Gecontroleerde mappentoegang in- of uitschakelen in Windows 11

Gecontroleerde mappentoegang (CFA) is een beveiligingsfunctie in Microsoft Defender Antivirus die voorkomt dat ongeautoriseerde applicaties bestanden in beveiligde mappen wijzigen. Zodra u de functie inschakelt, blokkeert CFA onbetrouwbare of onbekende apps die wijzigingen willen aanbrengen in gebruikersmappen. Zo beschermt u uw gegevens tegen manipulatie en exfiltratie en verbetert u de netwerkbeveiliging.

Voor IT-beheerders en power users kan het beheren van gecontroleerde mappentoegang in Defender het beveiligingskader van een beheerde omgeving versterken. Deze gids beschrijft hoe u gecontroleerde mappentoegang in Windows 11 in- of uitschakelt via verschillende methoden, waaronder Windows-beveiliging, PowerShell, Groepsbeleid en de Register-editor.

Liever een visuele versie van deze gids? Bekijk dan Gecontroleerde mappentoegang in- of uitschakelen in Windows 11

Gecontroleerde mappentoegang beheren in Defender

Voordat u gecontroleerde mappentoegang in Microsoft Defender kunt in- of uitschakelen, moet u aan de volgende voorwaarden voldoen:

• Microsoft Defender moet actief zijn. Gebruikt u een antivirusprogramma van een derde partij? Schakel dat dan eerst uit en activeer daarna Microsoft Defender. Let op: de CFA-instellingen verschijnen niet als een andere antivirusoplossing Defender heeft vervangen.
• Realtimebeveiliging moet ingeschakeld zijn. Realtimebeveiliging moet aanstaan om onbetrouwbare activiteit te kunnen controleren en blokkeren.
• U hebt beheerdersrechten nodig. U moet beheerder zijn om gecontroleerde mappentoegang via PowerShell, het register en Groepsbeleid in of uit te schakelen.
  
• Let op uw Windows 11-editie. De opties voor Groepsbeleid en PowerShell vereisen Windows 11 Pro, Enterprise of Education.

Methode 1: gecontroleerde mappentoegang in- of uitschakelen via Windows-beveiliging (GUI)

Dit is de eenvoudigste manier om CFA te beheren, al is deze methode vooral geschikt voor losse devices en niet voor configuraties op grote schaal.

⚠️ Voor deze methode moet Microsoft Defender volledig ingeschakeld zijn en mag er geen cybersecurityplatform van een derde partij actief zijn. Anders verschijnen sommige onderstaande menu’s niet.

1. Druk op Win + I om Instellingen te openen en ga vervolgens naar Privacy en beveiliging > Windows-beveiliging > Virus- en bedreigingsbeveiliging. Hiermee opent Windows-beveiliging in een apart venster.
2. Scrol vervolgens omlaag en klik op Ransomware-beveiliging beheren. Deze optie staat onder het gedeelte Ransomware-beveiliging.
3. Hier kunt u gecontroleerde mappentoegang aan- of uitzetten.
   • Zet de schakelaar op Aan om CFA in te schakelen. Onbetrouwbare of onbekende apps krijgen dan geen toegang meer tot bestanden in beveiligde mappen.
   • Zet de schakelaar op Uit om CFA uit te schakelen. Alle applicaties kunnen dan zonder beperking bij beveiligde mappen.
4. Optioneel: wilt u extra locaties beveiligen of standaardmappen uitsluiten? Dan voegt u beveiligde mappen toe of verwijdert u ze via Beveiligde mappen. Standaard vallen mappen als Documenten, Afbeeldingen en Bureaublad hieronder.
5. Wordt een vertrouwde app geblokkeerd bij het wijzigen van een beveiligde map? Dan kunt u die handmatig toestaan. Klik daarvoor op Een app toestaan via gecontroleerde mappentoegang om de app aan de lijst met toegestane apps toe te voegen.
   

Methode 2: gecontroleerde mappentoegang configureren via Groepsbeleid (voor zakelijke of beheerde omgevingen)

Deze methode is ideaal voor zakelijke en beheerde omgevingen. Beheerders en IT-managers kunnen gecontroleerde mappentoegang in Windows Defender zo op een groot aantal machines afdwingen of testen.

1. Open de Editor voor lokaal groepsbeleid. Gebruik de sneltoets Win + R, typ gpedit.msc en druk op Enter.
   
2. Ga vervolgens naar dit CFA-beleidspad:
   Computerconfiguratie > Beheersjablonen > Windows-onderdelen > Microsoft Defender Antivirus > Microsoft Defender Exploit Guard > Gecontroleerde mappentoegang.
3. Pas daarna het CFA-beleid aan. Dubbelklik op Gecontroleerde mappentoegang configureren en zet het beleid op Ingeschakeld.
   
4. Daarna kiest u een van de handhavingsmodi:
   • Gecontroleerde mappentoegang inschakelen – hiermee blokkeert u ongeautoriseerde wijzigingen in beveiligde mappen.
   • Gecontroleerde mappentoegang uitschakelen – hiermee zet u CFA volledig uit.
   • Controlemodus – hiermee legt u CFA-gebeurtenissen vast in Logboeken zonder apps te blokkeren. Ideaal om te testen.
5. Klik op Toepassen, open de opdrachtprompt en gebruik deze opdracht om de wijzigingen direct door te voeren: gpupdate /force.

Methode 3: gecontroleerde mappentoegang in- of uitschakelen met Windows PowerShell

Met PowerShell kunt u gecontroleerde mappentoegang inschakelen, uitschakelen of in controlemodus zetten. Dit werkt het beste in scripts, remote management en geautomatiseerde implementaties.

Open eerst PowerShell als beheerder en gebruik daarna de volgende opdrachten om CFA te beheren:

1. Voer de volgende opdracht uit om de CFA-status te controleren:
   Get-MpPreference | Select ControlledFolderAccessEnabled.
   De uitkomst laat zien of de functie aanstaat, uitgeschakeld is of in controlemodus staat.
   • 0 = Uitgeschakeld
   • 1 = Ingeschakeld
   • 2 = Controlemodus
2. Gebruik deze opdracht om gecontroleerde mappentoegang in te schakelen:
   Set-MpPreference -EnableControlledFolderAccess 1
   
3. Gebruik deze opdracht om gecontroleerde mappentoegang uit te schakelen:
   Set-MpPreference -EnableControlledFolderAccess 0
   
4. Wilt u CFA in controlemodus zetten? Gebruik dan dit:
   Set-MpPreference -EnableControlledFolderAccess 2
   

Methode 4: gecontroleerde mappentoegang configureren via de Register-editor

Met de Register-editor van Windows kunnen IT-beheerders gecontroleerde mappentoegang (CFA) rechtstreeks aanpassen wanneer zij instellingen uitrollen via aangepaste Intune-beleidsregels.

1. Open om te beginnen de Register-editor. Gebruik de sneltoets Win + R, typ regedit en druk op Enter.
2. Ga vervolgens naar het CFA-registerpad:
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Defender\Windows Defender Exploit Guard\controlled folder access
   
3. Maak de CFA-instelling aan of pas een bestaande aan.
   1. Klik voor een nieuwe instelling met de rechtermuisknop in het rechterdeelvenster en kies Nieuw > DWORD-waarde (32-bits).
   2. Noem die vervolgens EnableControlledFolderAccess.
   3. Stel de waarde in op basis van de gewenste configuratie:
      • 0 = Uitgeschakeld
      • 1 = Ingeschakeld
      • 2 = Controlemodus
4. Start uw computer opnieuw op om de wijzigingen door te voeren. U kunt ook de opdrachtprompt (als beheerder) gebruiken en deze opdracht uitvoeren: sc stop WinDefend && sc start WinDefend. Hiermee start u Microsoft Defender Antivirus opnieuw en past u de registerwijziging toe.

Waar u op moet letten bij het beheren van gecontroleerde mappentoegang

Bij het aanpassen van gecontroleerde mappentoegang is het belangrijk om bescherming te combineren met voldoende toegang en functionaliteit.

Houd rekening met het volgende:

1. Als CFA aanstaat, kan het legitieme apps blokkeren die naar beveiligde mappen willen schrijven. Dat kan uw workflow verstoren.
   Voorkom dit door stap 5 uit methode 1 uit te voeren of gebruik deze opdracht in PowerShell:
   • Add-MpPreference -ControlledFolderAccessAllowedApplications "C:\Path\To\App.exe"
   • Vervang het pad door de exacte locatie van het uitvoerbare bestand. Door de opdracht meerdere keren uit te voeren, voegt u eenvoudig meerdere apps toe.
2. CFA legt alle geblokkeerde acties vast in Logboeken, waardoor u problemen makkelijker oplost of uw lijst met toegestane apps verfijnt.
   Volg dit pad om de logboeken te bekijken:
   • Logboeken > Logboeken van toepassingen en services > Microsoft > Windows > Windows Defender > Operational.
3. Standaard beschermt CFA belangrijke mappen als Documenten, Afbeeldingen, Video’s, Muziek, Bureaublad en Favorieten. U voegt beveiligde mappen toe via de GUI (volg methode 1, stap 4) of met de opdracht in PowerShell – vervang daarbij “Your Custom Folder” door het pad van de map:
   • Add-MpPreference -ControlledFolderAccessProtectedFolders "C:\Your\Custom\Folder"
     
4. Gebruik vóór de uitrol van CFA altijd eerst de controlemodus om valse positieven op te sporen voordat u beleid wijzigt – test alles eerst.

Gecontroleerde mappentoegang beheren: bestanden beschermen zonder uw workflow te verstoren

Gecontroleerde mappentoegang is een krachtige laag ransomwarebescherming die in Microsoft Defender Antivirus is ingebouwd. Of u nu één persoonlijk device beveiligt of honderden endpoints beheert: Windows 11 biedt meerdere manieren om CFA in te schakelen, uit te schakelen of te controleren, afgestemd op de behoeften van uw omgeving.

Gebruik Windows-beveiliging voor een eenvoudige configuratie op gebruikersniveau. Voor centraal beheer en automatisering gebruikt u Groepsbeleid of PowerShell. Begin altijd met de controlemodus om compatibiliteitsproblemen op te sporen en op te lossen voordat u het beleid afdwingt en bekijk de gebeurtenislogboeken regelmatig om uw lijsten met toegestane apps overzichtelijk en effectief te houden. Met de juiste inrichting beschermt CFA kritieke gegevens zonder essentiële workflows te verstoren.