Microsoft Defender: Registry-Trick macht Ausnahmen für Admins unsichtbar
Veröffentlicht am: 02.10.2026 um 03:41 Uhr | Redaktion boerse-global.de
Sicherheitsforscher von Huntress haben eine Methode identifiziert, mit der Angreifer Schutzmechanismen von Microsoft Defender Antivirus gezielt unterwandern und ihre Spuren vor der Systemadministration verwischen. Dabei wird eine wenig bekannte Richtlinieneinstellung genutzt, um bösartige Ausnahmeregeln in den Verwaltungstools von Windows unsichtbar zu machen.
Der Kern der Entdeckung betrifft den Umgang mit sogenannten Ausschlüssen. Microsoft Defender Antivirus unterstützt regulär die Definition von Ausnahmeregeln für bestimmte Prozesse, Dateipfade, Erweiterungen und IP-Adressen.
Diese Konfigurationen dienen im normalen Betrieb dazu, Fehlalarme bei legitimer Software zu verhindern. Sie können über verschiedene Schnittstellen wie PowerShell-Befehle (etwa Set-MpPreference oder Add-MpPreference), die Windows-Verwaltungsinstrumentierung (WMI), Gruppenrichtlinien oder direkt über die Windows-Registrierungsdatenbank erstellt werden.
Verschleierung durch Registry-Manipulation
Wie Huntress-Forscher in einem Bericht vom Anfang Oktober 2026 darlegten, kombinieren Cyberkriminelle nun weit gefasste Ausschlüsse mit der Systemeinstellung „HideExclusionsFromLocalAdmins“. Durch das Setzen des Registry-Werts HKLMSOFTWAREPoliciesMicrosoftWindows DefenderHideExclusionsFromLocalAdmins auf 1 werden sämtliche konfigurierten Ausnahmen für lokale Administratoren sowie für SYSTEM-Prozesse unsichtbar.
Wer sichergehen möchte, dass der eigene Rechner nicht bereits unbemerkt durch solche Methoden manipuliert wurde, findet in diesem Experten-Report wertvolle Unterstützung. Erfahren Sie, wie Sie Ihren Windows-PC effektiv vor Viren und Ausspäh-Programmen schützen und Sicherheitslücken schließen. Kostenloses Anti-Virus-Paket jetzt herunterladen
Dies hat zur Folge, dass die Ausschlüsse zwar im Hintergrund aktiv bleiben und den Schutz für die definierten Bereiche effektiv deaktivieren, aber in den Standard-Sicherheitstools nicht mehr aufgeführt werden.
Selbst erfahrene Administratoren, die zur Überprüfung der Sicherheitskonfiguration PowerShell-Abfragen wie „Get-MpPreference“ nutzen, erhalten laut den Berichten vom 1. Oktober 2026 keine Hinweise auf die manipulierten Einstellungen. Auch in der grafischen Benutzeroberfläche von Windows-Sicherheit bleiben die Einträge verborgen.
Zunehmender Missbrauch von Sicherheits-Ausnahmen
Die Strategie, Microsoft Defender Antivirus durch Ausnahmeregeln zu neutralisieren, wird von verschiedenen Akteuren zunehmend professionalisiert. Ziel ist es, schädliche Dateien dauerhaft außerhalb der Reichweite von Endpoint-Scans zu platzieren.
Die zunehmende Professionalisierung von Cyberangriffen erfordert ein hohes Maß an Wachsamkeit und das richtige Expertenwissen für die eigene Systemsicherheit. Dieser kostenlose Ratgeber macht Ihren Rechner zur Festung und zeigt Ihnen, wie Sie Schnüfflern wirksam die Tür vor der Nase zuschlagen. Gratis-Ratgeber für PC-Sicherheit anfordern
In der Vergangenheit wurden bereits ähnliche Taktiken beobachtet: Die Schadsoftware WhisperGate richtete laut Branchenberichten einen Ausschluss für das gesamte Laufwerk C: ein, um eine vollständige Systemprüfung zu verhindern. Ein weiteres Beispiel ist der Trojaner GootKit, der gezielt Ausschlüsse für spezifische Ordner über die WMI-Schnittstelle generierte.
Die neu identifizierte Kombination mit der Verschleierungs-Richtlinie hebt diese Angriffe auf eine neue Stufe, da sie die Erkennung der Manipulation durch das IT-Personal erheblich erschwert.
Um auf diese Bedrohung zu reagieren, sammelt das Sicherheitsunternehmen Huntress mittlerweile Telemetriedaten zu Aktivitäten innerhalb der Registrierungsdatenbank, die im Zusammenhang mit derartigen Ausschluss-Konfigurationen stehen. Experten weisen darauf hin, dass die Überwachung solcher Registry-Werte entscheidend ist, um die Integrität der Sicherheitssoftware auf Endgeräten sicherzustellen.
