Die Windows-Speicherintegrität ist mittlerweile eine der Sicherheitsoptionen in der Windows-Sicherheits- App . Sie klingt wichtig, doch gleichzeitig hat man gehört, dass sie die Bildrate in Spielen beeinträchtigen kann. Es ist nicht ungewöhnlich, hin- und hergerissen zu sein zwischen dem Wunsch, die Leistung des PCs voll auszuschöpfen, und dem gleichzeitigen Schutz vor Malware und Sicherheitslücken.
Bevor Sie sich entscheiden, ob Sie es aktivieren oder deaktivieren, ist es wichtig zu verstehen, was es genau bewirkt, welchen Schutz Ihr System dadurch erhält, wie viel Leistung Sie möglicherweise einbüßen und wie Sie mit all diesen Einstellungen (VBS, Hypervisor, Treiber usw.) umgehen, ohne etwas durcheinanderzubringen und am Ende einen instabilen oder weniger sicheren PC zu erhalten.
Was ist Speicherintegrität in Windows und wie funktioniert sie?
Die sogenannte „Speicherintegrität“ von Windows ist in Wirklichkeit die benutzerfreundliche Oberfläche für eine umfassendere Sicherheitstechnologie: die virtualisierungsbasierte Sicherheit (VBS). Beide arbeiten zusammen und sind darauf ausgelegt, den sensibelsten Teil des Systems, den Kernel, vor hochentwickelten Angriffen zu schützen.
Windows nutzt den systemeigenen Hypervisor, um eine isolierte virtuelle Umgebung als Vertrauensanker zu erstellen. Diese Umgebung geht davon aus, dass im schlimmsten Fall der Kernel kompromittiert werden könnte. Daher werden bestimmte kritische Sicherheitsprüfungen in einen geschützten Bereich ausgelagert, der vom „normalen“ Windows getrennt ist.
Innerhalb dieser geschützten Umgebung wird die Integrität des Kernel-Codes sichergestellt . Im Wesentlichen wird überprüft, ob die Treiber und der zur Ausführung im Kernel vorgesehene Code signiert, vertrauenswürdig und unverändert sind. Wird ein Verstoß gegen diese Regeln festgestellt, wird der entsprechende Code nicht ausgeführt.
Die Speicherintegrität fügt somit eine weitere Ebene hinzu: Sie kontrolliert und beschränkt die Zuweisung und Nutzung des Kernelspeichers . Kernelspeicherseiten werden erst nach bestandener Integritätsprüfung als ausführbar markiert. Sobald sie ausführbar sind, können sie nicht mehr beschrieben werden. Dies erschwert Angriffe, die Code einschleusen oder kritische Speicherstrukturen verändern wollen, erheblich.
Diese Funktion schützt unter anderem die Modifikation der Control Flow Guard (CFG)-Bitmap im Kernelmodus und stärkt den Codeintegritätsprozess, der überprüft, ob privilegierte Prozesse über gültige und vertrauenswürdige Zertifikate verfügen.
Hardwarevoraussetzungen und Zeitpunkt der automatischen Aktivierung
Microsoft kann diesen Schutz nicht einfach auf jedem älteren PC aktivieren, da er auf modernen CPU-, Firmware- und Speicherfunktionen basiert. Daher wird die Speicherintegrität nur dann automatisch aktiviert, wenn der Computer bestimmte Mindestanforderungen erfüllt.
Bei Neuinstallationen von Windows 11 und einigen Windows 10-Systemen (z. B. S-Modus-Editionen) auf kompatibler Hardware ist die Speicherintegrität standardmäßig aktiviert . Auch auf Systemen mit geschütztem Kernel ist sie standardmäßig aktiviert. Auf anderen Systemen kann der Benutzer oder Administrator entscheiden, ob er sie aktiviert.
Im Allgemeinen sollte das System über einen modernen Prozessor mit fortschrittlicher Virtualisierungs- und Schutzfunktionsunterstützung verfügen . Beispiele hierfür sind Intel-Prozessoren der 8. Generation oder höher, AMD-Prozessoren mit Zen-2-Architektur oder höher sowie aktuelle Qualcomm Snapdragon SoCs. Darüber hinaus benötigen x64-Systeme mindestens 8 GB RAM, um Systemabstürze beim Einrichten der virtualisierten Umgebung zu vermeiden.
Zudem ist erforderlich, dass die Systemfestplatte eine SSD mit mindestens 64 GB ist , die Virtualisierung im BIOS/UEFI aktiviert ist und die installierten Treiber mit HVCI (Hypervisor-Enforced Code Integrity) kompatibel sind. Werden diese Voraussetzungen nicht erfüllt, erfolgt keine automatische Aktivierung, und VBS oder die Speicherintegrität bleiben möglicherweise deaktiviert.
OEMs und Administratoren, die Images erstellen, können die Speicherintegrität standardmäßig aktivieren, indem sie bestimmte Registrierungsschlüssel konfigurieren, darunter Werte wie Enabled , WasEnabledBy und die Boot-Kennung (BootId), die Windows verwendet, um die Funktion rückgängig zu machen, wenn es kritische Boot-Abstürze erkennt, die dadurch verursacht wurden.
Wie kann die Speicherintegrität (VBS und HVCI) vom System aus aktiviert werden?
Neben den in den Windows-Sicherheitseinstellungen sichtbaren Optionen werden Speicherintegrität und VBS über Registrierungsschlüssel und Richtlinien gesteuert , die eine detaillierte Verhaltensanpassung ermöglichen. Dies ist insbesondere in Unternehmen und Organisationen von Vorteil.
In der Windows-Registrierung wird die virtualisierungsbasierte Sicherheit über den Pfad HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard gesteuert . Dieser Pfad definiert, ob VBS aktiviert ist, welches Sicherheitsniveau der Plattform erforderlich ist (nur Secure Boot, Secure Boot + DMA-Schutz usw.), ob die Konfiguration vor UEFI geschützt ist und ob die Speicherintegrität (HVCI) aktiviert ist.
Um beispielsweise VBS und Speicherintegrität mit einer typischen Konfiguration zu aktivieren, werden Einträge wie EnableVirtualizationBasedSecurity=1 und RequirePlatformSecurityFeatures mit Werten verwendet, die angeben, welche Art von Firmware-Sicherheit erforderlich ist (z. B. 1 nur für Secure Boot oder 3 für Secure Boot + DMA-Schutz).
Die Speicherintegrität selbst wird über den Unterschlüssel DeviceGuard\Scenarios\HypervisorEnforcedCodeIntegrity verwaltet . Die Einstellung Enabled=1 aktiviert die Funktion. Ob der Status auf Firmware-Ebene gesperrt wird, lässt sich über den Schlüssel Locked mit verschiedenen Werten steuern, je nachdem, ob eine UEFI-Sperre gewünscht ist.
Für Umgebungen, in denen maximale Sicherheit erforderlich ist, kann die Richtlinie als obligatorisch festgelegt werden. In diesem Modus wird der Systemstart abgebrochen, wenn der Hypervisor, der sichere Kernel oder eines seiner Schlüsselmodule beim Systemstart nicht geladen werden . Dies ist ein sehr effektiver Schutz, der die Sicherheit erhöht. Allerdings kann dies die Wiederherstellung erschweren, falls Kompatibilitätsprobleme auftreten.
Steuerung über App Control für Unternehmen und PowerShell
In Unternehmensnetzwerken lässt sich die Speicherintegrität am einfachsten über App Control for Business (ehemals WDAC) verwalten . Damit können Sie HVCI zusammen mit Anwendungssteuerungsregeln aus zentralisierten Richtlinien aktivieren.
Der Anwendungssteuerungsassistent ermöglicht das Erstellen oder Bearbeiten von Richtlinien und die Auswahl der Option „Hypervisor-geschützte Codeintegrität“ im Regelbereich. Dadurch wird nach der Bereitstellung der Richtlinie die Speicherintegrität gemäß den definierten Parametern auf den Computern sichergestellt.
Eine weitere Möglichkeit ist die Verwendung von PowerShell. Mit Cmdlets wie Set-HVCIOptions lassen sich HVCI-Optionen auf mehreren Geräten automatisch ändern. Dies ist besonders nützlich in Bereitstellungsskripten oder bei der Erstkonfiguration von Geräten.
Wenn Sie direkt mit App Control XML-Dateien arbeiten, können Sie auch den Wert des Elements <HVCIOptions> innerhalb der Richtlinie anpassen und so das Verhalten der durch den Hypervisor geschützten Codeintegrität feinabstimmen, ohne die Registrierung auf jedem einzelnen Rechner bearbeiten zu müssen.
Um zu verhindern, dass Endbenutzer die Speicherintegrität über die Windows-Sicherheitsoberfläche aktivieren oder deaktivieren, können Administratoren den Schlüssel „WasEnabledBy “ bearbeiten . Durch Ändern oder Löschen dieses Wertes wird die Benutzeroberfläche abgedunkelt und eine Meldung wie „Diese Einstellung wird von Ihrem Administrator verwaltet“ angezeigt.
Wie man überprüft, ob VBS und Speicherintegrität tatsächlich aktiv sind
Sich auf einen einfachen Schalter zu verlassen, reicht nicht aus, insbesondere in sicherheitskritischen Umgebungen. Windows bietet verschiedene Möglichkeiten, den tatsächlichen Zustand von VBS und die Speicherintegrität mithilfe von WMI, grafischen Tools und Protokollen zu überprüfen.
Eine der umfassendsten ist die WMI-Klasse. Win32_DeviceGuardZugriff über PowerShell mit erhöhten Rechten mittels des Befehls Get-CimInstance -ClassName Win32_DeviceGuard -Namespace root\Microsoft\Windows\DeviceGuardDie Ausgabe zeigt detailliert an, welche hardwarebasierten Schutzmechanismen verfügbar sind und welche davon aktuell aktiviert sind.
Die Ergebnisse umfassen Felder wie „VerfügbareSicherheitseigenschaften“. Diese geben an, ob das Gerät Hypervisor-Unterstützung, Secure Boot, DMA-Schutz, NX-Schutzmechanismen, SMM-Abwehrmechanismen, MBEC/GMET oder APIC-Virtualisierung bietet. Jede dieser Funktionen wird durch einen spezifischen numerischen Wert dargestellt.
Weitere wichtige Bereiche sind:
- Erforderliche SicherheitseigenschaftenFür die Aktivierung von VBS sind Sicherheitsfunktionen erforderlich.
- Sicherheitsdienste konfiguriert. Um zu überprüfen, ob Credential Guard, Speicherintegrität, Secure Boot Protection, Firmware-Messung, Hardware-Applied Stack Protection usw. konfiguriert sind.
- Sicherheitsdienste werden ausgeführtGleiches gilt wie oben, jedoch für aktuell laufende Dienste.
Es ist außerdem wichtig, den Wert von VirtualizationBasedSecurityStatus zu überprüfen . Dieser Wert gibt an, ob VBS deaktiviert, aktiviert, aber nicht gestartet oder aktiviert und aktiv ist. Der Status der direkten Speicherintegrität lässt sich im flüchtigen Registrierungsschlüssel HKLM\System\CurrentControlSet\Control\CI\State\HVCIEnabled sowie in den Informationen von MsInfo32 (im Abschnitt „Ausgeführte virtualisierungsbasierte Sicherheitsdienste“) finden.
SkTool und andere fortgeschrittene Ressourcen zur Diagnose von VBS
Für komplexere Szenarien, wie etwa Hypervisor-Probleme, Sicherheitsschlüssel oder Fehler beim Starten von VBS, stellt Microsoft im Windows SDK ein Hilfsprogramm namens SkTool zur Verfügung , das den Diagnoseprozess erheblich vereinfacht.
SkTool befindet sich im Bin- Ordner des SDKs , etwa unter dem Pfad „C:\Program Files (x86)\Windows Kits\10\bin\10.0.xxx\<Arch>“, wobei <Arch> beispielsweise x64, arm64 usw. sein kann. Bei Ausführung ohne Parameter zeigt es den aktuellen Status des Hypervisors und des VBS an und gibt klar an, warum der Start fehlgeschlagen ist.
Es unterstützt verschiedene Befehlszeilenoptionen, darunter /status (allgemeine Hypervisor- und sichere Kernel-Informationen), /lkey (Status des VSM-Hauptschlüssels) und /mitigations (aktive Schutzmaßnahmen). Der Parameter „Hauptschlüssel“ ist besonders hilfreich bei der Fehlerbehebung von Windows Hello oder anderen starken Sicherheitsfunktionen, wenn das System die PIN-Eingabe oder die Gesichtserkennung nicht akzeptiert.
Wenn beispielsweise Secure Boot deaktiviert ist oder sich der vom TPM gemessene Zustand ändert, kann SkTool anzeigen, dass der VSM-Masterschlüssel nicht entsperrt werden kann , den spezifischen Fehlercode angeben und erklären, dass ein neuer Schlüssel generiert und in einer UEFI-Variablen gespeichert wurde.
Zusätzlich zu SkTool können Sie, um zu überprüfen, was mit der automatischen Aktivierung der Speicherintegrität während der Installation passiert ist, die Datei setupact.log konsultieren , nach der Zeichenfolge HVCI suchen und prüfen, ob sie korrekt aktiviert wurde oder ob das System beschlossen hat, sie nicht zu aktivieren, weil es eine Anforderung nicht erfüllte, wobei Codes wie VBS_COMPAT_ISSUES mit den Details der erkannten Inkompatibilitäten (nicht unterstützte Architektur, fehlendes SLAT, fehlende UEFI-Speicherattributtabelle, zu kleine Festplatte, keine SSD usw.) angezeigt werden.
Auswirkungen auf Leistung und Spiele: Lohnt es sich, diese Funktion zu deaktivieren?
Eine der größten Sorgen vieler Nutzer ist das Gleichgewicht zwischen Sicherheit und Leistung, insbesondere beim Spielen. Es gibt Hinweise und Empfehlungen, auch von Microsoft selbst, die darauf hindeuten, dass Speicherintegrität und andere VBS-Funktionen die FPS um einige Prozentpunkte reduzieren können , im Durchschnitt um etwa 5 %, abhängig vom Spiel und der Hardware.
Bei einigen Windows 11-Updates wurden Fälle beobachtet, in denen in Kombination mit anderen Funktionen wie der Virtual Machine Platform (die beispielsweise zum Ausführen von Android-Apps verwendet wird) die Auswirkungen auf bestimmte Titel deutlicher zu spüren waren, insbesondere auf Computern mit begrenzten Ressourcen oder mit GPUs, bei denen jeder zusätzliche Overhead spürbar ist.
Microsoft empfiehlt in Dokumentationen und Mitteilungen zu Problemen mit der Spieleleistung anspruchsvollen Nutzern, VBS und Speicherintegrität vor dem Spielen vorübergehend zu deaktivieren und anschließend wieder zu aktivieren. Praktisch problematisch ist, dass diese Änderungen in der Regel einen Neustart des Computers erfordern, was die tägliche Durchführung etwas umständlich macht.
Aus Sicherheitsgründen ist zu beachten, dass diese Funktion Angriffe auf den Kernel erschwert und Treiber oder Module mit fragwürdigen oder anfälligen Signaturen blockiert . Wenn Sie ausschließlich Windows Defender verwenden, Programme aus nicht immer vertrauenswürdigen Quellen herunterladen und generell keine unnötigen Risiken eingehen möchten, erhöht die dauerhafte Deaktivierung der Speicherintegrität Ihr Risiko für bestimmte Arten hochentwickelter Malware.
Die praktische Entscheidung hängt meist von der Risikobewertung ab: Wird der Computer beruflich genutzt, werden sensible Daten verarbeitet oder installiert man tendenziell weniger ungewöhnliche Programme, empfiehlt es sich, die Speicherintegrität aktiviert zu lassen . Wird der PC hingegen ausschließlich zum Spielen verwendet, um die maximale Bildrate (FPS) zu erreichen, kann man die Speicherintegrität während des Spielens deaktivieren, sollte sich aber bewusst sein, dass man damit ein höheres Risiko eingeht, insbesondere beim Herunterladen von ausführbaren Dateien aus nicht vertrauenswürdigen Quellen.
Schritt-für-Schritt-Lösungen, wenn die Speicherintegrität nicht aktiviert werden kann
Wenn das System darauf besteht, dass es die Speicherintegrität nicht gewährleisten kann, können verschiedene Lösungsansätze verfolgt werden, von den am wenigsten bis zu den „aggressivsten“, bis die Betriebsfunktion wiederhergestellt ist, ohne die Stabilität des Systems zu beeinträchtigen.
Der erste Schritt besteht üblicherweise darin, unter Einstellungen > Windows Update nach verfügbaren Updates zu suchen und diese zu installieren . Oftmals behebt ein einfacher aktualisierter Treiber oder ein Kompatibilitätspatch das Problem, ohne dass weitere Maßnahmen erforderlich sind.
Gehen Sie anschließend zu Windows-Sicherheit > Gerätesicherheit > Kernel-Isolation und klicken Sie dort, wo die Fehlermeldung erscheint, auf „Nach inkompatiblen Treibern suchen“. Falls ein bestimmter Treiber aufgeführt ist, empfiehlt es sich, diesen über den Geräte-Manager zu aktualisieren, indem Sie nach Treibern des Herstellers suchen oder die neueste Version direkt von der Website des Herstellers herunterladen.
Wenn die Liste nicht eindeutig zeigt, welche Datei das Problem verursacht, können Sie die Eingabeaufforderung mit Administratorrechten verwenden. Dort können Sie Befehle wie beispielsweise folgende ausführen: dism /online /get-drivers /format:table Alle installierten Treiber werden aufgelistet. Anschließend wird der „Veröffentlichte Name“ des verdächtigen Treibers ermittelt und für weitere Vorgänge notiert.
In extremen Fällen, wenn ein Update nicht möglich ist, kann der Treiber mithilfe von Tools wie pnputil zwangsweise deinstalliert werden . Dabei wird das Treiberpaket vom System entfernt und anschließend eine kompatible oder alternative Version installiert. Es wird dringend empfohlen, vor einem solchen Vorgang ein Backup zu erstellen.
Weitere Reparaturmaßnahmen, wenn alle anderen Maßnahmen fehlschlagen
Nicht alle Speicherintegritätsprobleme sind auf Treiber zurückzuführen. Manchmal liegt die Ursache in beschädigten Systemdateien, Schadsoftware oder einem Windows-System, das durch jahrelange Nutzung, Hardware-Upgrades oder Registry-Fehler stark geschädigt ist.
Ein relativ sicherer Schritt ist die Verwendung von Systemdatei-Checker (SFC) Und wenn Sie ein Hardwareproblem vermuten, führen Sie Folgendes aus: Memtest64Öffnen Sie die Eingabeaufforderung als Administrator und führen Sie folgenden Befehl aus: sfc /scannowWindows scannt wichtige Systemdateien und ersetzt beschädigte oder fehlende Dateien. Nach dem Scan wird ein Neustart empfohlen. Versuchen Sie anschließend erneut, die Speicherintegrität in den Windows-Sicherheitseinstellungen zu aktivieren.
Es empfiehlt sich außerdem, einen vollständigen Malware-Scan mit der Windows-Sicherheit (Viren- und Bedrohungsschutz > Scanoptionen > Vollständiger Scan) oder einer zuverlässigen Drittanbieterlösung durchzuführen. Manche Infektionen manipulieren Prozesse und Dienste im Arbeitsspeicher und können die Aktivierung dieser Funktion beeinträchtigen.
Wenn das System weiterhin Probleme bereitet, bleibt nur der abgesicherte Modus . Beim Neustart im abgesicherten Modus werden nur die minimal erforderlichen Treiber geladen. Dort können Sie die Speicherintegrität aktivieren und die Ereignisprotokolle überprüfen. Auch die Bereinigung problematischer Software ist mit weniger Eingriffen möglich.
In sehr schwerwiegenden Fällen, in denen der Computer instabil geworden ist oder nach dem Erzwingen von VBS oder HVCI nicht mehr ordnungsgemäß startet, können Sie die Windows-Wiederherstellungsumgebung (Windows RE) verwenden . Dort können Sie zugehörige Gruppenrichtlinien deaktivieren, Registrierungsschlüssel ändern, um „Enabled=0“ in den Speicherintegritätseinstellungen festzulegen, und das System in einen einfacheren Zustand zurücksetzen, der einen normalen Start ermöglicht.
Speicherintegrität in Hyper-V-VMs
Die Integrität des Arbeitsspeichers beschränkt sich nicht auf physische Maschinen. Auch Hyper-V-basierte virtuelle Maschinen lassen sich auf ähnliche Weise schützen wie herkömmliche PCs, sofern bestimmte Voraussetzungen erfüllt sind.
Der Hyper-V- Host muss mindestens unter Windows Server 2016 oder Windows 10 Version 1607 laufen. Die virtuelle Maschine muss zudem eine virtuelle Maschine der zweiten Generation mit einem aktuellen Gastbetriebssystem (Windows 10, Windows 11 oder Windows Server 2016 oder höher) sein. Die Schritte zum Aktivieren von VBS und Speicherintegrität in der virtuellen Maschine sind nahezu identisch mit denen auf einem physischen Rechner.
Der Schutz, den es bietet, konzentriert sich darauf, zu verhindern, dass Schadsoftware innerhalb der VM deren Kernel kompromittiert. Er stärkt jedoch nicht die Sicherheit des Hostsystems. Ein Hostadministrator hat weiterhin die Möglichkeit, beispielsweise VM-Speicherintegrität deaktivieren mit Befehlen wie Set-VMSecurity -VMName <VMName> -VirtualizationBasedSecurityOptOut $true.
Es gibt einige Einschränkungen. Elemente wie virtuelle Fibre-Channel-Adapter sind nicht mit der Speicherintegrität kompatibel. Wenn Sie diese verwenden möchten, müssen Sie die VM über die Sicherheitseinstellungen der virtuellen Maschine von VBS ausschließen. Dasselbe gilt für Optionen wie AllowFullSCSICommandSet auf Passthrough-Festplatten, die nicht mit HVCI kompatibel sind.
Unter Windows mit verschachtelter Virtualisierung kann die Hyper-V-Rolle innerhalb einer VM mit aktivierter Speicherintegrität ausgeführt werden. Allerdings muss eine bestimmte Konfigurationsreihenfolge eingehalten und sichergestellt werden, dass sowohl die Host- als auch die Gast-VM die Anforderungen erfüllen.
Wann sollte es aktiv bleiben und wann sollte es deaktiviert werden?
Die entscheidende Frage, insbesondere wenn Ihnen die Bildrate in Spielen wichtig ist, lautet: Lohnt es sich, diese Funktion dauerhaft aktiviert zu lassen? Auf den meisten modernen Computern und im allgemeinen Gebrauch ist der Leistungsverlust im Vergleich zur erhöhten Sicherheit gegen Kernel-Exploits und schädliche Treiber vertretbar.
Wenn Sie keine Antivirensoftware von Drittanbietern verwenden, sich auf Windows Defender verlassen und häufig Programme von unregulierten Websites herunterladen, bietet die Speicherintegrität eine wichtige zusätzliche Schutzebene. Sie verringert die Angriffsfläche und zwingt Gerätetreiber zu strengeren Prüfungen.
Wenn Ihre oberste Priorität hingegen die Leistung beim kompetitiven Gaming ist und jedes einzelne Bild zählt, können Sie einen Mittelweg in Betracht ziehen: Deaktivieren Sie VBS und Speicherintegrität, wenn Sie ausschließlich spielen, und aktivieren Sie sie wieder für alltägliche Aufgaben wie Surfen, Büroarbeit usw. Beachten Sie jedoch, dass diese Änderungen einen Neustart erfordern. Es ist nicht so komfortabel wie ein einfacher Knopfdruck.
Für fortgeschrittene Benutzer und Administratoren ist ein umfassendes Verständnis der Umgebung entscheidend. Von Arbeitsstationen mit sensiblen Daten bis hin zu administrativen Arbeitsstationen profitieren in der Regel alle davon, die Speicherintegrität als Teil einer umfassenden Sicherheitsstrategie zu aktivieren, unterstützt durch Datensicherungen und strenge Update-Richtlinien.
Letztendlich ermöglicht das Verständnis der Funktionsweise von VBS, seiner Interaktion mit Treibern, Firmware und Leistung sowie der Diagnose seiner Fehler fundiertere Entscheidungen: die Aufrechterhaltung der Windows-Speicherintegrität als mächtiger Verbündeter gegen ausgeklügelte Angriffe oder die Deaktivierung zu ganz bestimmten Zeitpunkten, wobei man genau weiß, was in jedem Fall gewonnen und verloren wird.
