{"id":851597,"date":"2026-08-10T07:26:25","date_gmt":"2026-08-10T07:26:25","guid":{"rendered":"https:\/\/www.ninjaone.com\/?p=851597"},"modified":"2026-08-10T07:26:25","modified_gmt":"2026-08-10T07:26:25","slug":"dateien-in-der-quarantaene-unter-windows-11-wiederherstellen-oder-loeschen","status":"publish","type":"post","link":"https:\/\/www.ninjaone.com\/de\/blog\/dateien-in-der-quarantaene-unter-windows-11-wiederherstellen-oder-loeschen\/","title":{"rendered":"So stellen Sie Dateien in der Quarant\u00e4ne unter Windows 11 wieder her oder entfernen sie dauerhaft"},"content":{"rendered":"<div class=\"in-context-cta\"><h2>Schl\u00fcsselpunkte<\/h2>\n<ul>\n<li><strong>Die Quarant\u00e4ne isoliert Bedrohungen sicher:<\/strong>\u00a0Windows-Sicherheit verschiebt verd\u00e4chtige Dateien in die Quarant\u00e4ne, damit diese keinen Schaden anrichten k\u00f6nnen, w\u00e4hrend Administratoren die Untersuchung durchf\u00fchren.<\/li>\n<li><strong>Nur validierte Dateien wiederherstellen:<\/strong>\u00a0Stellen Sie unter Quarant\u00e4ne gestellte Objekte erst wieder her, nachdem Sie deren Herkunft, Hash-Wert und gesch\u00e4ftlichen Nutzen best\u00e4tigt haben, damit eine erneute Infektion mit Schadsoftware vermieden wird.<\/li>\n<li><strong>Sch\u00e4dliche oder unbekannte Dateien entfernen:<\/strong>\u00a0L\u00f6schen Sie unter Quarant\u00e4ne gestellte Dateien endg\u00fcltig, sofern das Risiko unklar ist oder es sich um best\u00e4tigte Schadsoftware handelt, um die Gef\u00e4hrdung zu verringern.<\/li>\n<li><strong>Verwenden Sie \u201eWindows-Sicherheit\u201c und PowerShell:<\/strong>\u00a0Verwalten Sie unter Quarant\u00e4ne gestellte Objekte \u00fcber den Schutzverlauf oder mittels PowerShell-Cmdlets, falls sich die entsprechenden Aktionen \u00fcber die grafische Benutzeroberfl\u00e4che nicht ausf\u00fchren lassen.<\/li>\n<li><strong>Ausschl\u00fcsse minimieren und Ma\u00dfnahmen dokumentieren:<\/strong>\u00a0Legen Sie eng gefasste Ausschl\u00fcsse fest, scannen Sie die Systeme anschlie\u00dfend erneut, und dokumentieren Sie die getroffenen Entscheidungen, damit sowohl die Nachvollziehbarkeit als auch die betriebliche Klarheit gew\u00e4hrleistet sind.<\/li>\n<\/ul>\n<\/div>\n<p>Die Quarant\u00e4ne isoliert potenzielle Bedrohungen in einer sicheren Umgebung und gibt Ihnen Zeit, diese zu untersuchen, ohne Ihr System zu gef\u00e4hrden. Wenn Sie feststellen, dass eine in Quarant\u00e4ne gestellte Datei unbedenklich und f\u00fcr Ihr Unternehmen unverzichtbar ist, k\u00f6nnen Sie diese wiederherstellen und auf die Whitelist setzen, um k\u00fcnftige Warnmeldungen zu vermeiden. Wenn die Datei sch\u00e4dlich oder unbekannt ist, k\u00f6nnen Sie diese dauerhaft l\u00f6schen.<\/p>\n<p>Dieser Leitfaden behandelt, wie Sie unter Quarant\u00e4ne gestellte Dateien in Windows 11 mithilfe von Windows-Sicherheit und PowerShell wiederherstellen oder endg\u00fcltig entfernen k\u00f6nnen, wobei zudem erl\u00e4utert wird, welche Schritte zu unternehmen sind, falls die Standardschaltfl\u00e4chen \u201eWiederherstellen\u201c oder \u201eEntfernen\u201c nicht reagieren.<\/p>\n<h2>Voraussetzungen<\/h2>\n<ul>\n<li>Lokale Administratorrechte f\u00fcr Windows-Sicherheits- und PowerShell-Aktionen<\/li>\n<li>Aktuelle Definitionen und ein funktionsf\u00e4higer Microsoft Defender Antivirus-Stack<\/li>\n<li>M\u00f6glichkeit, einen erneuten Scan durchzuf\u00fchren und, im Falle einer Wiederherstellung, einen pr\u00e4zisen Ausschluss hinzuzuf\u00fcgen<\/li>\n<\/ul>\n<h2>Entscheidung zwischen Wiederherstellen und Entfernen<\/h2>\n<p>Bevor Sie ein unter Quarant\u00e4ne gestelltes Objekt bearbeiten, sollten Sie entscheiden, welche Ma\u00dfnahme dem jeweiligen Risikoprofil entspricht, da dieser Schritt eine versehentliche Wiederherstellung von Malware verhindert und Sicherheitsl\u00fccken verringert.<\/p>\n<ul>\n<li>Stellen Sie eine Datei nur wieder her, wenn Sie deren Herkunft, Hash-Wert und gesch\u00e4ftlichen Nutzen validiert haben. \u00dcberpr\u00fcfen Sie dabei den Dateipfad sowie die digitale Signatur, um festzustellen, ob die Datei mit einer bekannt unbedenklichen Version aus Ihrer Softwarebereitstellungs-Pipeline \u00fcbereinstimmt.<\/li>\n<li>Entfernen Sie das Objekt, sofern das Risiko unklar ist oder es sich um best\u00e4tigte Schadsoftware handelt, wobei die L\u00f6schung gegen\u00fcber weit gefassten Ausschl\u00fcssen zu bevorzugen ist, da Letztere blinde Flecken entstehen lassen k\u00f6nnen.<\/li>\n<li>Befolgen Sie in verwalteten Umgebungen Ihre IR-Checkliste sowie den Change-Control-Prozess, und dokumentieren Sie die Begr\u00fcndung der Entscheidung, damit diese im Rahmen von Audits nachvollziehbar bleibt.<\/li>\n<\/ul>\n<h2>Verwenden Sie den Schutzverlauf von Windows-Sicherheit<\/h2>\n<p>Die Windows-Sicherheits-App bietet die schnellste M\u00f6glichkeit, mit vollst\u00e4ndiger Protokollierung Elemente in Quarant\u00e4ne zu verwalten.<\/p>\n<ul>\n<li>\u00d6ffnen Sie<strong>\u00a0Windows-Sicherheit<\/strong>\u00a0&gt;\u00a0<strong>Viren- und Bedrohungsschutz<\/strong>\u00a0&gt;\u00a0<strong>Schutzverlauf<\/strong>.<\/li>\n<li>Filtern Sie nach\u00a0<strong>Unter Quarant\u00e4ne gestellten Elementen<\/strong>,\u00a0um ausschlie\u00dflich isolierte Bedrohungen anzuzeigen.<\/li>\n<li>W\u00e4hlen Sie einen Eintrag aus, pr\u00fcfen Sie die Details, und entscheiden Sie sich anschlie\u00dfend f\u00fcr\u00a0<strong>Wiederherstellen\u00a0<\/strong>oder\u00a0<strong>Entfernen<\/strong>.<\/li>\n<li>Sofern Sie eine vertrauensw\u00fcrdige Datei wiederherstellen, sollten Sie umgehend einen eng gefassten Ausschluss anhand des Pfads oder Hash-Werts hinzuf\u00fcgen, damit die Datei beim n\u00e4chsten Scan-Zyklus nicht erneut unter Quarant\u00e4ne gestellt wird.<\/li>\n<\/ul>\n<p>Diese Methode \u00fcber die grafische Benutzeroberfl\u00e4che eignet sich f\u00fcr die meisten F\u00e4lle und erzeugt Ereignisprotokolle, die Sicherheitsteams \u00fcber SIEM-Integrationen \u00fcberwachen k\u00f6nnen.<\/p>\n<h2>F\u00fcgen Sie einen minimalen, gezielten Ausschluss hinzu (nur falls erforderlich)<\/h2>\n<p>Ausschl\u00fcsse reduzieren das Erkennungsrauschen, vergr\u00f6\u00dfern jedoch die Angriffsfl\u00e4che. Daher sollten sie so eng wie m\u00f6glich gefasst werden.<\/p>\n<ul>\n<li>F\u00fcgen Sie unter\u00a0<strong>Windows-Sicherheit<\/strong>\u00a0&gt;\u00a0<strong>Viren- &amp; Bedrohungsschutz<\/strong>\u00a0&gt;\u00a0<strong>Einstellungen verwalten\u00a0<\/strong>&gt;\u00a0<strong>Ausschl\u00fcsse<\/strong> den kleinstm\u00f6glichen Bereich hinzu, der erforderlich ist, um die wiederhergestellte Datei freizugeben.<\/li>\n<li>Bevorzugen Sie Ausschl\u00fcsse auf Datei- oder Hash-Ebene gegen\u00fcber solchen, die auf Ordnern oder Dateierweiterungen basieren, wobei Hash-Ausschl\u00fcsse am sichersten sind, da sie an eine bestimmte Dateiversion gebunden sind.<\/li>\n<li>F\u00fchren Sie nach dem Hinzuf\u00fcgen eines Ausschlusses einen Schnellscan durch, damit sichergestellt ist, dass am selben Speicherort keine weiteren Bedrohungen vorhanden sind und der Ausschluss nicht versehentlich Malware auf die Whitelist setzt.<\/li>\n<\/ul>\n<h2>PowerShell bei Fehlschlagen der GUI-Aktionen verwenden<\/h2>\n<p>Mitunter reagieren die Schaltfl\u00e4chen \u201eWiederherstellen\u201c oder \u201eEntfernen\u201c in Windows-Sicherheit nicht, was in der Regel auf Fehler der Benutzeroberfl\u00e4che oder gesperrte Bedrohungsdatens\u00e4tze zur\u00fcckzuf\u00fchren ist. Da PowerShell-Cmdlets die grafische Benutzeroberfl\u00e4che umgehen und direkt auf den Bedrohungsspeicher zugreifen, l\u00e4sst sich das Problem auf diesem Weg beheben.<\/p>\n<ul>\n<li>Aktuelle Bedrohungen auflisten:\u00a0<em>Get-MpThreat<\/em><\/li>\n<li>Alle in Quarant\u00e4ne befindlichen Bedrohungen entfernen:\u00a0<em>Remove-MpThreat -All<\/em><\/li>\n<li>Eine bestimmte Bedrohung entfernen:\u00a0<em>Remove-MpThreat -ThreatID &lt;ID&gt;<\/em><\/li>\n<li>Zur Best\u00e4tigung erneut aufrufen:\u00a0<em>Get-MpThreat<\/em><\/li>\n<\/ul>\n<p>Da diese Cmdlets h\u00e4ufig auch dann erfolgreich sind, wenn die Aktionen \u00fcber die grafische Benutzeroberfl\u00e4che fehlschlagen, eignen sie sich besonders gut f\u00fcr die Automatisierung \u00fcber mehrere Endpunkte hinweg mittels RMM-Skripten.<\/p>\n<h2>Ergebnis validieren und erneut scannen<\/h2>\n<p>Nach jeder Wiederherstellung oder Entfernung sollten Sie best\u00e4tigen, dass der Endpunkt sauber und funktionsf\u00e4hig ist:<\/p>\n<ul>\n<li>Sofern Sie eine Datei wiederhergestellt haben, f\u00fchren Sie einen Schnellscan durch, und starten Sie die Anwendung, um zu best\u00e4tigen, dass diese wie erwartet funktioniert.<\/li>\n<li>Sofern Sie eine Datei entfernt haben, \u00fcberpr\u00fcfen Sie, ob abh\u00e4ngige Aufgaben oder Dienste ausfallen. Verwenden Sie zudem die\u00a0<strong>Ereignisanzeige<\/strong>\u00a0unter\u00a0<strong>Anwendungs- und Dienstprotokolle<\/strong>\u00a0&gt;\u00a0<strong>Microsoft\u00a0<\/strong>&gt;\u00a0<strong>Windows\u00a0<\/strong>&gt;\u00a0<strong>Windows Defender<\/strong>\u00a0&gt;\u00a0<strong>Betriebsbereit\u00a0<\/strong>heran, um weitere Erkennungen einzusehen.<\/li>\n<li>Dokumentieren Sie bei zahlreichen Endpunkten die durchgef\u00fchrte Ma\u00dfnahme sowie deren Begr\u00fcndung in Ihrem Ticketing-System oder in den RMM-Notizen, damit die Nachvollziehbarkeit gew\u00e4hrleistet bleibt.<\/li>\n<\/ul>\n<h2>K\u00fcnftige Fehlalarme reduzieren<\/h2>\n<p>Wiederholte Fehlalarme kosten Analyst:innen wertvolle Zeit und verleiten Administrator:innen dazu, riskante, weit gefasste Ausschl\u00fcsse vorzunehmen. Die folgenden Schritte tragen dazu bei, diese Risiken zu minimieren:<\/p>\n<ul>\n<li>Halten Sie die Defender-Definitionen stets aktuell, da Microsoft die Erkennungslogik fortlaufend anhand von R\u00fcckmeldungen zu Fehlalarmen verfeinert.<\/li>\n<li>Erw\u00e4gen Sie, die als unbedenklich eingestufte Datei \u00fcber das Microsoft Security Intelligence-Portal zur Analyse einzureichen, denn sofern Microsoft die Datei daraufhin auf die Positivliste setzt, profitieren s\u00e4mtliche Mandanten davon.<\/li>\n<li>Ersetzen Sie weit gefasste Ordnerausschl\u00fcsse, wo immer m\u00f6glich, durch Ausschl\u00fcsse auf Datei- oder Hash-Ebene.<\/li>\n<li>Integrieren Sie diesen Workflow zur \u00dcberpr\u00fcfung von Quarant\u00e4neobjekten in Ihre Automatisierungs-Playbooks f\u00fcr Erkennung und Quarant\u00e4ne, damit f\u00fcr jedes Quarant\u00e4neereignis ein Entscheidungsprotokoll vorliegt.<\/li>\n<\/ul>\n<h2>Wann eine Wiederherstellung nicht durchgef\u00fchrt werden sollte<\/h2>\n<p>Bestimmte Objekte sollten unabh\u00e4ngig vom gesch\u00e4ftlichen Druck\u00a0<strong>niemals\u00a0<\/strong>wiederhergestellt werden.<\/p>\n<ul>\n<li>Objekte, die als bekannte Malware-Familien, Skript-Dropper oder multipartite Indikatoren eingestuft wurden.<\/li>\n<li>Dateien mit unklarer Herkunft, f\u00fcr die keine eindeutige gesch\u00e4ftliche Rechtfertigung vorliegt.<\/li>\n<li>Dateien, die selbst nach einer \u00dcberpr\u00fcfung durch den Hersteller und trotz Hash-Ausschl\u00fcssen wiederholt erneut erkannt werden, da dies auf polymorphe Malware hindeuten kann.<\/li>\n<\/ul>\n<p>In diesen F\u00e4llen sollten Sie Ihrem Handbuch f\u00fcr die Reaktion auf Sicherheitsvorf\u00e4lle folgen, den Vorfall an Ihr Sicherheitsteam eskalieren und von einer Wiederherstellung absehen.<\/p>\n<h2>Best Practices<\/h2>\n<table>\n<tbody>\n<tr>\n<td><strong>Vorgehensweise<\/strong><\/td>\n<td><strong>Zweck<\/strong><\/td>\n<td><strong>Erzielter Mehrwert<\/strong><\/td>\n<\/tr>\n<tr>\n<td>Erst entscheiden, dann handeln<\/td>\n<td>Risikobehaftete Wiederherstellungen vermeiden<\/td>\n<td>Geringere Vorfallwahrscheinlichkeit<\/td>\n<\/tr>\n<tr>\n<td>Zuerst die grafische Benutzeroberfl\u00e4che verwenden<\/td>\n<td>Schnell und nachvollziehbar<\/td>\n<td>Benutzerfreundliche Wiederherstellung<\/td>\n<\/tr>\n<tr>\n<td>An PowerShell eskalieren<\/td>\n<td>Fehlgeschlagene Aktionen r\u00fcckg\u00e4ngig machen<\/td>\n<td>Weniger offene Quarant\u00e4nef\u00e4lle<\/td>\n<\/tr>\n<tr>\n<td>Eng gefasste Ausschl\u00fcsse<\/td>\n<td>Angriffsfl\u00e4che begrenzen<\/td>\n<td>Sicherer Langzeitbetrieb<\/td>\n<\/tr>\n<tr>\n<td>Entscheidungen dokumentieren<\/td>\n<td>Betriebliche R\u00fcckverfolgbarkeit<\/td>\n<td>Bessere Pr\u00fcfungen und Ursachenanalyse (RCA)<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h2>Fehlerbehebung<\/h2>\n<p><strong>\u201eWiederherstellen\/Entfernen\u201c hat keine Wirkung:<\/strong>\u00a0F\u00fchren Sie die PowerShell-Befehle\u00a0<strong>Remove-MpThreat<\/strong>\u00a0aus und \u00fcberpr\u00fcfen Sie anschlie\u00dfend den Schutzverlauf erneut. Die Benutzeroberfl\u00e4che ist m\u00f6glicherweise nicht mit dem Bedrohungsspeicher synchronisiert.<\/p>\n<p><strong>Objekt taucht nach der Wiederherstellung immer wieder auf:\u00a0<\/strong>F\u00fcgen Sie einen pr\u00e4zisen Ausschluss f\u00fcr die vertrauensw\u00fcrdige Datei oder den entsprechenden Pfad hinzu. Best\u00e4tigen Sie zudem, dass sich der Hash-Wert der ausf\u00fchrbaren Datei nicht ver\u00e4ndert hat, da ge\u00e4nderte Dateien ihren Ausschluss verlieren.<\/p>\n<p><strong>Verlauf ist un\u00fcbersichtlich oder verwirrend:\u00a0<\/strong>L\u00f6schen Sie in diesem Fall bei Bedarf alte Eintr\u00e4ge \u00fcber die unterst\u00fctzten Methoden, und f\u00fchren Sie anschlie\u00dfend einen erneuten Test durch, da ein \u00fcbersichtlicher Verlauf das Erkennen neuer Bedrohungen erleichtert.<\/p>\n<p><strong>Unsicherheit hinsichtlich der Unbedenklichkeit der Datei:\u00a0<\/strong> Nehmen Sie in diesem Fall keine Wiederherstellung vor. Befolgen Sie stattdessen Ihre IR-Checkliste, und scannen Sie das System mit aktualisierten Signaturen erneut. Im Zweifelsfall ist die Quarant\u00e4ne der sicherere Zustand gegen\u00fcber der Wiederherstellung.<\/p>\n<p><strong>Datei verbleibt in einer Schleife mit dem Status \u201eProblembehebung fehlgeschlagen\u201c:\u00a0<\/strong> Sofern eine Bedrohung den Status \u201eProblembehebung unvollst\u00e4ndig\u201c oder \u201eFehlgeschlagen\u201c anzeigt, wird die Datei m\u00f6glicherweise durch einen anderen Prozess blockiert, oder es steht noch ein Neustart des Systems aus. Starten Sie in diesem Fall den Endpunkt neu, f\u00fchren Sie einen Offline-Scan mittels Start-MpWDOScan durch, und pr\u00fcfen Sie anschlie\u00dfend, ob sich der Status behebt.<\/p>\n<p><strong>Schutzverlauf ist leer oder es fehlen Eintr\u00e4ge:\u00a0<\/strong>Sofern Ihnen bekannt ist, dass Objekte unter Quarant\u00e4ne gestellt wurden, die entsprechende Liste jedoch leer ist, k\u00f6nnte die Verlaufsdatei besch\u00e4digt sein. Setzen Sie in diesem Fall die App Windows-Sicherheit \u00fcber\u00a0<strong>Einstellungen\u00a0<\/strong>&gt;\u00a0<strong>Apps\u00a0<\/strong>&gt;<strong>\u00a0Installierte Apps<\/strong>\u00a0zur\u00fcck, oder leeren Sie manuell den Ordner f\u00fcr den Erkennungsverlauf (C:\\ProgramData\\Microsoft\\Windows Defender\\Scans\\History\\Service), um einen Neuaufbau zu erzwingen.<\/p>\n<h2>Zusammenfassung<\/h2>\n<p>Die Quarant\u00e4ne verschafft Ihnen die notwendige Zeit, um die richtige Entscheidung zu treffen. Verwenden Sie Windows-Sicherheit f\u00fcr schnelle Wiederherstellungen oder Entfernungen, eskalieren Sie bei Bedarf an PowerShell, f\u00fcgen Sie ausschlie\u00dflich minimale Ausschl\u00fcsse hinzu, und dokumentieren Sie Ihre Entscheidungen, damit k\u00fcnftige Analysten die jeweiligen Risikoabw\u00e4gungen nachvollziehen k\u00f6nnen. Dieser disziplinierte Ansatz gew\u00e4hrleistet die Sicherheit der Endpunkte und erm\u00f6glicht zugleich die einwandfreie Funktion legitimer Gesch\u00e4ftsanwendungen.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Die Quarant\u00e4ne isoliert potenzielle Bedrohungen in einer sicheren Umgebung und gibt Ihnen Zeit, diese zu untersuchen, ohne Ihr System zu gef\u00e4hrden. Wenn Sie feststellen, dass eine in Quarant\u00e4ne gestellte Datei unbedenklich und f\u00fcr Ihr Unternehmen unverzichtbar ist, k\u00f6nnen Sie diese wiederherstellen und auf die Whitelist setzen, um k\u00fcnftige Warnmeldungen zu vermeiden. Wenn die Datei sch\u00e4dlich [&hellip;]<\/p>\n","protected":false},"author":89,"featured_media":775274,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_relevanssi_hide_post":"","_relevanssi_hide_content":"","_relevanssi_pin_for_all":"","_relevanssi_pin_keywords":"","_relevanssi_unpin_keywords":"","_relevanssi_related_keywords":"","_relevanssi_related_include_ids":"","_relevanssi_related_exclude_ids":"","_relevanssi_related_no_append":"","_relevanssi_related_not_related":"","_relevanssi_related_posts":"","_relevanssi_noindex_reason":"","_lmt_disableupdate":"no","_lmt_disable":"","footnotes":""},"categories":[4356],"tags":[],"class_list":["post-851597","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-it-betrieb"],"acf":[],"modified_by":"Dragos Frangulea","_links":{"self":[{"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/posts\/851597","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/users\/89"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/comments?post=851597"}],"version-history":[{"count":4,"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/posts\/851597\/revisions"}],"predecessor-version":[{"id":851601,"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/posts\/851597\/revisions\/851601"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/media\/775274"}],"wp:attachment":[{"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/media?parent=851597"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/categories?post=851597"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/tags?post=851597"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}