Schlüsselpunkte
- Die Quarantäne isoliert Bedrohungen sicher: Windows-Sicherheit verschiebt verdächtige Dateien in die Quarantäne, damit diese keinen Schaden anrichten können, während Administratoren die Untersuchung durchführen.
- Nur validierte Dateien wiederherstellen: Stellen Sie unter Quarantäne gestellte Objekte erst wieder her, nachdem Sie deren Herkunft, Hash-Wert und geschäftlichen Nutzen bestätigt haben, damit eine erneute Infektion mit Schadsoftware vermieden wird.
- Schädliche oder unbekannte Dateien entfernen: Löschen Sie unter Quarantäne gestellte Dateien endgültig, sofern das Risiko unklar ist oder es sich um bestätigte Schadsoftware handelt, um die Gefährdung zu verringern.
- Verwenden Sie „Windows-Sicherheit“ und PowerShell: Verwalten Sie unter Quarantäne gestellte Objekte über den Schutzverlauf oder mittels PowerShell-Cmdlets, falls sich die entsprechenden Aktionen über die grafische Benutzeroberfläche nicht ausführen lassen.
- Ausschlüsse minimieren und Maßnahmen dokumentieren: Legen Sie eng gefasste Ausschlüsse fest, scannen Sie die Systeme anschließend erneut, und dokumentieren Sie die getroffenen Entscheidungen, damit sowohl die Nachvollziehbarkeit als auch die betriebliche Klarheit gewährleistet sind.
Die Quarantäne isoliert potenzielle Bedrohungen in einer sicheren Umgebung und gibt Ihnen Zeit, diese zu untersuchen, ohne Ihr System zu gefährden. Wenn Sie feststellen, dass eine in Quarantäne gestellte Datei unbedenklich und für Ihr Unternehmen unverzichtbar ist, können Sie diese wiederherstellen und auf die Whitelist setzen, um künftige Warnmeldungen zu vermeiden. Wenn die Datei schädlich oder unbekannt ist, können Sie diese dauerhaft löschen.
Dieser Leitfaden behandelt, wie Sie unter Quarantäne gestellte Dateien in Windows 11 mithilfe von Windows-Sicherheit und PowerShell wiederherstellen oder endgültig entfernen können, wobei zudem erläutert wird, welche Schritte zu unternehmen sind, falls die Standardschaltflächen „Wiederherstellen“ oder „Entfernen“ nicht reagieren.
Voraussetzungen
- Lokale Administratorrechte für Windows-Sicherheits- und PowerShell-Aktionen
- Aktuelle Definitionen und ein funktionsfähiger Microsoft Defender Antivirus-Stack
- Möglichkeit, einen erneuten Scan durchzuführen und, im Falle einer Wiederherstellung, einen präzisen Ausschluss hinzuzufügen
Entscheidung zwischen Wiederherstellen und Entfernen
Bevor Sie ein unter Quarantäne gestelltes Objekt bearbeiten, sollten Sie entscheiden, welche Maßnahme dem jeweiligen Risikoprofil entspricht, da dieser Schritt eine versehentliche Wiederherstellung von Malware verhindert und Sicherheitslücken verringert.
- Stellen Sie eine Datei nur wieder her, wenn Sie deren Herkunft, Hash-Wert und geschäftlichen Nutzen validiert haben. Überprüfen Sie dabei den Dateipfad sowie die digitale Signatur, um festzustellen, ob die Datei mit einer bekannt unbedenklichen Version aus Ihrer Softwarebereitstellungs-Pipeline übereinstimmt.
- Entfernen Sie das Objekt, sofern das Risiko unklar ist oder es sich um bestätigte Schadsoftware handelt, wobei die Löschung gegenüber weit gefassten Ausschlüssen zu bevorzugen ist, da Letztere blinde Flecken entstehen lassen können.
- Befolgen Sie in verwalteten Umgebungen Ihre IR-Checkliste sowie den Change-Control-Prozess, und dokumentieren Sie die Begründung der Entscheidung, damit diese im Rahmen von Audits nachvollziehbar bleibt.
Verwenden Sie den Schutzverlauf von Windows-Sicherheit
Die Windows-Sicherheits-App bietet die schnellste Möglichkeit, mit vollständiger Protokollierung Elemente in Quarantäne zu verwalten.
- Öffnen Sie Windows-Sicherheit > Viren- und Bedrohungsschutz > Schutzverlauf.
- Filtern Sie nach Unter Quarantäne gestellten Elementen, um ausschließlich isolierte Bedrohungen anzuzeigen.
- Wählen Sie einen Eintrag aus, prüfen Sie die Details, und entscheiden Sie sich anschließend für Wiederherstellen oder Entfernen.
- Sofern Sie eine vertrauenswürdige Datei wiederherstellen, sollten Sie umgehend einen eng gefassten Ausschluss anhand des Pfads oder Hash-Werts hinzufügen, damit die Datei beim nächsten Scan-Zyklus nicht erneut unter Quarantäne gestellt wird.
Diese Methode über die grafische Benutzeroberfläche eignet sich für die meisten Fälle und erzeugt Ereignisprotokolle, die Sicherheitsteams über SIEM-Integrationen überwachen können.
Fügen Sie einen minimalen, gezielten Ausschluss hinzu (nur falls erforderlich)
Ausschlüsse reduzieren das Erkennungsrauschen, vergrößern jedoch die Angriffsfläche. Daher sollten sie so eng wie möglich gefasst werden.
- Fügen Sie unter Windows-Sicherheit > Viren- & Bedrohungsschutz > Einstellungen verwalten > Ausschlüsse den kleinstmöglichen Bereich hinzu, der erforderlich ist, um die wiederhergestellte Datei freizugeben.
- Bevorzugen Sie Ausschlüsse auf Datei- oder Hash-Ebene gegenüber solchen, die auf Ordnern oder Dateierweiterungen basieren, wobei Hash-Ausschlüsse am sichersten sind, da sie an eine bestimmte Dateiversion gebunden sind.
- Führen Sie nach dem Hinzufügen eines Ausschlusses einen Schnellscan durch, damit sichergestellt ist, dass am selben Speicherort keine weiteren Bedrohungen vorhanden sind und der Ausschluss nicht versehentlich Malware auf die Whitelist setzt.
PowerShell bei Fehlschlagen der GUI-Aktionen verwenden
Mitunter reagieren die Schaltflächen „Wiederherstellen“ oder „Entfernen“ in Windows-Sicherheit nicht, was in der Regel auf Fehler der Benutzeroberfläche oder gesperrte Bedrohungsdatensätze zurückzuführen ist. Da PowerShell-Cmdlets die grafische Benutzeroberfläche umgehen und direkt auf den Bedrohungsspeicher zugreifen, lässt sich das Problem auf diesem Weg beheben.
- Aktuelle Bedrohungen auflisten: Get-MpThreat
- Alle in Quarantäne befindlichen Bedrohungen entfernen: Remove-MpThreat -All
- Eine bestimmte Bedrohung entfernen: Remove-MpThreat -ThreatID <ID>
- Zur Bestätigung erneut aufrufen: Get-MpThreat
Da diese Cmdlets häufig auch dann erfolgreich sind, wenn die Aktionen über die grafische Benutzeroberfläche fehlschlagen, eignen sie sich besonders gut für die Automatisierung über mehrere Endpunkte hinweg mittels RMM-Skripten.
Ergebnis validieren und erneut scannen
Nach jeder Wiederherstellung oder Entfernung sollten Sie bestätigen, dass der Endpunkt sauber und funktionsfähig ist:
- Sofern Sie eine Datei wiederhergestellt haben, führen Sie einen Schnellscan durch, und starten Sie die Anwendung, um zu bestätigen, dass diese wie erwartet funktioniert.
- Sofern Sie eine Datei entfernt haben, überprüfen Sie, ob abhängige Aufgaben oder Dienste ausfallen. Verwenden Sie zudem die Ereignisanzeige unter Anwendungs- und Dienstprotokolle > Microsoft > Windows > Windows Defender > Betriebsbereit heran, um weitere Erkennungen einzusehen.
- Dokumentieren Sie bei zahlreichen Endpunkten die durchgeführte Maßnahme sowie deren Begründung in Ihrem Ticketing-System oder in den RMM-Notizen, damit die Nachvollziehbarkeit gewährleistet bleibt.
Künftige Fehlalarme reduzieren
Wiederholte Fehlalarme kosten Analyst:innen wertvolle Zeit und verleiten Administrator:innen dazu, riskante, weit gefasste Ausschlüsse vorzunehmen. Die folgenden Schritte tragen dazu bei, diese Risiken zu minimieren:
- Halten Sie die Defender-Definitionen stets aktuell, da Microsoft die Erkennungslogik fortlaufend anhand von Rückmeldungen zu Fehlalarmen verfeinert.
- Erwägen Sie, die als unbedenklich eingestufte Datei über das Microsoft Security Intelligence-Portal zur Analyse einzureichen, denn sofern Microsoft die Datei daraufhin auf die Positivliste setzt, profitieren sämtliche Mandanten davon.
- Ersetzen Sie weit gefasste Ordnerausschlüsse, wo immer möglich, durch Ausschlüsse auf Datei- oder Hash-Ebene.
- Integrieren Sie diesen Workflow zur Überprüfung von Quarantäneobjekten in Ihre Automatisierungs-Playbooks für Erkennung und Quarantäne, damit für jedes Quarantäneereignis ein Entscheidungsprotokoll vorliegt.
Wann eine Wiederherstellung nicht durchgeführt werden sollte
Bestimmte Objekte sollten unabhängig vom geschäftlichen Druck niemals wiederhergestellt werden.
- Objekte, die als bekannte Malware-Familien, Skript-Dropper oder multipartite Indikatoren eingestuft wurden.
- Dateien mit unklarer Herkunft, für die keine eindeutige geschäftliche Rechtfertigung vorliegt.
- Dateien, die selbst nach einer Überprüfung durch den Hersteller und trotz Hash-Ausschlüssen wiederholt erneut erkannt werden, da dies auf polymorphe Malware hindeuten kann.
In diesen Fällen sollten Sie Ihrem Handbuch für die Reaktion auf Sicherheitsvorfälle folgen, den Vorfall an Ihr Sicherheitsteam eskalieren und von einer Wiederherstellung absehen.
Best Practices
| Vorgehensweise | Zweck | Erzielter Mehrwert |
| Erst entscheiden, dann handeln | Risikobehaftete Wiederherstellungen vermeiden | Geringere Vorfallwahrscheinlichkeit |
| Zuerst die grafische Benutzeroberfläche verwenden | Schnell und nachvollziehbar | Benutzerfreundliche Wiederherstellung |
| An PowerShell eskalieren | Fehlgeschlagene Aktionen rückgängig machen | Weniger offene Quarantänefälle |
| Eng gefasste Ausschlüsse | Angriffsfläche begrenzen | Sicherer Langzeitbetrieb |
| Entscheidungen dokumentieren | Betriebliche Rückverfolgbarkeit | Bessere Prüfungen und Ursachenanalyse (RCA) |
Fehlerbehebung
„Wiederherstellen/Entfernen“ hat keine Wirkung: Führen Sie die PowerShell-Befehle Remove-MpThreat aus und überprüfen Sie anschließend den Schutzverlauf erneut. Die Benutzeroberfläche ist möglicherweise nicht mit dem Bedrohungsspeicher synchronisiert.
Objekt taucht nach der Wiederherstellung immer wieder auf: Fügen Sie einen präzisen Ausschluss für die vertrauenswürdige Datei oder den entsprechenden Pfad hinzu. Bestätigen Sie zudem, dass sich der Hash-Wert der ausführbaren Datei nicht verändert hat, da geänderte Dateien ihren Ausschluss verlieren.
Verlauf ist unübersichtlich oder verwirrend: Löschen Sie in diesem Fall bei Bedarf alte Einträge über die unterstützten Methoden, und führen Sie anschließend einen erneuten Test durch, da ein übersichtlicher Verlauf das Erkennen neuer Bedrohungen erleichtert.
Unsicherheit hinsichtlich der Unbedenklichkeit der Datei: Nehmen Sie in diesem Fall keine Wiederherstellung vor. Befolgen Sie stattdessen Ihre IR-Checkliste, und scannen Sie das System mit aktualisierten Signaturen erneut. Im Zweifelsfall ist die Quarantäne der sicherere Zustand gegenüber der Wiederherstellung.
Datei verbleibt in einer Schleife mit dem Status „Problembehebung fehlgeschlagen“: Sofern eine Bedrohung den Status „Problembehebung unvollständig“ oder „Fehlgeschlagen“ anzeigt, wird die Datei möglicherweise durch einen anderen Prozess blockiert, oder es steht noch ein Neustart des Systems aus. Starten Sie in diesem Fall den Endpunkt neu, führen Sie einen Offline-Scan mittels Start-MpWDOScan durch, und prüfen Sie anschließend, ob sich der Status behebt.
Schutzverlauf ist leer oder es fehlen Einträge: Sofern Ihnen bekannt ist, dass Objekte unter Quarantäne gestellt wurden, die entsprechende Liste jedoch leer ist, könnte die Verlaufsdatei beschädigt sein. Setzen Sie in diesem Fall die App Windows-Sicherheit über Einstellungen > Apps > Installierte Apps zurück, oder leeren Sie manuell den Ordner für den Erkennungsverlauf (C:\ProgramData\Microsoft\Windows Defender\Scans\History\Service), um einen Neuaufbau zu erzwingen.
Zusammenfassung
Die Quarantäne verschafft Ihnen die notwendige Zeit, um die richtige Entscheidung zu treffen. Verwenden Sie Windows-Sicherheit für schnelle Wiederherstellungen oder Entfernungen, eskalieren Sie bei Bedarf an PowerShell, fügen Sie ausschließlich minimale Ausschlüsse hinzu, und dokumentieren Sie Ihre Entscheidungen, damit künftige Analysten die jeweiligen Risikoabwägungen nachvollziehen können. Dieser disziplinierte Ansatz gewährleistet die Sicherheit der Endpunkte und ermöglicht zugleich die einwandfreie Funktion legitimer Geschäftsanwendungen.
