So aktivieren oder deaktivieren Sie Device Guard unter Windows 10

Device Guard ist eine Kombination aus unternehmensrelevanten Hardware- und Software-Sicherheitsfunktionen, die bei gemeinsamer Konfiguration Geräte sperren, um nur vertrauenswürdige Anwendungen auszuführen, die Sie in Ihrer Code-Integritätsrichtlinie definieren. Wenn die Anwendung nicht vertrauenswürdig ist, kann sie nicht ausgeführt werden. Bei Hardware, die die Grundanforderungen erfüllt, bedeutet das, dass ein Angreifer, selbst wenn er die Kontrolle über den Windows-Kernel erlangt, keinen schädlichen ausführbaren Code ausführen kann. Mit der richtigen Hardware kann Device Guard die neue virtualisierungsbasierte Sicherheit in Windows 10 nutzen, um den Code Integrity-Dienst vom Microsoft Windows-Kernel zu isolieren. In diesem Fall läuft der Code Integrity-Dienst neben dem Kernel in einem durch Windows-Virtualisierung geschützten Container.

In dieser Anleitung erfahren Sie, wie Sie die virtualisierungsbasierte Sicherheit von Device Guard auf Windows 10 Enterprise- und Windows 10 Education-PCs aktivieren oder deaktivieren.

Sie müssen als Administrator angemeldet sein, um Device Guard zu aktivieren oder zu deaktivieren.

• So öffnen Sie die Windows-Sicherheit in Windows 10
• So aktivieren Sie den Manipulationsschutz für die Windows-Sicherheit unter Windows 10
• Erhöhen Sie die Sicherheit von Windows 10 mit Exploit Protection

So aktivieren oder deaktivieren Sie Device Guard

Schritt 1 . Öffnen Sie die Windows-Funktionen.

Wählen Sie in Windows 10 Enterprise/Education Version 1607 oder höher unter Hyper-V die Option Hyper-V-Hypervisor aus und klicken Sie auf OK .

Wählen Sie in Windows 10 Enterprise/Education-Versionen vor Version 1607 Hyper-V-Hypervisor unter Hyper-V aus, wählen Sie Isolierter Benutzermodus und klicken Sie auf OK .

Schritt 2 . Öffnen Sie den Editor für lokale Gruppenrichtlinien .

Schritt 3 . Navigieren Sie im linken Bereich des Editors für lokale Gruppenrichtlinien zum folgenden Schlüssel.

Computer Configuration\Administrative Templates\System\Device Guard

Schritt 4 . Doppelklicken Sie im rechten Bereich von Device Guard im Editor für lokale Gruppenrichtlinien auf die Richtlinie „Virtualisierungsbasierte Sicherheit aktivieren“ , um sie zu bearbeiten.

Schritt 5 . Befolgen Sie Schritt 6 (ein) oder Schritt 7 (aus).

Schritt 6 . Um Device Guard zu aktivieren

• Wählen Sie Aktiviert aus .
• Wählen Sie unter „Optionen“ im Dropdown-Menü „Plattformsicherheitsstufe auswählen“ die Option „Sicherer Start “ oder „Sicherer Start und DMA-Schutz“ aus.

Hinweis: Die Option „Sicherer Start“ (empfohlen) bietet einen sicheren Start mit mehreren Schutzmaßnahmen, die von der Hardware des jeweiligen Computers unterstützt werden. Ein Computer mit Input/Output Memory Management Units (IOMMUs) verfügt über einen sicheren Start mit DMA-Schutz. Auf einem Computer ohne IOMMUs ist nur der sichere Start aktiviert.

Secure Boot mit DMA ermöglicht Secure Boot und VBS nur auf Computern, die DMA unterstützen, d. h. Computer mit IOMMUs. Mit dieser Einstellung verfügt jeder Computer ohne IOMMU nicht über den VBS-Schutz (hardwarebasiert), obwohl er möglicherweise Codeintegritätsrichtlinien aktiviert.

• Wählen Sie unter „Optionen“ im Dropdown-Menü „Virtualisierungsbasierter Schutz der Codeintegrität“ die Option „ Aktiviert mit UEFI-Sperre“ oder „Aktiviert ohne Sperre“ aus.

Hinweis: Die Option „ Mit UEFI-Sperre aktiviert“ stellt sicher, dass der virtualisierungsbasierte Schutz der Codeintegrität nicht remote deaktiviert wird. Um diese Funktion zu deaktivieren, müssen Sie die Gruppenrichtlinie auf „Deaktiviert“ setzen und die Sicherheitsfunktion für jeden Computer mit dem aktuellen Benutzer entfernen, um die Konfiguration auf UEFI zu löschen.

Die Option „Aktiviert ohne Sperre“ ermöglicht die Remote-Deaktivierung des virtualisierungsbasierten Schutzes der Codeintegrität mithilfe von Gruppenrichtlinien.

• Wenn Sie möchten, können Sie Credential Guard auch aktivieren , indem Sie im Dropdown-Menü „Credential Guard-Konfiguration“ die Option „Aktiviert mit UEFI-Sperre“ oder „Aktiviert ohne Sperre“ auswählen.

Hinweis: Die Option „ Mit UEFI-Sperre aktiviert“ stellt sicher, dass Credential Guard nicht remote deaktiviert wird. Um diese Funktion zu deaktivieren, müssen Sie die Gruppenrichtlinie auf „Deaktiviert“ setzen und die Sicherheitsfunktion auf jedem Computer für den aktuellen Benutzer entfernen, um die Konfiguration in UEFI zu löschen.

Die Option „Ohne Sperre aktiviert“ ermöglicht die Remote-Deaktivierung von Credential Guard mithilfe von Gruppenrichtlinien. Auf Geräten, die diese Einstellung verwenden, muss Windows 10 (Version 1511) oder höher ausgeführt werden.

• Gehen Sie zu Schritt 8.

Schritt 7 . Um Device Guard zu deaktivieren

Wählen Sie „Nicht konfiguriert“ oder „Deaktiviert“ , klicken Sie auf „OK“ und fahren Sie mit Schritt 8 fort.

Hinweis : „Nicht konfiguriert“ ist die Standardeinstellung.

Schritt 8 . Schließen Sie den Editor für lokale Gruppenrichtlinien.

Schritt 9 . Starten Sie den Computer neu, um die Änderungen zu übernehmen.

Ich wünsche Ihnen viel Erfolg!