Gerätesicherheit in der App "Windows-Sicherheit"

Die Seite "Gerätesicherheit" in der App "Windows-Sicherheit" hilft beim Schutz Ihres Windows-Geräts, indem sie hardwarebasierte und Betriebssystem-Sicherheitsfunktionen verwaltet, einschließlich sicherer Start, Kernisolation und Schutz auf Prozessorebene. Diese Features arbeiten zusammen, um Sie vor Schadsoftware, Firmwareangriffen und Systemkompromittierungen zu schützen. Die Seite ist in die folgenden Abschnitte unterteilt:

• Secured-Core-PC: Wenn es sich bei Ihrem Gerät um einen Secured-Core-PC handelt, werden Informationen zu den Features des Secured-Core-PCs angezeigt
• Kernisolation: Hier können Sie Sicherheitsfeatures konfigurieren, die den Windows-Kernel schützen
• Sicherheitsprozessor: Enthält Informationen zum Sicherheitsprozessor, der als Trusted Platform Module (TPM) bezeichnet wird
• Sicherer Start: Wenn der sichere Start aktiviert ist, finden Sie weitere Informationen dazu
• Datenverschlüsselung: Hier finden Sie einen Link zu den Windows-Einstellungen, wo Sie die Geräteverschlüsselung und andere BitLocker-Einstellungen konfigurieren können
• Hardwaresicherheitsfunktion: Bewertet die Hardwaresicherheitsfunktionen Ihres Geräts

Wählen Sie in der Windows-Sicherheit-App auf Ihrem PC die Option Gerätesicherheit aus, oder verwenden Sie die folgende Verknüpfung:

Secured-Core-PC

Ein Secured-Core-PC ist so konzipiert, dass er sofort erweiterte Sicherheitsfunktionen bietet. Diese PCs integrieren Hardware, Firmware und Software, um robusten Schutz vor komplexen Bedrohungen zu bieten. 

Wählen Sie in der Windows-Sicherheit-App auf Ihrem PC die Option "Gerätesicherheit>"aus.

Weitere Informationen finden Sie unter Windows 11 Secured-Core-PCs.

Kernisolation

Kernisolation bietet Sicherheitsfeatures, die die Kernprozesse von Windows vor Schadsoftware schützen, indem sie sie im Arbeitsspeicher isolieren. Hierzu werden diese Kernprozesse in einer virtualisierten Umgebung ausgeführt. 

Wählen Sie auf Ihrem PC in der App Windows-Sicherheit die OptionDetails der Kernisolation der Gerätesicherheit> aus, oder verwenden Sie die folgende Verknüpfung:

Speicherintegrität

Speicherintegrität, auch als hypervisorgeschützte Codeintegrität (HVCI) bezeichnet, ist ein Windows-Sicherheitsfeature, das böswilligen Programmen erschwert, Treiber auf niedriger Ebene zu verwenden, um Ihren PC zu kapern.

Ein Treiber ist eine Softwarekomponente, mit der das Betriebssystem (in diesem Fall Windows) und ein Gerät (z. B. eine Tastatur oder eine Webcam) miteinander kommunizieren können. Wenn das Gerät möchte, dass Windows etwas tut, verwendet es den Treiber, um diese Anforderung zu senden.

Die Speicherintegrität funktioniert, indem mithilfe von Hardwarevirtualisierung eine isolierte Umgebung geschaffen wird.

Stellen Sie sich das wie einen Wächter in einem verriegelten Wachhäuschen vor. Diese isolierte Umgebung (das verriegelte Wachhäuschen in unserer Analogie) verhindert, dass das Speicherintegritätsfeature von einem Angreifer manipuliert wird. Ein Programm, das einen Code ausführen möchte, der möglicherweise gefährlich ist, muss den Code an die Speicherintegrität im Inneren dieses virtuellen Wachhäuschens weiterleiten, damit er überprüft werden kann. Wenn die Speicherintegrität überzeugt ist, dass der Code sicher ist, übergibt sie den Code zur Ausführung an Windows zurück. Dies erfolgt in der Regel sehr schnell.

Wenn die Speicherintegrität nicht aktiviert ist, steht der Wächter ungeschützt im Freien, wo es für einen Angreifer viel einfacher ist, den Wächter abzulenken oder auszuschalten, was es böswilligem Code leichter macht, durchzuschlüpfen und Probleme zu verursachen.

Sie können die Speicherintegrität mithilfe der Umschaltfläche aktivieren oder deaktivieren .

Was mache ich, wenn angezeigt wird, dass ein inkompatibler Treiber installiert ist?

Wenn die Speicherintegrität nicht aktiviert werden kann, werden Sie möglicherweise darüber informiert, dass Sie einen inkompatiblen Gerätetreiber installiert haben. Wenden Sie sich an den Hersteller des Gerätes, um festzustellen, ob ein aktualisierter Treiber verfügbar ist. Wenn kein kompatibler Treiber verfügbar ist, können Sie möglicherweise das Gerät oder die App entfernen, das bzw. die diesen inkompatiblen Treiber verwendet.

Hardware-erzwungener Stapelschutz im Kernelmodus

Der hardwaregestützte Stapelschutz ist ein hardwarebasiertes Sicherheitsfeature, das böswilligen Programmen erschwert, Treiber auf niedriger Ebene zu verwenden, um Ihren PC zu kapern.

Ein Treiber ist eine Softwarekomponente, mit der das Betriebssystem (in diesem Fall Windows) und ein Gerät (z. B. eine Tastatur oder eine Webcam) miteinander kommunizieren können. Wenn das Gerät möchte, dass Windows etwas tut, verwendet es den Treiber, um diese Anforderung zu senden.

Der hardwaregestützte Stapelschutz verhindert, dass Angriffe durchgeführt werden, die Rückgabeadressen im Kernelmodusspeicher ändern, um bösartigen Code zu starten. Dieses Sicherheitsfeature erfordert eine CPU, die in der Lage ist, die Rückgabeadressen von laufendem Code zu überprüfen.

Beim Ausführen von Code im Kernelmodus können Rückgabeadressen auf dem Kernelmodusstapel von böswilligen Programmen oder Treibern beschädigt werden, um die normale Codeausführung zu schädlichem Code umzuleiten. Auf unterstützten CPUs verwaltet die CPU eine zweite Kopie gültiger Rückgabeadressen auf einem schreibgeschützten Schattenstapel, den Treiber nicht ändern können. Wenn eine Absenderadresse auf dem regulären Stack geändert wurde, kann die CPU diese Diskrepanz erkennen, indem sie die Kopie der Absenderadresse auf dem Shadow-Stack überprüft. Wenn diese Diskrepanz auftritt, zeigt der Computer einen Stoppfehler, manchmal auch als Bluescreen bezeichnet, an, um die Ausführung des bösartigen Codes zu verhindern.

Nicht alle Treiber sind mit dieser Sicherheitsfunktion kompatibel, da eine kleine Anzahl legitimer Treiber die Änderung der Absenderadresse für nicht böswillige Zwecke vornimmt. Microsoft hat mit zahlreichen Treiberherausgebern zusammengearbeitet, um sicherzustellen, dass ihre neuesten Treiber mit dem durch Hardware erzwungenen Stapelschutz kompatibel sind.

Sie können den von der Hardware erzwungenen Stapelschutz mithilfe der Umschaltfläche aktivieren oder deaktivieren .

Um den Hardware-erzwungenen Stapelschutz verwenden zu können, müssen Sie die Speicherintegrität aktiviert haben und eine CPU ausführen, die Intel Control-Flow Enforcement Technology oder AMD Shadow Stack unterstützt.

Was mache ich, wenn angezeigt wird, dass ich einen inkompatiblen Treiber oder Dienst habe?

Wenn der von der Hardware erzwungene Stapelschutz nicht aktiviert werden kann, werden Sie möglicherweise darüber informiert, dass Sie einen inkompatiblen Gerätetreiber oder Dienst installiert haben. Wenden Sie sich an den Hersteller des Geräts oder den Herausgeber der Anwendung, um festzustellen, ob ein aktualisierter Treiber verfügbar ist. Wenn kein kompatibler Treiber verfügbar ist, können Sie möglicherweise das Gerät oder die App entfernen, das bzw. die diesen inkompatiblen Treiber verwendet.

Einige Anwendungen installieren möglicherweise während der Installation der Anwendung einen Dienst anstelle eines Treibers und den Treiber nur, wenn die Anwendung gestartet wird. Zur genaueren Erkennung inkompatibler Treiber werden auch Dienste aufgelistet, von denen bekannt ist, dass sie inkompatiblen Treibern zugeordnet sind.

Speicherzugriffsschutz

Dieses Sicherheitsfeature, das auch als Kernel-DMA-Schutz bezeichnet wird, schützt Ihr Gerät vor Angriffen, die erfolgen können, wenn ein böswilliges Gerät an einen PCI-Anschluss (Peripheral Component Interconnect) wie einen Thunderbolt-Anschluss angeschlossen wird.

Ein einfaches Beispiel für einen dieser Angriffe wäre, wenn jemand den PC für eine kurze Kaffeepause verlässt und während der Abwesenheit ein Angreifer eintritt, ein USB-Gerät einsteckt und mit vertraulichen Daten vom Computer weggeht oder Schadsoftware einschleust, mit der er den PC aus der Ferne steuern kann. 

Der Speicherzugriffsschutz verhindert diese Art von Angriffen, indem der direkte Zugriff auf den Arbeitsspeicher dieser Geräte verweigert wird, außer unter besonderen Umständen, insbesondere wenn der PC gesperrt ist oder der Benutzer abgemeldet ist.

Firmware-Schutz

Jedes Gerät verfügt über Software, die in den schreibgeschützten Speicher des Gerätes geschrieben wurde (im Grunde auf einen Chip auf dem Systemboard) und für die grundlegenden Funktionen des Gerätes verwendet wird, z. B. das Laden des Betriebssystems, das alle von uns verwendeten Apps ausführt. Da diese Software nur schwierig (aber nicht unmöglich) zu ändern ist, wird sie als Firmware bezeichnet.

Da die Firmware zuerst geladen wird und unter dem Betriebssystem ausgeführt wird, haben Sicherheitstools und -features, die im Betriebssystem ausgeführt werden, Schwierigkeiten, sie zu erkennen oder zu schützen. Wie ein Haus, das von einem guten Fundament für die Sicherheit abhängt, benötigt ein Computer seine Firmware, um sicherzustellen, dass das Betriebssystem, die Anwendungen und die Daten auf diesem Computer geschützt sind.

Systemüberwachung weist eine Reihe von Features auf, die sicherstellen, dass Angreifer Ihr Gerät nicht mit nicht vertrauenswürdiger oder böswilliger Firmware starten können.

Plattformen, die Firmware-Schutz bieten, schützen in der Regel auch den Systemverwaltungsmodus (SMM), einen Betriebsmodus mit hohen Berechtigungen, in unterschiedlichem Ausmaß. Sie können einen der drei Werte erwarten, wobei eine höhere Zahl einen höheren SMM-Schutz anzeigt:

• Ihr Gerät erfüllt den Firmware-Schutz Version eins: Dies bietet die grundlegenden Sicherheitsvorkehrungen, damit SMM der Ausnutzung durch Schadsoftware widersteht und das Exfiltrieren geheimer Schlüssel aus dem Betriebssystem (einschließlich VBS) verhindert wird
• Ihr Gerät erfüllt den Firmware-Schutz Version zwei: Zusätzlich zum Firmware-Schutz stellt Version eins sicher, dass SMM die virtualisierungsbasierte Sicherheit (VBS) und den Kernel-DMA-Schutz nicht deaktivieren kann
• Ihr Gerät erfüllt den Firmware-Schutz Version drei: Zusätzlich zum Firmware-Schutz Version zwei wird das SMM weiter gehärtet, indem der Zugriff auf bestimmte Register verhindert wird, die das Betriebssystem kompromittieren können (einschließlich VBS)

Schutz der lokalen Sicherheitsautorität

Der Schutz der lokalen Sicherheitsautorität (LSA) ist ein Windows-Sicherheitsfeature, das den Diebstahl von Anmeldeinformationen verhindert, die für die Anmeldung bei Windows verwendet werden.   

Die lokale Sicherheitsautorität (LSA) ist ein wichtiger Prozess in Windows, der an der Benutzerauthentifizierung beteiligt ist. Er ist für die Überprüfung von Anmeldeinformationen während des Anmeldeprozesses und die Verwaltung von Authentifizierungstoken und Tickets verantwortlich, die zum Aktivieren des einmaligen Anmeldens für Dienste verwendet werden. Der LSA-Schutz verhindert, dass nicht vertrauenswürdige Software innerhalb von LSA ausgeführt wird oder auf den LSA-Speicher zugreift.  

Gewusst wie den Schutz der lokalen Sicherheitsautorität verwalten?

Sie können den LSA-Schutz mithilfe der Umschaltfläche aktivieren oder deaktivieren .

Nachdem Sie die Einstellung geändert haben, müssen Sie einen Neustart durchführen, damit sie wirksam wird. 

Was geschieht, wenn ich nicht kompatible Software verwende?

Wenn der LSA-Schutz aktiviert ist und das Laden von Software in den LSA-Dienst blockiert wird, wird in einer Benachrichtigung auf die blockierte Datei hingewiesen. Möglicherweise können Sie die Software entfernen, die die Datei lädt, oder Sie können zukünftige Warnungen für diese Datei deaktivieren, wenn das Laden in LSA blockiert wird.  

Credential Guard

Wenn Sie Ihr Geschäfts-, Schul- oder Unigerät verwenden, meldet es sich unbemerkt an und erhält Zugriff auf eine Vielzahl von Dingen wie Dateien, Drucker, Apps und andere Ressourcen in Ihrer organization. Um diesen Prozess sicher und dennoch für den Benutzer einfach zu gestalten, verfügt Ihr PC zu jedem Zeitpunkt über eine Reihe von Authentifizierungstoken.

Wenn ein Angreifer Zugriff auf eines oder mehrere dieser Token erlangt, kann er diese möglicherweise verwenden, um Zugriff auf Ressourcen der Organisation (vertrauliche Dateien usw.) zu erhalten, für die das Token vorgesehen ist. Credential Guard trägt dazu bei, diese Token zu schützen, indem sie in einer geschützten virtualisierten Umgebung gespeichert werden, in der nur bestimmte Dienste bei Bedarf darauf zugreifen können.

Microsoft-Sperrliste für anfällige Treiber

Ein Treiber ist eine Softwarekomponente, mit der das Betriebssystem (in diesem Fall Windows) und ein Gerät (z. B. eine Tastatur oder eine Webcam) miteinander kommunizieren können. Wenn das Gerät möchte, dass Windows etwas tut, verwendet es den Treiber, um diese Anforderung zu senden. Aus diesem Grund haben Treiber ausgedehnten sensiblen Zugriff in Ihrem System.

Windows 11 enthält eine Sperrliste von Treibern, die bekannte Sicherheitsrisiken aufweisen, mit Zertifikaten signiert wurden, die zum Signieren von Schadsoftware verwendet werden, oder die das Windows-Sicherheitsmodell umgehen.

Wenn Sie über Speicherintegrität, Smart App Controloder den Windows S-Modus verfügen, ist auch die Liste gesperrter anfälliger Treiber aktiviert.

Sicherheitsprozessor

In den Einstellungen für den Sicherheitsprozessor auf der Seite "Gerätesicherheit" in der App "Windows-Sicherheit" finden Sie Details zum Trusted Platform Module (TPM) auf Ihrem Gerät. Das TPM ist eine Hardwarekomponente, die die Sicherheit durch kryptografische Vorgänge erhöht.

Details zum Sicherheitsprozessor

Hier finden Sie Informationen zum Hersteller des Sicherheitsprozessor und zu Versionsnummern, wie auch zum Status des Sicherheitsprozessors.

Wählen Sie in der Windows-Sicherheit-App auf Ihrem PC die Option Gerätesicherheit>Sicherheitsprozessordetails aus, oder verwenden Sie die folgende Verknüpfung:

Problembehandlung für Sicherheitsprozessor

Wenn Ihr Sicherheitsprozessor nicht ordnungsgemäß funktioniert, können Sie den Link zur Problembehandlung des Sicherheitsprozessors auswählen, um Fehlermeldungen und erweiterte Optionen anzuzeigen, oder die folgende Verknüpfung verwenden:

Auf der Seite zur Problembehandlung des Sicherheitsprozessors finden Sie alle relevanten Fehlermeldungen zum TPM. Hier ist eine Liste der Fehlermeldungen und Details:

Nachricht	Details
Für Ihren Sicherheitschip (TPM) ist ein Firmwareupdate erforderlich.	Die Hauptplatine Ihres Geräts scheint TPM derzeit nicht zu unterstützen, aber ein Firmwareupdate kann dies möglicherweise beheben. Wenden Sie sich an den Hersteller Ihres Geräts, um zu erfahren, ob ein Firmware-Update verfügbar ist und wie Sie es installieren können. Firmware-Updates sind in der Regel kostenlos.
Das TPM ist deaktiviert und erfordert eine Aktion.	Das Trusted Platform Module ist wahrscheinlich im System-BIOS (Basic Input/Output System) oder UEFI (Unified Extensible Firmware Interface) deaktiviert. Weitere Anweisungen zur Aktivierung finden Sie in der Supportdokumentation Ihres Geräteherstellers oder beim technischen Support.
Der TPM-Speicher ist nicht verfügbar. Bitte löschen Sie Ihr TPM.	Die Schaltfläche "TPM löschen" befindet sich auf dieser Seite. Sie sollten sicherstellen, dass Sie über eine gute Sicherung Ihrer Daten verfügen, bevor Sie fortfahren.
Der Integritätsnachweis für Geräte ist nicht verfügbar. Bitte löschen Sie Ihr TPM.	Die Schaltfläche "TPM löschen" befindet sich auf dieser Seite. Sie sollten sicherstellen, dass Sie über eine gute Sicherung Ihrer Daten verfügen, bevor Sie fortfahren.
Auf diesem Gerät werden keine Integritätsnachweise für Geräte unterstützt.	Dies bedeutet, dass das Gerät uns nicht genügend Informationen liefert, um festzustellen, warum TPM auf Ihrem Gerät möglicherweise nicht ordnungsgemäß funktioniert.
Ihr TPM ist nicht mit Ihrer Firmware kompatibel und funktioniert möglicherweise nicht ordnungsgemäß.	Erkundigen Sie sich beim Hersteller Ihres Geräts, ob ein Firmwareupdate verfügbar ist und wie Sie dieses erhalten und installieren können. Firmware-Updates sind in der Regel kostenlos.
Das TPM-Protokoll für kontrollierten Start fehlt. Versuchen Sie, Ihr Gerät neu zu starten.
Es gibt ein Problem mit Ihrem TPM. Versuchen Sie, Ihr Gerät neu zu starten.

Wenn nach der Behebung einer Fehlermeldung weiterhin Probleme auftreten, wenden Sie sich an Ihren Gerätehersteller.

Wählen Sie TPM löschen, um den Sicherheitsprozessor auf die Standardeinstellungen zurückzusetzen.

Sicherer Start

Der sichere Start verhindert, dass eine ausgefeilte und gefährliche Art von Schadsoftware – ein Rootkit – beim Starten Ihres Geräts geladen wird. Rootkits verwenden die gleichen Berechtigungen wie das Betriebssystem und starten sogar vor diesem, sodass sie sich vollständig verbergen können. Rootkits sind häufig Bestandteil einer ganzen Schadsoftware-Suite, die lokale Anmeldedaten umgehen, Kennwörter und Eingaben aufzeichnen, private Dateien übertragen und kryptografische Daten erfassen kann.

Möglicherweise müssen Sie den sicheren Start deaktivieren, um einige Grafikkarten, Hardware oder Betriebssysteme wie Linux oder frühere Versionen von Windows auszuführen.

Weitere Informationen finden Sie unter Sicherer Start.

Hardwaresicherheitsfunktionalität

Im letzten Abschnitt der Seite für die Gerätesicherheit werden Informationen zu den Sicherheitsfunktionen Ihres Geräts angezeigt. Hier ist eine Liste der Meldungen und Details:

Nachricht	Details
Ihr Gerät erfüllt die Anforderungen für standardmäßige Hardwaresicherheit.	Dies bedeutet, dass Ihr Gerät Speicherintegrität und Kernisolation unterstützt. Dies bedeutet: TPM 2.0 (auch Sicherheitsprozessor genannt) ist vorhanden Der „Sichere Start“ ist aktiviert DEP ist vorhanden UEFI MAT ist vorhanden
Ihr Gerät erfüllt die Anforderungen für erweiterte Hardwaresicherheit.	Dies bedeutet, dass auf Ihrem Gerät nicht nur alle Anforderungen der Standardhardwaresicherheit erfüllt sind, sondern auch die Speicherintegrität aktiviert ist.
Auf Ihrem Gerät sind alle PC-Features des Secured-Core aktiviert.	Dies bedeutet, dass auf Ihrem Gerät nicht nur alle Anforderungen der erweiterten Hardwaresicherheit erfüllt sind, sondern auch der SMM-Schutz (System Management Mode) aktiviert ist.
Standardmäßige Hardwaresicherheit wird nicht unterstützt.	Dies bedeutet, dass Ihr Gerät keine der Anforderungen für Standardhardwaresicherheit erfüllt.

PC Manager

	Die PC Manager-App kann auch in diesem Szenario nützlich sein. Weitere Informationen finden Sie unter Microsoft PC Manager. Hinweis: Microsoft PC Manager ist nicht in allen Gebietsschemas verfügbar.