Microsoft entfernt Virenschutz aus dem Windows-Kernel – Warum das wichtig ist

• Microsoft verlagert Antiviren- und Endpunkterkennungstools aus dem Windows-Kernel, um die Systemstabilität zu verbessern und das Absturzrisiko zu minimieren.
• Durch diese Umstellung wird die Sicherheitssoftware im Benutzermodus isoliert, wodurch Probleme wie der CrowdStrike-Vorfall von 2024, der zu massenhaften Bluescreen-Fehlern führte, verhindert werden.
• Microsoft Defender und Antivirenprogramme von Drittanbietern funktionieren weiterhin normal, jedoch in einer sichereren und besser kontrollierten Umgebung.

Microsoft restrukturiert die Funktionsweise von Antiviren- (AV) und Endpoint-Detection-and-Response-Software (EDR), indem diese aus dem Windows-Kernel entfernt wird. Die Änderung steht kurz vor der privaten Vorschauphase und ist Teil der umfassenderen Windows Resilience Initiative , einer langfristigen Strategie zur Minimierung kritischer Systemausfälle. Ein Beispiel hierfür ist der CrowdStrike- Ausfall von 2024, der Millionen von Systemen nach einem fehlerhaften Kernel-Update unbrauchbar machte.

Warum Microsoft diese Änderung vornimmt

Traditionell arbeiten Antiviren- und EDR-Tools tief im Kernel (dem privilegierten Kern von Windows 11, 10 und älteren Versionen), um vollen Zugriff auf Prozesse, Speicher und Treiber zu erhalten. Einerseits machte sie das effektiv beim Erkennen komplexer Bedrohungen, andererseits aber auch gefährlich, da ein Fehler oder ein fehlerhaftes Update im Kernel das gesamte System zum Absturz bringen kann, wie der CrowdStrike-Vorfall gezeigt hat.

Durch die Isolation von AV/EDR-Tools im Benutzermodus reduziert Microsoft den Zugriff auf kritische Systemkomponenten. Das bedeutet, dass die Wahrscheinlichkeit eines Computerabsturzes deutlich geringer ist, falls eine Antiviren-Engine nicht ordnungsgemäß funktioniert.

Was das für normale Verbraucher bedeutet

Für normale Windows 11- Nutzer wird dieser Übergang weitgehend unbemerkt bleiben, was von Vorteil ist. Microsoft Defender Antivirus (oder ein anderes Antivirenprogramm eines Drittanbieters) läuft weiterhin, und Ihr Laptop, Tablet oder Desktop-Computer bleibt geschützt. Es arbeitet jedoch in einer sichereren und kontrollierteren Umgebung im Hintergrund.

Kann man Microsoft Defender jetzt deinstallieren? Kurz gesagt: Nein, noch nicht. Microsoft Defender bleibt eine Standard-Sicherheitskomponente des Betriebssystems, insbesondere für Nutzer, die keine Antivirensoftware von Drittanbietern installieren. Die Auslagerung von Defender aus dem Kernel könnte jedoch eine größere Modularität ermöglichen. Zukünftig könnte es einfacher werden, den Standard-Virenschutz zu deaktivieren oder zu ersetzen, ohne die Systemintegrität zu gefährden.

Ein weiterer wichtiger Punkt ist, dass im Falle eines Fehlschlagens eines Antiviren-Updates der Rest Ihres Systems geschützt bleibt, was zu weniger Bluescreen- Fehlern führt.

Darüber hinaus arbeitet der Softwaregigant an einer neuen Funktion namens „Schnelle Maschinenwiederherstellung“, mit der Netzwerkadministratoren nicht bootfähige Geräte schneller wiederherstellen können – eine direkte Reaktion auf die durch den Kernel-Absturz von CrowdStrike verursachten Probleme. Diese Funktion wird nicht nur Unternehmen, sondern auch Privatkunden zur Verfügung stehen.

Was das für Unternehmen bedeutet

Auch für Unternehmen und Fachleute ist dies eine willkommene Änderung. Antivirensysteme auf Kernel-Ebene bargen stets Risiken wie fehlgeschlagene Updates, Treiberkonflikte oder übersehene Kompatibilitätsprüfungen, die Tausende von Rechnern im Handumdrehen lahmlegen konnten. Durch diese Architekturänderung werden Sicherheitstools von Drittanbietern von den kritischen Schichten des Betriebssystems getrennt, wodurch Unternehmen weniger anfällig für Systemausfälle sind und sich leichter wiederherstellen lassen.

Microsoft arbeitet bereits mit Partnern wie CrowdStrike, Bitdefender, Sophos, Trend Micro und ESET zusammen, um sicherzustellen, dass deren Tools auch außerhalb des Kernels funktionieren. Das Unternehmen betont zudem, dass es sich nicht um eine einseitige Entscheidung handelt, sondern um eine gemeinsame Neugestaltung der Integration von Antivirensoftware in das Betriebssystem.

Darüber hinaus ermöglicht die neue Plattform eine kontrolliertere Bereitstellung von Sicherheitsupdates. IT-Abteilungen profitieren von schrittweisen Rollouts, verbesserter Telemetrie und optimierten Rollback-Optionen.

Microsoft möchte auch das Anti-Cheat-System reparieren.

Die Entfernung des Virenschutzes aus dem Kernel ist zwar ein positiver Schritt, aber nicht die einzige Lösung. Viele Anti-Cheat-Lösungen in Spielen nutzen Treiber auf Kernel-Ebene, um Cheat-Tools und Speichermanipulationen zu erkennen. Dies birgt jedoch dieselben Risiken wie herkömmliche Antivirensoftware, beispielsweise fehlerhaften Code oder veraltete Updates, die die Systemstabilität beeinträchtigen können.

Microsoft arbeitet nun mit Spieleentwicklern zusammen, um Anti-Cheat-Mechanismen außerhalb des Kernels zu entwickeln, was zu einem stabileren Spielablauf und weniger fälschlicherweise als gesperrt empfundenen Spielern führen könnte.

Die neue Architektur für Antiviren- und EDR-Tools wird derzeit mit Blick auf Windows 11 und zukünftige Versionen entwickelt. Es gibt keine Anzeichen dafür, dass diese Änderung auch für Windows 10 übernommen wird. Da das Unternehmen jedoch plant, die weitere Nutzung von Windows 10 nach dem Supportende am 14. Oktober 2025 zu vereinfachen, besteht die Möglichkeit, dass die Änderung auch in der Vorgängerversion des Betriebssystems verfügbar sein wird.