C:\MyData\notes.txt; C:\somepath\*\Data umfasst C:\somepath\Archives\Data y C:\somepath\Authorized\Data; C:\Serv\*\*\Backup umfasst Routen wie C:\Serv\Primary\Denied\Backup y C:\Serv\Secondary\Allowed\Backup.

Muster mit ?: In Dateinamen/Erweiterung, ersetzt ein einzelnes Zeichen im letzten Ordner; in carpetas, ersetzt ein einzelnes Zeichen im Namen jedes Ordners im Muster. Beispiele: C:\MyData\my?.zip würde abdecken C:\MyData\my1.zip; C:\somepath\?\Data würde zusammenfallen mit C:\somepath\P\Data; C:\somepath\test0?\Data würde beinhalten C:\somepath\test01\Data.

Umgebungsvariablen: Sie erweitern sich bei der Auswertung des Ausschlusses auf ihren tatsächlichen Pfad. Beispiele: %ALLUSERSPROFILE%\CustomLogFiles äquivalent zu C:\ProgramData\CustomLogFiles; und Sie können sie mit Platzhaltern kombinieren, wie %PROGRAMFILES%\Contoso*\v?\bin\contoso.exe, die heiraten würde C:\Program Files\Contoso Labs\v1\bin\contoso.exe.

Die häufigsten Umgebungsvariablen Auf Windows-Systemen erhalten Sie dadurch portable Ausschlüsse ohne absolute Pfade: %APPDATA% (Anwendungsprofil), %LOCALAPPDATA%, %ProgramData%, %ProgramFiles%, %ProgramFiles(x86)%, %SystemDrive%, %SystemRoot%, %windir%, %PUBLIC% y %USERPROFILE%. Denken Sie daran, dass es noch viele weitere (Startmenüs, System32, Schriftarten usw.), die demselben Erweiterungsmuster folgen.

Überprüfen und validieren Sie Ihre Ausschlüsse: PowerShell, MpCmdRun und EICAR

Überprüfen Sie, was Sie konfiguriert haben mit PowerShell: Get-MpPreference Zeigt alle Einstellungen an. Wenn Sie an der Zielgruppenausrichtung interessiert sind, speichern Sie in einer Variable und zeigen Sie bestimmte Eigenschaften an: $WDAVprefs = Get-MpPreferencedann $WDAVprefs.ExclusionExtension y $WDAVprefs.ExclusionPath. Auf diese Weise können Sie doppelte oder zu weit gefasste Einträge erkennen..

Validieren von Ausschlüssen mit dem MpCmdRun-Tool (Linie von Befehle). Öffnen Sie ein cmd Gehen Sie als Administrator zu %ProgramData%\Microsoft\Windows Defender\platform, geben Sie den Ordner von die Plattformversion (zum Beispiel, 4.18.2111-5.0) und führen Sie aus: MpCmdRun.exe -CheckExclusion -path <ruta>. Durch diese Prüfung wird bestätigt, ob eine bestimmte Route tatsächlich ausgeschlossen ist..

Technischer Test mit der EICAR-TestdateiLaden Sie die Testdatei von PowerShell an einen Speicherort herunter, der Ihren Regeln entspricht, und überprüfen Sie das Verhalten. Ejemplo: Invoke-WebRequest \"https://secure.eicar.org/eicar.com.txt\" -OutFile \"test.txt\". Wenn Defender Sie vor Malware warnt, der Ausschluss gilt nicht; wenn keine Warnung vorliegt und die Datei existiert, Ausgrenzung funktioniert.

Alternative mit .NET WebClient: $client = new-object System.Net.WebClient; $client.DownloadFile(\"http://www.eicar.org/download/eicar.com.txt\",\"c:\\test.txt\"). Ohne Internet, generiert den EICAR-Inhalt lokal: [io.file]::WriteAllText(\"test.txt\",\"X5O!P%@AP[4\\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*\"). Verwenden Sie es immer auf kontrollierten Routen um andere Prozesse nicht zu stören.

Durch präzises Festlegen von Ausnahmen wird die allgemeine Sicherheit Ihres Computers nicht beeinträchtigt. Sie haben bereits gesehen, wie Sie kontextbezogene Einschränkungen (Pfadtyp, Scantyp, Scanauslöser und Prozess) verwenden, diese über die Windows-Sicherheits-App, Gruppenrichtlinienobjekte (GPOs), Intune/Configuration Manager, PowerShell und WMI konfigurieren und die korrekte Funktion mit MpCmdRun und EICAR überprüfen. Die beste Strategie ist, möglichst eng gefasste Ausnahmen zu verwenden , Platzhalter und Umgebungsvariablen gezielt einzusetzen und die Liste regelmäßig zu überprüfen, um nicht mehr benötigte Einträge zu entfernen.