Ich habe Windows 11 25H2 gegen echte Ransomware getestet – Folgendes ist passiert

Wie der Test eingerichtet wurde

Ein Ransomware-Test gegen Windows 11 ist eigentlich ein Test von vier separaten Ebenen, nicht eines einzigen Antivirenprogramms. Im Video wird der Test unter Windows 11 25H2 in einem vollständig isolierten Labor auf einem Einwegcomputer ausgeführt, der anschließend gelöscht wird – die einzig sichere Möglichkeit, einen solchen Test jemals durchzuführen. Die Frage, die beantwortet wird, lautet nicht einfach: „Hat das Antivirenprogramm es erkannt?“, sondern wie sich die einzelnen integrierten Schichten in der Reihenfolge verhalten, wenn ein echter Verschlüsselungsalgorithmus losgelassen wird.

Schicht 1 – SmartScreen beurteilt die Datei an der Tür

Die meisten Ransomware-Programme kommen nicht durch Zauberei. Es kommt als Download, als E-Mail-Anhang oder als von einem USB-Laufwerk kopierte Datei an – und gibt normalerweise vor, etwas anderes zu sein: eine Rechnung, ein Lebenslauf, ein Software-Crack, eine Rechnung. SmartScreen ist der Kontrollpunkt an dieser Tür. Wenn Sie eine aus dem Internet stammende Datei ausführen, überprüft Windows deren Reputation. Eine Datei, die Millionen von PCs sicher ausgeführt haben, läuft geräuschlos weiter; Eine brandneue oder unbekannte Datei löst den blauen Warnbildschirm aus, den so viele Leute durchklicken, ohne sie zu lesen.

Diese Warnung ist keine Dekoration – es handelt sich um eine Ebene, die genau wie geplant funktioniert und Ihnen mitteilt, dass diese Datei keine Erfolgsbilanz hat. Die ehrliche Grenze: SmartScreen beurteilt den Ruf, nicht die Absichten. Eine Datei, die neu, aber harmlos ist, wird gewarnt, und eine Datei, die sich weit verbreitet hat, bevor irgendjemand dies gemeldet hat, kann passieren. Es ist ein starker erster Filter, kein Urteil.

Ebene 2 – Reputations- und Cloud-Checks hinter den Kulissen

Defender verlässt sich nicht nur auf die auf Ihrem PC gespeicherte Signaturdatenbank. Wenn der cloudbasierte Schutz aktiviert ist, wird eine verdächtige Datei auch mit der ständig aktualisierten Cloud-Intelligenz von Microsoft abgeglichen, und durch die automatische Probenübermittlung kann eine zweifelhafte Datei zur tieferen Analyse gesendet werden. So kann eine Bedrohung, die vor einer Stunde irgendwo auf der Welt aufgetaucht ist, heute auf Ihrem PC erkannt werden, anstatt erst nach dem nächsten Datenbank-Update.

Diese beiden Schalter befinden sich unter Windows-Sicherheit > Viren- und Bedrohungsschutz > Einstellungen für Viren- und Bedrohungsschutz > Einstellungen verwalten. Auf vielen PCs sind sie standardmäßig aktiviert – aber auf PCs, auf denen jemand einmal Windows „optimiert“ oder Defender-Funktionen deaktiviert hat, sind sie stillschweigend ausgeschaltet. Dieser einzige Unterschied erklärt, warum derselbe Test auf zwei scheinbar identischen Maschinen unterschiedlich enden kann.

Schicht 3 – Defender überwacht das Verhalten, nicht nur Dateien

Die klassische Antivirenaufgabe besteht darin, Dateien mit bekanntermaßen fehlerhaften Signaturen abzugleichen. Ransomware kann diesen Job problemlos abwehren, da jede Kampagne frisch gepackte Dateien verwenden kann, die noch niemand zuvor gesehen hat. Daher überwacht Defender auch das Verhalten: Ein Programm, das plötzlich in Sekundenschnelle Hunderte von Dokumenten, Fotos und Tabellenkalkulationen öffnet und neu schreibt, verhält sich wie Ransomware, was auch immer der Dateiname sagt – und es gibt Verhaltensüberwachung und Echtzeitschutz, um genau dieses Muster zu unterbrechen.

Verhaltensbeobachtung ist wirkungsvoll, aber nicht perfekt. Es sind einige Dateien erforderlich, bevor das Muster nicht zu leugnen ist, und ein schneller Verschlüsseler auf einer schnellen SSD ist schnell. Dies ist der ehrliche Grund, warum kein ehrlicher Experte verspricht, dass Antivirus allein Sie sicher macht – und warum es die nächste Ebene gibt.

Schicht 4 – Kontrollierter Ordnerzugriff schützt die Dateien selbst

Kontrollierter Ordnerzugriff ändert die Frage. Anstelle der Frage „Ist dieses Programm schlecht?“ wird gefragt: „Steht dieses Programm auf der Liste der zulässigen Eingriffe in Ihre wichtigen Ordner?“ Dokumente, Bilder, Videos, Musik und Desktop sind standardmäßig geschützt und Sie können Ihre eigenen Arbeitsordner hinzufügen. Jedes Programm, das nicht vertrauenswürdig ist und versucht, Dateien in diesen Ordnern zu ändern, wird blockiert – einschließlich eines brandneuen Verschlüsselungsprogramms, das die Schichten 1 bis 3 noch nie gesehen haben.

Hier ist der Haken, der über die meisten Ergebnisse in der Praxis entscheidet: Der kontrollierte Ordnerzugriff ist bei einer normalen Windows-Installation standardmäßig AUS, da ein zu strenger Schutz gelegentlich ein legitimes Programm blockieren kann. Sie schalten es unter Windows-Sicherheit > Viren- und Bedrohungsschutz > Ransomware-Schutz > Ransomware-Schutz verwalten ein. Von allen Einstellungen in diesem Handbuch ist diese diejenige, die den meisten Heim-PCs fehlt.

Manipulationsschutz – die Wache auf der Hut

Jede Ebene darüber hängt davon ab, dass ihre Einstellungen aktiviert bleiben. Moderne Malware weiß das und einer ihrer ersten Schritte besteht oft darin, den Defender stillschweigend auszuschalten. Der Manipulationsschutz soll genau das verhindern: Während er aktiviert ist, können die Schlüsseleinstellungen des Defender nicht durch Apps oder Skripts geändert werden – nur durch Sie in der Windows-Sicherheits-App. Es befindet sich auf derselben Seite Einstellungen verwalten wie die Cloud-Umschaltung in Schritt 3.

In einem Test – und in einem realen Vorfall – ist dies der Unterschied zwischen Abwehrmaßnahmen, die sich wehren, und Abwehrmaßnahmen, die stillschweigend entfernt wurden, bevor der Kampf begann. Überprüfen Sie, ob es eingeschaltet ist. es dauert zehn Sekunden.

Die Ebene außerhalb von Windows – Ihr Offline-Backup

Jede Ebene darüber versucht, den Angriff zu stoppen. Die Backup-Schicht geht davon aus, dass der Angriff erfolgreich war – und macht ihn unwichtig. Ransomware kann eine Kopie, die sie nicht erreichen kann, nicht verschlüsseln. Deshalb muss sich eine Sicherungskopie an einem Ort befinden, auf den der infizierte PC nicht schreiben kann: auf einem externen Laufwerk, das nach der Sicherung vom Stromnetz getrennt wird, oder auf einem Cloud-Speicher mit ordnungsgemäßem Versionsverlauf.

Das Urteil – eine Checkliste, keine Bewertung

Ein Labortest zeigt, wie sich diese Schichten an diesem Tag und mit diesen Einstellungen gegenüber den ausgewählten Proben verhalten. Einen Gewinner kann man nicht für immer krönen: Angreifer ändern ständig ihre Pakete und Tricks, und Microsoft aktualisiert die Informationen ständig. Windows 11 25H2 setzt das gleiche Schichtenmodell fort, anstatt es zu ersetzen – der praktische Unterschied für die meisten Benutzer liegt in aktuellen Informationen und Standardeinstellungen, nicht in einem brandneuen Schutzschild.

Die ehrliche Erkenntnis aus dem Test ist also eine Checkliste, keine Bewertung. Wenn Sie diese fünf Punkte richtig machen, haben Sie den stärksten Teil aller Testergebnisse auf Ihrem eigenen PC reproduziert: (1) Beachten Sie die SmartScreen-Warnung, (2) cloudbasierter Schutz aktiviert, (3) Manipulationsschutz aktiviert, (4) kontrollierter Ordnerzugriff aktiviert, (5) eine Sicherungskopie offline aufbewahrt. Sehen Sie sich das vollständige Video oben an, um den Test selbst zu sehen, und wenden Sie dann die Einstellungen an.