Ausführen und Überprüfen der Ergebnisse eines Microsoft Defender Offline-Scans

Microsoft Defender Offline ist ein Antischadsoftware-Scantool, mit dem Sie eine Überprüfung aus einer vertrauenswürdigen Umgebung starten und ausführen können. Die Überprüfung wird von außerhalb des normalen Windows-Kernels ausgeführt, sodass sie auf Schadsoftware abzielen kann, die versucht, die Windows-Shell zu umgehen, z. B. Viren und Rootkits, die den master Boot Record (MBR) infizieren oder überschreiben.

Sie können die Microsoft Defender Offlineüberprüfung verwenden, wenn Sie einen Malwarebefall vermuten oder sicherstellen möchten, dass der Endpunkt nach einem Malwarebefall gründlich bereinigt wurde.

Voraussetzungen und Anforderungen

Im Folgenden sind die Hardwareanforderungen für Microsoft Defender Offlinescans in Windows aufgeführt:

• x64-Windows 11
• x64/x86-Windows 10
• x64/x86-Windows 8.1
• x64/x86 Windows 7 Service Pack 1

Weitere Informationen zu Windows 10 und Windows 11 Anforderungen finden Sie unter Mindesthardwareanforderungen und Hardwarekomponentenrichtlinien.

Microsoft Defender Offline-Updates

So erhalten Sie Microsoft Defender Offlinescan-Updates:

• Microsoft Defender Antivirus muss Ihre primäre Antivirensoftware sein (nicht im passiven Modus).

• Aktualisieren Sie Microsoft Defender Antivirus, wie Sie Updates normalerweise auf Endpunkten bereitstellen. Verwenden Sie eine unterstützte Version von:

  • Plattformupdate

  • Engine-Update

  • Updates zur Sicherheitsintelligenz

    • Sie können die neuesten Schutzupdates manuell vom Microsoft Malware Protection Center herunterladen und installieren.
    • Weitere Informationen finden Sie im Artikel Verwalten von Microsoft Defender Antivirus Security Intelligence-Updates.

• Benutzer müssen mit lokalen Administratorrechten angemeldet sein.

• Windows Recovery Environment (WinRE) muss aktiviert sein.

Verwendungsszenarien

Die Notwendigkeit, einen Microsoft Defender-Offlinescan auszuführen:

Wenn Microsoft Defender Antivirus feststellt, dass Sie Microsoft Defender Offline ausführen müssen, wird der Benutzer auf dem Gerät aufgefordert. Die Eingabeaufforderung kann über eine Benachrichtigung erfolgen, ähnlich der folgenden:

Der Benutzer wird auch innerhalb des Microsoft Defender Antivirus-Clients benachrichtigt. Wenn Sie Intune zum Verwalten von Geräten verwenden, wird die Benachrichtigung in Intune angezeigt.

• Sie können einen in Windows 10, Version 1607 oder neuer, sowie in Windows 11 integrierten Offlinescan manuell erzwingen. Oder für ältere Betriebssysteme wie Windows 7 SP1 und Windows 8.1 können Sie startbare Medien erstellen, um einen Offlinescan auszuführen (siehe Abschnitt "In Windows 7 Service Pack 1" und "Windows 8.1").

In Konfigurations-Manager können Sie den Status der Endpunkte ermitteln, indem Sie zu Überwachung > Übersicht > Sicherheit > Endpoint Protection-Status > System Center Endpoint Protection Status navigieren.

Microsoft Defender Offline-Überprüfungen werden unter Schadsoftwarekorrektur status als Offline-Überprüfung erforderlich angegeben.

Konfigurieren von Benachrichtigungen

Microsoft Defender Offlinebenachrichtigungen werden in derselben Richtlinieneinstellung wie andere Microsoft Defender Antivirusbenachrichtigungen konfiguriert.

Weitere Informationen zu Benachrichtigungen in Windows Defender finden Sie unter Konfigurieren der Benachrichtigungen, die auf Endpunkten angezeigt werden.

Ausführen eines Scanvorgangs

Sie können eine Microsoft Defender Offlineüberprüfung mit den folgenden Methoden ausführen:

• Die Windows-Sicherheit-App
• PowerShell
• Windows-Verwaltungsinstrumentation (WMI)

Verwenden der Windows Defender Security-App zum Ausführen einer Offlineüberprüfung

Ab Windows 10, Version 1607 oder höher, und Windows 11 kann Microsoft Defender Offlinescan mit einem Klick direkt über die Windows-Sicherheit-App ausgeführt werden. In früheren Versionen von Windows musste ein Benutzer Microsoft Defender Offlinescan auf startbaren Medien installieren, den Endpunkt neu starten und die startbaren Medien laden.

1. Öffnen Sie auf Ihrem Windows-Gerät die Windows-Sicherheit-App. Wählen Sie Virenschutz & Bedrohungsschutz und dann Scanoptionen aus.

2. Wählen Sie das Optionsfeld Microsoft Defender Offlinescan aus, und wählen Sie Jetzt scannen aus.

   Der Offlinescanvorgang beginnt ab C:\ProgramData\Microsoft\Windows Defender\Offline Scanner.

3. Sie erhalten eine Aufforderung, Ihre Arbeit zu speichern, bevor Sie fortfahren, ähnlich wie in der folgenden Abbildung:

   

   Nachdem Sie Ihre Arbeit gespeichert haben, wählen Sie Scannen aus.

4. Nachdem Sie Scannen ausgewählt haben, erhalten Sie eine weitere Eingabeaufforderung, die Ihre Berechtigung zum Vornehmen von Änderungen an Ihrem Gerät anfordert, ähnlich wie in der folgenden Abbildung:

   

   Wählen Sie Ja.

5. Eine weitere Eingabeaufforderung wird angezeigt und informiert Sie darüber, dass Sie abgemeldet werden und Windows in weniger als einer Minute heruntergefahren wird, ähnlich wie in der folgenden Abbildung:

   

6. Sie sehen, dass die Microsoft Defender Antivirus-Überprüfung (Offlineüberprüfung) ausgeführt wird.

   

   Die folgende Abbildung wird angezeigt:

   

Verwenden von PowerShell-Cmdlets zum Ausführen einer Offlineüberprüfung

Führen Sie das folgende Cmdlet aus, um einen Microsoft Defender Offlinescan zu initiieren, der das Gerät in eine isolierte Umgebung neu startet, um persistente Schadsoftware zu erkennen:

Start-MpWDOScan

Weitere Informationen zur Verwendung von PowerShell mit Microsoft Defender Antivirus finden Sie unter Verwenden von PowerShell-Cmdlets zum Konfigurieren und Ausführen von Microsoft Defender Antivirus- und Defender Antivirus-Cmdlets.

Verwenden der Windows-Verwaltungsinstrumentation (WMI) zum Ausführen einer Offlineüberprüfung

Verwenden Sie die klasse MSFT_MpWDOScan , um eine Offlineüberprüfung auszuführen.

Der folgende WMI-Befehl löst einen Microsoft Defender Offlinescan aus, der den Endpunkt neu startet, die Offlineüberprüfung durchführt und dann wieder in Windows startet.

wmic /namespace:\\root\Microsoft\Windows\Defender path MSFT_MpWDOScan call Start

Weitere Informationen zu Windows Defender WMI-APIs finden Sie unter Windows Defender WMIv2-APIs.

In Windows 7 Service Pack 1 und Windows 8.1:

Um Microsoft Defender Offline unter Windows 7 SP1 oder Windows 8.1 auszuführen, erstellen Sie bootfähige Medien, und verwenden Sie diese dann, um den Endpunkt zu überprüfen:

1. Laden Sie Windows Defender Offline herunter, und installieren Sie es auf einer CD, DVD oder einem USB-Speicherstick über die folgenden Links:

   • Herunterladen der 64-Bit-Version (msstool64.exe)
   • Herunterladen der 32-Bit-Version (msstool32.exe)

   Wenn Sie nicht sicher sind, welche Version Heruntergeladen werden soll, lesen Sie Ist auf meinem PC die 32-Bit- oder 64-Bit-Version von Windows?.

2. Suchen Sie zunächst nach einer leeren CD, DVD oder einem USB-Speicherstick mit mindestens 250 MB freiem Speicherplatz, und führen Sie dann das Tool aus. Sie werden durch die Schritte zum Erstellen der Wechselmedien geleitet.

   Tipp

   Es wird empfohlen, beim Herunterladen von Windows Defender Offline die folgenden Schritte auszuführen:

   • Laden Sie Windows Defender Offline herunter, und erstellen Sie das CD-, DVD- oder USB-Flashlaufwerk auf einem PC, der nicht mit Schadsoftware infiziert ist, da die Schadsoftware die Medienerstellung beeinträchtigen kann.
   • Wenn Sie ein USB-Laufwerk verwenden, wird das Laufwerk neu formatiert, und alle daten darauf werden gelöscht. Stellen Sie sicher, dass Alle wichtigen Daten zuerst vom Laufwerk gesichert werden.

   

3. Scannen Sie Ihren PC auf Viren und andere Schadsoftware.

   1. Nachdem Sie das USB-Laufwerk, die CD oder die DVD erstellt haben, entfernen Sie es von Ihrem aktuellen Computer, und bringen Sie es auf den Computer, den Sie scannen möchten. Schließen Sie das USB-Laufwerk oder den USB-Datenträger an den anderen Computer an, und starten Sie den Computer neu.

   2. Starten Sie vom USB-Laufwerk, der CD oder der DVD, um die Überprüfung auszuführen. Abhängig von den Einstellungen des Computers kann es nach dem Neustart automatisch von den Medien gestartet werden, oder Sie müssen eine Taste drücken, um ein Menü "Startgeräte" einzugeben oder die Startreihenfolge in der UEFI-Firmware oder im BIOS des Computers zu ändern.

   3. Nachdem Sie das Gerät gestartet haben, wird ein Microsoft Defender-Tool angezeigt, das Ihren Computer automatisch scannt und Schadsoftware entfernt.

   4. Nachdem die Überprüfung abgeschlossen ist und Sie mit dem Tool fertig sind, können Sie Ihren Computer neu starten und die Microsoft Defender Offlinemedien entfernen, um wieder in Windows zu starten.

4. Entfernen Sie alle Schadsoftware, die von Ihrem PC gefunden wird.

   Wenn beim Ausführen der Offlineüberprüfung ein Stoppfehler auf einem blauen Bildschirm auftritt, starten Sie Ihr Gerät neu, und versuchen Sie erneut, eine Microsoft Defender Offlineüberprüfung auszuführen. Wenn der Bluescreen-Fehler erneut auftritt, wenden Sie sich an Microsoft-Support.

Wo finde ich die Scanergebnisse?

So können Sie die Ergebnisse des Microsoft Defender-Offlinescans in Windows 10 und Windows 11 anzeigen:

1. Wählen Sie Start und dann Einstellungen>Update & Security>Windows-Sicherheit>Virus & Threat Protection aus.

2. Wählen Sie auf dem Bildschirm Virenschutz & Bedrohungen unter Aktuelle Bedrohungen die Option Scanoptionen und dann Schutzverlauf aus. Weitere Informationen finden Sie unter Überprüfen des Verlaufs der Bedrohungserkennung in der Windows-Sicherheit-App.

Wie kann ich herausfinden, ob die Microsoft Defender Offline-Überprüfung gestartet wurde?

Wechseln Sie in der Ereignisanzeige zu Anwendungs- und Dienstprotokolle > Microsoft > Windows > Windows Defender > Betriebsbereit. Du wirst sehen:

• Protokollname: Microsoft-Windows-Windows Defender/Operational
• Quelle: Microsoft-Windows-Windows Defender
• Ereignis-ID: 2030
• Ebene: Informationen
• Beschreibung: Microsoft Defender Antivirus hat Microsoft Defender Antivirus (Offlineüberprüfung) heruntergeladen und für die Ausführung beim nächsten Neustart konfiguriert.

In älteren Versionen als Windows 10 2004 sehen Sie Folgendes:

Windows Defender Antivirus hat Windows Defender Offline heruntergeladen und so konfiguriert, dass es beim nächsten Neustart ausgeführt wird.

• Protokollname: Microsoft-Windows-Windows Defender/Operational
• Quelle: Microsoft-Windows-Windows Defender
• Ereignis-ID: 5007
• Stufe: Information
• Beschreibung: Microsoft Defender Antivirus Configuration has changed. If this is an unexpected event, you should review the settings as this may be the result of malware.
• Alter Wert: N/A\Scan\OfflineScanRun =
• Neuer Wert: HKLM\SOFTWARE\Microsoft\Windows Defender\Scan\OfflineScanRun = 0x0

Verwandte Artikel

• Scans und Behebungen anpassen, starten und deren Ergebnisse überprüfen
• Microsoft Defender Antivirus in Windows 10