Die Windows-Treiberrichtlinie

Windows enthält ein Sicherheitsfeature namens Kernelcodeintegrität , das zum Schutz Ihres Systems beiträgt, indem sichergestellt wird, dass auf Ihrem System geladene Kerneltreiber integer ausgeführt werden und von einer von Microsoft vertrauenswürdigen Stelle kryptografisch signiert sind.

Wenn diese Meldung angezeigt wird, bedeutet dies, dass ein Treiber oder eine Kernelmodussoftware nicht ordnungsgemäß signiert ist oder die Signaturanforderungen des Windows-Kernels für die Codeintegrität nicht erfüllt.

Windows erfordert, dass alle neuen Treiber über den WHCP-Prozess (Windows Hardware Compatibility Program) übermittelt und signiert werden. Windows zuvor vertrauenswürdige Treiber, die durch das jetzt abgelaufene kreuzsignierte Programm signiert wurden. Mit dem Sicherheitsupdate vom April 2026 sind diese Treiber jedoch standardmäßig nicht mehr vertrauenswürdig. Die Ankündigung ist hier verfügbar: https://go.microsoft.com/fwlink/?linkid=2356646.

Was beinhaltet die Windows-Treiberrichtlinie?

Die Windows-Treiberrichtlinie ist eine Richtlinie im Windows-Kernel, die einschränkt, welche Kernelmodustreiber auf Ihrem Gerät geladen werden können. Wenn sie aktiviert ist, dürfen nur die folgenden Treiber geladen werden:

1. Treiber, die im Rahmen des Microsoft WHCP-Zertifizierungsprozesses ordnungsgemäß signiert wurden
2. Treiber, die in der Windows-Treiberrichtlinie angezeigt werden, lassen die Liste der vertrauenswürdigen Treiber zu, die vom kreuzsignierten Programm signiert wurden.

Treiber, die nicht von Microsoft WHCP signiert sind oder in der Windows-Treiberrichtlinie angezeigt werden, werden auf Systemen mit aktiviertem Bereich blockiert.

Dieses Feature schützt Sie vor potenziell unsicheren oder ungetesteten Treibern und verringert das Risiko von Schadsoftware, Systeminstabilität und Sicherheitsrisiken, die durch nicht überprüfte Treiber und Treiberherausgeber verursacht werden.

Wie funktioniert dieses Feature?

Die Windows-Treiberrichtlinie verwendet einen zweiphasigen Ansatz, wie Smart App Control , um den Schutz auf Ihrem Gerät schrittweise zu erhöhen:

Auswertungsmodus (Überwachung)

Bei der ersten Aktivierung des Features startet es im Auswertungsmodus . In dieser Phase:

• Treiber, die durch die Richtlinie blockiert würden, werden überwacht, dürfen aber dennoch geladen werden . Dadurch wird sichergestellt, dass Ihr Gerät weiterhin normal funktioniert, während Windows bestimmt, ob die Erzwingung für Ihr System geeignet ist.
• Windows verfolgt, wie viele Treiber auf Ihrem System von der Richtlinie betroffen wären.
• Wenn während der Auswertung ein Treiber erkannt wird, der gegen die Richtlinie verstoßen würde, wird der Auswertungsfortschritt zurückgesetzt . Dies bedeutet, dass der Countdown bis zur Erzwingung von vorne beginnt und Windows mehr Zeit hat, die Treibernutzung Ihres Systems zu beobachten.

Bewertungskriterien

Windows überwacht die folgenden Kriterien, um zu bestimmen, wann Ihr Gerät für die Erzwingung bereit ist:

• Systembetriebszeit : Ihr Gerät muss 250 Stunden aktive Nutzung aufweisen.
• Startsitzungen : Ihr Gerät muss seit Beginn der Auswertung mindestens 3 Mal (2 Mal unter Windows Server) neu gestartet worden sein.
• Keine Richtlinienverstöße : Wenn ein Treiber, der blockiert würde, während des Auswertungszeitraums geladen wird, werden die Leistungs- und Startsitzungszähler auf Null zurückgesetzt , wodurch sich der Auswertungszeitraum verlängert.

Wenn Ihr Gerät konsistent Treiber lädt, die die Richtlinie erfüllen und diese Kriterien erfüllen, gilt das System als guter Kandidat für die Erzwingung.

Erzwingungsmodus

Sobald die Bewertungskriterien erfüllt sind, wechselt Windows automatisch in den Erzwingungsmodus . In dieser Phase:

• Geräte sind gegen Treiber geschützt, die die Signieranforderungen in der Windows-Treiberrichtlinie nicht erfüllen.
• Diese Treiber werden nicht geladen und generieren Diagnosedaten, die Microsoft überprüfen kann, sowie Einträge im Windows-Ereignisprotokoll, die Sie überprüfen können.
• Die Richtlinie enthält eine Zulassungsliste bestimmter Treiber und Herausgeber, damit bestimmte weit verbreitete ältere Treiber, die noch nicht WHCP-zertifiziert wurden, weiterhin funktionieren.

Sobald der Erzwingungsmodus aktiv ist, bleibt die Richtlinie über Neustarts hinweg wirksam.

Häufig gestellte Fragen

Gewusst wie weiß ich, ob ein Treiber blockiert ist?

Wenn ein Treiber durch diese Richtlinie blockiert wird, wird möglicherweise Folgendes angezeigt:

• Ein Hardwaregerät funktioniert nicht ordnungsgemäß.
• Ein Peripheriegerät oder eine Komponente (Drucker, Netzwerkadapter, GPU usw.) wird nicht erkannt.
• Eine Anwendung, die von einem Kerneltreiber abhängig ist, kann nicht gestartet werden.

Sie können überprüfen, ob die Windows-Treiberrichtlinie verantwortlich ist, indem Sie die Codeintegritäts-Ereignisprotokolle mit den folgenden beiden Methoden überprüfen.

Manuelles Abfragen von Codeintegritätsereignissen

1. Klicken Sie mit der rechten Maustaste auf die Schaltfläche Start und wählen Sie Ereignisanzeige aus.
2. Navigieren Sie im linken Bereich zu: Anwendungs- und Dienstprotokolle>Microsoft>Windows>CodeIntegrity>Operational
3. Suchen oder filtern Sie das Protokoll nach Ereignissen mit diesen IDs:

• Ereignis-ID 3076 – Ein Treiber wurde überwacht (wäre blockiert worden, war aber zulässig, da sich die Richtlinie im Überwachungsmodus befindet).
• Ereignis-ID 3077 – Das Laden eines Treibers wurde blockiert , da er gegen die Erzwingungsrichtlinie verstoßen hat.

Suchen Sie in den Ereignisdetails nach dem Feld Richtlinien-ID . Ereignisse, die von diesem Feature verursacht werden, verweisen auf eine der folgenden Richtlinien-GUIDs:

• Überwachungsrichtlinie : {784C4414-79F4-4C32-A6A5-F0FB42A51D0D}
• Richtlinie erzwingen : {8F9CB695-5D48-48D6-A329-7202B44607E3}

Abfragen von Codeintegritätsereignissen mit PowerShell

Sie können PowerShell verwenden, um Ereignisse im Zusammenhang mit diesem Feature schnell zu finden:

# Find audit events (Event ID 3076) from the Windows Driver audit policy

$events = Get-WinEvent -LogName 'Microsoft-Windows-CodeIntegrity/Operational' -FilterXPath "*[System[EventID=3076]]" -ErrorAction SilentlyContinue |

Where-Object { $_.Message -like '*784C4414-79F4-4C32-A6A5-F0FB42A51D0D*' }

$results = $events | ForEach-Object {

$xml = [xml]$_.ToXml()

$data = $xml.Event.EventData.Data

[PSCustomObject]@{

TimeCreated = $_.TimeCreated

DriverName    = ($data | Where-Object { $_.Name -eq 'File Name' }).'#text'

ProductName = ($data | Where-Object { $_.Name -eq 'ProductName' }).'#text'

ParentProcess = ($data | Where-Object { $_.Name -eq 'Process Name' }).'#text'

}

}

$results | Select-Object DriverName, ProductName, ParentProcess -Unique | Format-Table -AutoSize -Wrap

# Find block events (Event ID 3077) from the Windows Driver enforced policy

$events = Get-WinEvent -LogName 'Microsoft-Windows-CodeIntegrity/Operational' -FilterXPath "*[System[EventID=3077]]" -ErrorAction SilentlyContinue |

Where-Object { $_.Message -like '*8F9CB695-5D48-48D6-A329-7202B44607E3*' }

$results = $events | ForEach-Object {

$xml = [xml]$_.ToXml()

$data = $xml.Event.EventData.Data

[PSCustomObject]@{

TimeCreated = $_.TimeCreated

DriverName    = ($data | Where-Object { $_.Name -eq 'File Name' }).'#text'

ProductName = ($data | Where-Object { $_.Name -eq 'ProductName' }).'#text'

ParentProcess = ($data | Where-Object { $_.Name -eq 'Process Name' }).'#text'

}

}

$results | Select-Object DriverName, ProductName, ParentProcess -Unique | Format-Table -AutoSize -Wrap

Die Ereignisdetails enthalten den Namen des Treibers, der überwacht oder blockiert wurde, sowie den Namen des Prozesses, der versucht hat, den Treiber zu laden. So können Sie ermitteln, welcher Treiber oder welches Gerät betroffen ist.

Was soll ich tun, wenn ein Treiber blockiert ist?

Wenn Sie der Gerätebenutzer oder IT-Administrator sind

1. Überprüfen Sie die Ereignisprotokolle mithilfe der obigen Schritte, um festzustellen, welcher Treiber blockiert wird.

2. Suchen Sie in Windows Update nach aktualisierten Treibern. WHCP-zertifizierte, signierte Treiber sind möglicherweise bereits über Windows Update verfügbar. Wechseln Sie zu Einstellungen>Windows Update>Erweiterte Optionen>Optionale Updates>Treiberupdates, um nach verfügbaren Treiberupdates zu suchen.

3. Besuchen Sie die Website des Herstellers . Laden Sie die neueste Treiberversion von der offiziellen Support-Seite des Herstellers herunter – neuere Versionen sind eher WHCP-signiert.

4. Wenden Sie sich an den Hardware- oder Softwareanbieter, der den Treiber veröffentlicht. Fragen Sie ihn, ob eine WHCP-zertifizierte Version des Treibers verfügbar ist und wo er darauf zugreifen kann. Die meisten Anbieter zertifizieren ihre Treiber bereits mit WHCP.

Wenn Sie ein Treiberherausgeber sind

Wenn Sie Kernelmodustreiber für Windows entwickeln und vertreiben, müssen Sie sicherstellen, dass Ihre Treiber über den WHCP-Prozess signiert sind:

1. Treten Sie dem Windows Hardware Dev Center bei . Registrieren Sie sich im Windows Hardware Dev Center mit einem gültigen EV-Codesignaturzertifikat (Extended Validation).
2. Erstellen einer Übermittlung . Erstellen Sie im Hardwaredashboard ein neues Produkt, und reichen Sie Ihr Treiberpaket zur Zertifizierung ein.
3. Führen Sie die HLK-Tests aus . Verwenden Sie das Windows Hardware Lab Kit (HLK), um die erforderlichen Tests für Ihren Treibertyp und Ihre Gerätekategorie durchzuführen.
4. Zur Unterzeichnung einreichen . Übermitteln Sie nach bestandenen Tests Ihre HLK-Ergebnisse zusammen mit dem Treiberpaket. Microsoft signiert den Treiber mit dem WHCP-Zertifikat.
5. Verteilen Sie den signierten Treiber. Veröffentlichen Sie nach der Anmeldung den WHCP-zertifizierten Treiber über Windows Update und/oder Ihre Website.

Gewusst wie die Windows-Treiberrichtlinie deaktivieren?

Die Schritte hängen davon ab, welche Windows-Updates installiert werden. Sie können dies überprüfen, indem Sie zu Einstellungen,Windows>UpdateUpdate-Verlauf> gehen.

Geräte mit dem Update vom Juli 2026 oder einem späteren Update

Auf diesen Geräten kann ein Administrator die Richtlinie deaktivieren, ohne die Einstellungen für den sicheren Start zu ändern:

1. Klicken Sie mit der rechten Maustaste auf "Start", und wählen Sie dann "Terminal (Admin)" aus.

2. Führen Sie den folgenden Befehl aus:

   CiTool.exe --remove-policy "{8F9CB695-5D48-48D6-A329-7202B44607E3}"
   

3. Starten Sie das Gerät neu.

Die Richtlinie schützt die aktuelle Windows-Sitzung weiterhin, nachdem Sie den Befehl ausgeführt haben. Durch den Neustart wird die Änderung abgeschlossen, sodass die Richtlinie für zukünftige Sitzungen deaktiviert wird.

Geräte ohne das Update vom Juli 2026

In älteren Versionen von Windows verfügt die Richtlinie über einen zusätzlichen Startschutz. Sie müssen den sicheren Start vorübergehend deaktivieren und die Erzwingungsrichtlinie manuell entfernen.

1. Starten Sie den Computer neu, und rufen Sie das Menü mit den UEFI-Firmwareeinstellungen (manchmal auch BIOS genannt) auf. Die zum Öffnen dieses Menüs verwendete Taste variiert je nach Hersteller, ist jedoch häufig F2, F10, ENTF oder ESC.

   Sie können das Menü auch über Windows öffnen. Gehen Sie zu Einstellungen>Systemwiederherstellung>>Erweiterter Start>Jetzt neu starten. Wählen Sie dann Problembehandlung>Erweiterte Optionen>UEFI-Firmwareeinstellungen>Neustart aus.

2. Suchen Sie den sicheren Start, der normalerweise unter Sicherheit oder Start steht, und legen Sie ihn auf Deaktiviert fest. Speichern Sie Ihre Änderungen und starten Sie Windows.

3. Klicken Sie mit der rechten Maustaste auf "Start", und wählen Sie dann "Terminal (Admin)" aus.

4. Binden Sie die EFI-Systempartition ein, indem Sie Folgendes ausführen:

   mountvol S: /s
   

   Wenn S: er bereits verwendet wird, wählen Sie einen anderen verfügbaren Laufwerkbuchstaben aus, und verwenden Sie diesen in den verbleibenden Befehlen.

5. Entfernen Sie die Erzwingungsrichtlinie von der EFI-Systempartition und Windows:

   Remove-Item "S:\EFI\Microsoft\Boot\CiPolicies\Active\{8F9CB695-5D48-48D6-A329-7202B44607E3}.cip" -Force
   Remove-Item "$env:windir\System32\CodeIntegrity\CiPolicies\Active\{8F9CB695-5D48-48D6-A329-7202B44607E3}.cip" -Force
   

   Wenn Windows meldet, dass eine der Dateien nicht gefunden werden kann, fahren Sie mit dem nächsten Schritt fort.

6. Aufheben der Bereitstellung der EFI-Systempartition:

   mountvol S: /d
   

7. Starten Sie das Gerät neu. Die Richtlinie ist jetzt deaktiviert.

8. Kehren Sie zu den UEFI-Firmwareeinstellungen zurück, und aktivieren Sie den sicheren Start erneut, um den anderen Schutz wiederherzustellen.

Warum hat mein Treiber vorher gearbeitet und ist plötzlich blockiert?

Das Feature startet im Auswertungsmodus , in dem nicht zertifizierte Treiber protokolliert, aber nicht blockiert werden. Nachdem Ihr System die Bewertungskriterien erfüllt (ausreichende Betriebszeit und Neustarts ohne Richtlinienverletzungen), wechselt die Richtlinie automatisch in den Erzwingungsmodus , und Treiber, die nicht WHCP-signiert sind, werden blockiert. Dies kann dazu führen, dass Treiber, die zuvor funktionierten, nicht mehr geladen werden.

Kann ich einen einzelnen Treiber zulassen, ohne das Feature vollständig zu deaktivieren?

Es gibt derzeit keine Möglichkeit, die Richtlinie für einzelne Fahrer zu umgehen. Sie können das Feature entweder vollständig deaktivieren (siehe oben) oder sich – am besten – an den Herausgeber des Treibers wenden und ihn bitten, eine WHCP-signierte Version seines Treibers bereitzustellen.

Betrifft dies Anwendungen im Benutzermodus oder nur Kerneltreiber?

Dieses Feature gilt nur für Kernelmodustreiber. Anwendungen im Benutzermodus sind von dieser Richtlinie nicht betroffen.

Befindet sich mein Gerät im Evaluierungs- oder Erzwingungsmodus?

Sie können dies überprüfen, indem Sie die folgenden Befehle als Administrator in PowerShell ausführen:

$evalPolicy = (citool -lp -json | ConvertFrom-Json).Policies | Where-Object { $_.PolicyID -eq "784c4414-79f4-4c32-a6a5-f0fb42a51d0d" }

$enforcedPolicy = (citool -lp -json | ConvertFrom-Json).Policies | Where-Object { $_.PolicyID -eq "8F9CB695-5D48-48D6-A329-7202B44607E3" }

if ($enforcedPolicy.IsEnforced -and $enforcedPolicy.IsAuthorized) { Write-Host "✅ The feature is in enforcement mode" -ForegroundColor Green }

elseif($evalPolicy.IsEnforced -and $evalPolicy.IsAuthorized) { Write-Host "✅ The feature is in evaluation mode" -ForegroundColor Green }

else { Write-Host "❌ The feature is not available on this system" -ForegroundColor Red }

Wirkt sich dies auf Windows Server aus?

Ja – Windows Server 2025 und neuere Serverplattformen. Unter Windows Server beträgt die Anforderung für die Startsitzung jedoch 2 Neustarts (im Vergleich zu 3 bei Clienteditionen). Alle anderen Kriterien bleiben gleich.

Was passiert, wenn ich Windows zurücksetze oder neu installiere?

Wenn Sie Windows zurücksetzen oder neu installieren, wird das Feature im Evaluierungsmodus neu gestartet. Die Bewertungsindikatoren werden zurückgesetzt, und der Übergang zur Erzwingung beginnt erneut von vorne.

Benötigen Sie weitere Hilfe?

Wenn weiterhin Probleme mit einem blockierten Treiber auftreten, besuchen Sie bitte die Microsoft Community-Foren oder wenden Sie sich an den Microsoft-Support .

Wir würden uns über Ihr Feedback zu diesem Feature freuen. So teilen Sie Ihre Erfahrungen:

1. Öffnen Sie in Windows den Feedback-Hub (drücken Sie Win + F ).

2. Urheberrecht Wählen Sie in Schritt 2 – Kategorie auswählen , die App-Steuerung für Sicherheit und Datenschutz> aus.