So aktivieren oder deaktivieren Sie den überwachten Ordnerzugriff in Windows 11

Überwachter Ordnerzugriff (Controlled Folder Access, CFA) ist eine Sicherheitsfunktion in Microsoft Defender Antivirus, die verhindern soll, dass nicht autorisierte Anwendungen Dateien in geschützten Verzeichnissen verändern. Ist die Funktion aktiviert, blockiert CFA nicht vertrauenswürdige oder unbekannte Apps, die Änderungen an Benutzerordnern vornehmen wollen. So schützen Sie Ihre Daten vor Manipulation und Exfiltration und verbessern gleichzeitig die Netzwerksicherheit.

Für IT-Administrator:innen und erfahrene Anwender:innen kann die Verwaltung des überwachten Ordnerzugriffs in Defender das Sicherheitskonzept einer verwalteten Umgebung deutlich stärken. Diese Anleitung zeigt Ihnen, wie Sie den überwachten Ordnerzugriff in Windows 11 über verschiedene Wege aktivieren oder deaktivieren: über die Windows-Sicherheit, PowerShell, Gruppenrichtlinien und den Registrierungs-Editor.

Eine visuelle Version dieser Anleitung finden Sie hier: So aktivieren oder deaktivieren Sie den überwachten Ordnerzugriff in Windows 11

So verwalten Sie den überwachten Ordnerzugriff in Defender

Bevor Sie den überwachten Ordnerzugriff in Microsoft Defender aktivieren oder deaktivieren können, müssen folgende Voraussetzungen erfüllt sein:

• Microsoft Defender muss aktiv sein. Wenn Sie ein Antivirenprogramm eines Drittanbieters nutzen, deaktivieren Sie es zuerst und aktivieren Sie anschließend Microsoft Defender. Beachten Sie: Die CFA-Einstellungen werden nicht angezeigt, wenn eine andere Antivirus-Lösung Defender ersetzt hat.
• Der Echtzeitschutz muss eingeschaltet sein. Nur so lassen sich nicht vertrauenswürdige Aktivitäten überwachen und blockieren.
• Sie benötigen Administratorrechte. Um den überwachten Ordnerzugriff über PowerShell, die Registrierung oder Gruppenrichtlinien zu aktivieren oder zu deaktivieren, müssen Sie Administrator:in sein.
  
• Hinweise zur Windows 11-Edition. Die Optionen über Gruppenrichtlinien und PowerShell setzen Windows 11 Pro, Enterprise oder Education voraus.

Methode 1: Überwachten Ordnerzugriff über die Windows-Sicherheit aktivieren oder deaktivieren (GUI)

Das ist der einfachste Weg, CFA zu verwalten. Er eignet sich allerdings eher für einzelne Geräte als für Konfigurationen im großen Stil.

⚠️ Damit diese Methode funktioniert, muss Microsoft Defender vollständig aktiviert sein und es darf keine Cybersicherheitsplattform eines Drittanbieters aktiv sein. Andernfalls werden einige der unten genannten Menüs nicht angezeigt.

1. Drücken Sie Win + I, um die Einstellungen zu öffnen, und wechseln Sie zu Datenschutz & Sicherheit > Windows-Sicherheit > Viren- & Bedrohungsschutz. Damit öffnet sich die Windows-Sicherheit in einem eigenen Fenster.
2. Scrollen Sie nach unten und klicken Sie auf Ransomware-Schutz verwalten. Diese Option finden Sie im Abschnitt Ransomware-Schutz.
3. Hier können Sie den überwachten Ordnerzugriff umschalten.
   • Stellen Sie den Schalter auf Ein, um CFA zu aktivieren. Damit werden nicht vertrauenswürdige oder unbekannte Apps daran gehindert, auf Dateien in geschützten Ordnern zuzugreifen.
   • Stellen Sie ihn auf Aus, um CFA zu deaktivieren. Alle Anwendungen können dann ohne Einschränkung auf geschützte Ordner zugreifen.
4. Optional: Wenn Sie weitere Speicherorte schützen oder voreingestellte ausschließen möchten, können Sie geschützte Ordner über „Geschützte Ordner“ hinzufügen oder entfernen. Standardmäßig sind Ordner wie Dokumente, Bilder und Desktop enthalten.
5. Wird eine vertrauenswürdige App daran gehindert, Änderungen in einem geschützten Ordner vorzunehmen, können Sie sie manuell zulassen. Klicken Sie dazu auf App durch überwachten Ordnerzugriff zulassen, um sie der Zulassungsliste hinzuzufügen.
   

Methode 2: Überwachten Ordnerzugriff über Gruppenrichtlinien konfigurieren (für Unternehmen und verwaltete Umgebungen)

Diese Methode eignet sich ideal für Unternehmen und verwaltete Umgebungen. Administrator:innen und IT-Verantwortliche können den überwachten Ordnerzugriff in Windows Defender damit auf zahlreichen Rechnern durchsetzen oder testen.

1. Öffnen Sie den Editor für lokale Gruppenrichtlinien. Nutzen Sie die Tastenkombination Win + R, geben Sie gpedit.msc ein und drücken Sie die Eingabetaste.
   
2. Navigieren Sie anschließend zu diesem CFA-Richtlinienpfad:
   Computerkonfiguration > Administrative Vorlagen > Windows-Komponenten > Microsoft Defender Antivirus > Microsoft Defender Exploit Guard > Überwachter Ordnerzugriff.
3. Passen Sie nun die CFA-Richtlinie an. Doppelklicken Sie auf Überwachten Ordnerzugriff konfigurieren und setzen Sie die Richtlinie auf Aktiviert.
   
4. Danach können Sie einen der folgenden Durchsetzungsmodi auswählen:
   • Überwachten Ordnerzugriff aktivieren – damit werden nicht autorisierte Änderungen an geschützten Ordnern blockiert.
   • Überwachten Ordnerzugriff deaktivieren – damit wird CFA vollständig abgeschaltet.
   • Überwachungsmodus – dabei werden CFA-Ereignisse in der Windows-Ereignisanzeige protokolliert, ohne dass Apps blockiert werden. Ideal zum Testen.
5. Klicken Sie auf Übernehmen, öffnen Sie die Eingabeaufforderung und führen Sie diesen Befehl aus, damit die Änderungen sofort wirksam werden: gpupdate /force.

Methode 3: Überwachten Ordnerzugriff mit Windows PowerShell aktivieren oder deaktivieren

Mit PowerShell können Sie den überwachten Ordnerzugriff aktivieren, deaktivieren oder in den Überwachungsmodus versetzen. Das eignet sich besonders für Skripte, die Fernverwaltung und automatisierte Bereitstellungen.

Öffnen Sie zunächst PowerShell als Administrator:in und nutzen Sie dann die folgenden Befehle, um CFA zu verwalten:

1. Mit diesem Befehl prüfen Sie den CFA-Status:
   Get-MpPreference | Select ControlledFolderAccessEnabled.
   Die Rückgabewerte zeigen Ihnen, ob die Funktion aktiv, deaktiviert oder im Überwachungsmodus ist.
   • 0 = Deaktiviert
   • 1 = Aktiviert
   • 2 = Überwachungsmodus
2. Um den überwachten Ordnerzugriff zu aktivieren, verwenden Sie diesen Befehl:
   Set-MpPreference -EnableControlledFolderAccess 1
   
3. Zum Deaktivieren des überwachten Ordnerzugriffs nutzen Sie diesen Befehl:
   Set-MpPreference -EnableControlledFolderAccess 0
   
4. Wenn Sie CFA in den Überwachungsmodus versetzen möchten, verwenden Sie Folgendes:
   Set-MpPreference -EnableControlledFolderAccess 2
   

Methode 4: Überwachten Ordnerzugriff über den Registrierungs-Editor konfigurieren

Über den Windows-Registrierungs-Editor können IT-Administrator:innen den überwachten Ordnerzugriff (CFA) direkt anpassen, etwa wenn Einstellungen über benutzerdefinierte Intune-Richtlinien verteilt werden.

1. Öffnen Sie zunächst den Registrierungs-Editor. Nutzen Sie die Tastenkombination Win + R, geben Sie regedit ein und drücken Sie die Eingabetaste.
2. Navigieren Sie anschließend zum CFA-Registrierungspfad:
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Defender\Windows Defender Exploit Guard\controlled folder access
   
3. Legen Sie die CFA-Einstellung an oder passen Sie eine vorhandene an.
   1. Zum Anlegen klicken Sie mit der rechten Maustaste in den rechten Bereich und wählen Neu > DWORD-Wert (32-Bit).
   2. Benennen Sie ihn anschließend EnableControlledFolderAccess.
   3. Setzen Sie den Wert entsprechend der gewünschten Konfiguration:
      • 0 = Deaktiviert
      • 1 = Aktiviert
      • 2 = Überwachungsmodus
4. Starten Sie Ihren Computer neu, damit die Änderungen übernommen werden. Alternativ können Sie die Eingabeaufforderung (als Administrator) öffnen und diesen Befehl ausführen: sc stop WinDefend && sc start WinDefend. Damit wird Microsoft Defender Antivirus neu gestartet und die Registrierungsänderung übernommen.

Das sollten Sie bei der Verwaltung des überwachten Ordnerzugriffs beachten

Beim Anpassen des überwachten Ordnerzugriffs kommt es darauf an, Schutz zu gewährleisten, ohne Zugriff und Funktionalität einzuschränken.

Diese Punkte sollten Sie berücksichtigen:

1. Ist CFA aktiviert, kann die Funktion auch legitime Apps daran hindern, in geschützte Ordner zu schreiben. Das kann Ihren Arbeitsablauf stören.
   Um das zu vermeiden, führen Sie Schritt 5 aus Methode 1 aus oder nutzen Sie diesen Befehl in PowerShell:
   • Add-MpPreference -ControlledFolderAccessAllowedApplications "C:\Path\To\App.exe"
   • Ersetzen Sie den Pfad durch den genauen Speicherort der ausführbaren Datei. Indem Sie den Befehl mehrfach ausführen, fügen Sie problemlos mehrere Apps hinzu.
2. CFA protokolliert alle blockierten Aktionen in der Ereignisanzeige. Das erleichtert die Fehlersuche und die Pflege Ihrer Zulassungsliste.
   Die Protokolle finden Sie unter diesem Pfad:
   • Ereignisanzeige > Anwendungs- und Dienstprotokolle > Microsoft > Windows > Windows Defender > Operational.
3. Standardmäßig schützt CFA zentrale Ordner wie Dokumente, Bilder, Videos, Musik, Desktop und Favoriten. Weitere geschützte Ordner fügen Sie über die GUI hinzu (siehe Methode 1, Schritt 4) oder über diesen Befehl in PowerShell. Ersetzen Sie dabei einfach „Ihr eigener Ordner“ durch den Pfad des Ordners:
   • Add-MpPreference -ControlledFolderAccessProtectedFolders "C:\Your\Custom\Folder"
     
4. Nutzen Sie vor der Einführung von CFA unbedingt den Überwachungsmodus, um Fehlalarme zu erkennen, bevor Sie Richtlinien ändern. Testen Sie zuerst alles.

Überwachten Ordnerzugriff verwalten: Dateien schützen und reibungslos weiterarbeiten

Der überwachte Ordnerzugriff ist eine wirkungsvolle Schutzebene gegen Ransomware, die direkt in Microsoft Defender Antivirus integriert ist. Ob Sie ein einzelnes Gerät absichern oder Hunderte Endpunkte verwalten: Windows 11 bietet mehrere Wege, CFA je nach Anforderungen Ihrer Umgebung zu aktivieren, zu deaktivieren oder im Überwachungsmodus zu betreiben.

Für die unkomplizierte Konfiguration auf Benutzerebene nutzen Sie die Windows-Sicherheit. Für zentrale Verwaltung und Automatisierung greifen Sie zu Gruppenrichtlinien oder PowerShell. Beginnen Sie immer mit dem Überwachungsmodus, um Kompatibilitätsprobleme zu erkennen und zu beheben, bevor Sie die Richtlinie durchsetzen. Prüfen Sie außerdem regelmäßig die Ereignisprotokolle, damit Ihre Zulassungslisten schlank und wirksam bleiben. Mit der richtigen Einrichtung schützt CFA kritische Daten, ohne wichtige Arbeitsabläufe zu stören.