Konfigurieren und Überprüfen von Ausschlüssen basierend auf Dateierweiterung und Ordnerspeicherort

Gilt für:

• Microsoft Defender für Endpunkt Plan 1
• Microsoft Defender für Endpunkt Plan 2
• Microsoft Defender Antivirus

Plattformen

• Windows

Sie können Ausschlüsse für Microsoft Defender Antivirus definieren, die für geplante Überprüfungen, bedarfsgesteuerte Überprüfungen und Always-On-Echtzeitschutz und -überwachung gelten. Im Allgemeinen müssen Sie keine Ausschlüsse anwenden. Wenn Sie Ausschlüsse anwenden müssen, können Sie aus den folgenden Typen wählen:

• Ausschlüsse basierend auf Dateierweiterungen und Ordnerspeicherorten (in diesem Artikel beschrieben)
• Ausschlüsse für Dateien, die von Prozessen geöffnet werden

Bevor Sie beginnen

Lesen Sie Empfehlungen zum Definieren von Ausschlüssen , bevor Sie Ihre Ausschlusslisten definieren.

Ausschlusslisten

Um bestimmte Dateien von Microsoft Defender Antivirus-Überprüfungen auszuschließen, ändern Sie Ihre Ausschlusslisten. Microsoft Defender Antivirus umfasst viele automatische Ausschlüsse, die auf bekannten Betriebssystemverhalten und typischen Verwaltungsdateien basieren, z. B. in Unternehmensverwaltungs-, Datenbankverwaltungs- und anderen Unternehmensszenarien.

In der folgenden Tabelle sind einige Beispiele für Ausschlüsse aufgeführt, die auf der Dateierweiterung und dem Speicherort des Ordners basieren.

Merkmale von Ausschlusslisten

• Ordnerausschlüsse gelten für alle Dateien und Ordner unter diesem Ordner, es sei denn, der Unterordner ist ein Analysepunkt. Analysepunktunterordner müssen separat ausgeschlossen werden.
• Dateierweiterungen gelten für jeden Dateinamen mit der definierten Erweiterung, wenn kein Pfad oder Ordner definiert ist.

Wichtige Hinweise zu Ausschlüssen basierend auf Dateierweiterungen und Ordnerspeicherorten

• Die Verwendung von Platzhaltern wie dem Sternchen (*) ändert die Interpretation von Ausschlussregeln. Wichtige Informationen zur Funktionsweise von Wildcards finden Sie im Abschnitt Verwenden von Wildcards in den Datei- und Ordnerpfad- oder Erweiterungsausschlusslisten .

• Schließen Sie zugeordnete Netzlaufwerke nicht aus. Geben Sie den tatsächlichen Netzwerkpfad an.

• Ordner, die Analysepunkte sind, werden erstellt, nachdem der Microsoft Defender Antivirus-Dienst gestartet wurde, und die Ordner, die der Ausschlussliste hinzugefügt wurden, sind nicht enthalten. Starten Sie den Dienst neu, indem Sie Windows neu starten, damit neue Analysepunkte als gültiges Ausschlussziel erkannt werden.

• Ausschlüsse gelten für geplante Überprüfungen, bedarfsgesteuerte Überprüfungen und Echtzeitschutz, jedoch nicht für alle Defender für Endpunkt-Funktionen. Verwenden Sie benutzerdefinierte Indikatoren, um Ausschlüsse in Defender für Endpunkt zu definieren.

• Standardmäßig werden lokale Änderungen an den Listen (von Benutzern mit Administratorrechten, einschließlich änderungen, die mit PowerShell und WMI vorgenommen wurden) durch Gruppenrichtlinie, Configuration Manager oder Intune mit den Listen zusammengeführt. Die Gruppenrichtlinie Listen haben Vorrang, wenn Konflikte auftreten. Darüber hinaus sind mit Gruppenrichtlinie vorgenommene Änderungen der Ausschlussliste in der Windows-Sicherheit-App sichtbar.

• Damit lokale Änderungen verwaltete Bereitstellungseinstellungen außer Kraft setzen können, konfigurieren Sie, wie lokal und global definierte Ausschlusslisten zusammengeführt werden.

Konfigurieren der Liste der Ausschlüsse basierend auf dem Ordnernamen oder der Dateierweiterung

Sie können aus mehreren Methoden wählen, um Ausschlüsse für Microsoft Defender Antivirus zu definieren.

Verwenden von Intune zum Konfigurieren von Dateinamen-, Ordner- oder Dateierweiterungsausschlüssen

Lesen Sie die folgenden Artikel:

• Konfigurieren von Einstellungen für Geräteeinschränkungen in Microsoft Intune
• Microsoft Defender Einstellungen für Geräteeinschränkung für Windows 10 in Intune

Verwenden von Configuration Manager zum Konfigurieren von Dateinamen-, Ordner- oder Dateierweiterungsausschlüssen

Ausführliche Informationen zum Konfigurieren von Microsoft Configuration Manager (Current Branch) finden Sie unter Erstellen und Bereitstellen von Antischadsoftwarerichtlinien: Ausschlusseinstellungen.

Verwenden von Gruppenrichtlinie zum Konfigurieren von Ordner- oder Dateierweiterungsausschlüssen

1. Öffnen Sie auf dem Computer, der Ihre Gruppenrichtlinie verwaltet, die Gruppenrichtlinien-Verwaltungskonsole, klicken Sie mit der rechten Maustaste auf das Gruppenrichtlinienobjekt, das Sie konfigurieren möchten, und wählen Sie dann Bearbeiten aus.

2. Wechseln Sie im Gruppenrichtlinie Management Editor zu Computerkonfiguration, und wählen Sie Administrative Vorlagen aus.

3. Erweitern Sie die Struktur auf Windows-Komponenten>Microsoft DefenderAntivirusausschlüsse>.

4. Öffnen Sie die Einstellung Pfadausschlüsse zur Bearbeitung, und fügen Sie Ihre Ausschlüsse hinzu.

   1. Legen Sie die Option auf Aktiviert fest.

   2. Wählen Sie im Abschnitt Optionen die Option Anzeigen aus.

   3. Geben Sie jeden Ordner in einer eigenen Zeile unter der Spalte Wertname an .

   4. Wenn Sie eine Datei angeben, stellen Sie sicher, dass Sie einen vollqualifizierten Pfad zur Datei eingeben, einschließlich Laufwerkbuchstabe, Ordnerpfad, Dateinamen und Erweiterung.

   5. Geben Sie in der Spalte Wertden Wert 0 ein.

   6. Wählen Sie OK aus.

5. Öffnen Sie die Einstellung Erweiterungsausschlüsse zum Bearbeiten, und fügen Sie Ihre Ausschlüsse hinzu.

   1. Legen Sie die Option auf Aktiviert fest.

   2. Wählen Sie im Abschnitt Optionen die Option Anzeigen aus.

   3. Geben Sie jede Dateierweiterung in einer eigenen Zeile unter der Spalte Wertname ein.

   4. Geben Sie in der Spalte Wertden Wert 0 ein.

   5. Wählen Sie OK aus.

Verwenden von PowerShell-Cmdlets zum Konfigurieren von Dateinamen-, Ordner- oder Dateierweiterungsausschlüssen

Die Verwendung von PowerShell zum Hinzufügen oder Entfernen von Ausschlüssen für Dateien basierend auf der Erweiterung, dem Speicherort oder dem Dateinamen erfordert die Verwendung einer Kombination aus drei Cmdlets und dem entsprechenden Ausschlusslistenparameter. Die Cmdlets befinden sich alle im Defender-Modul.

Das Format für die Cmdlets lautet wie folgt:

<cmdlet> -<exclusion list> "<item>"

In der <cmdlet> folgenden Tabelle sind Cmdlets aufgeführt, die Sie im Teil des PowerShell-Cmdlets verwenden können:

In der folgenden Tabelle sind Werte aufgeführt, die <exclusion list> Sie im Teil des PowerShell-Cmdlets verwenden können:

Der folgende Codeausschnitt würde z. B. dazu führen, dass Microsoft Defender Antivirus-Scans jede Datei mit der .test Dateierweiterung ausschließen:

Add-MpPreference -ExclusionExtension ".test"

Verwenden der Windows-Verwaltungsinstrumentation (Windows Management Instrumentation, WMI) zum Konfigurieren von Dateinamen-, Ordner- oder Dateierweiterungsausschlüssen

Verwenden Sie die Methoden Set, Add und Remove der klasse MSFT_MpPreference für die folgenden Eigenschaften:

ExclusionExtension
ExclusionPath

Die Verwendung von Set, Add und Remove entspricht ihren Entsprechungen in PowerShell: Set-MpPreference, Add-MpPreferenceund Remove-MpPreference.

Verwenden der Windows-Sicherheit-App zum Konfigurieren von Dateinamen-, Ordner- oder Dateierweiterungsausschlüssen

Anweisungen finden Sie unter Hinzufügen von Ausschlüssen in der Windows-Sicherheit-App.

Verwenden von Wildcards in den Dateinamen und Ordnerpfaden oder Erweiterungsausschlusslisten

Sie können das Sternchen *, das Fragezeichen ?oder die Umgebungsvariablen (z %ALLUSERSPROFILE%. B. ) als Platzhalter verwenden, wenn Sie Elemente in der Ausschlussliste des Dateinamens oder Ordnerpfads definieren. Sie können Umgebungsvariablen und und zu einem einzigen Ausschluss kombinieren und ? abgleichen*. Die Art und Weise, wie diese Wildcards interpretiert werden, unterscheidet sich von ihrer üblichen Verwendung in anderen Apps und Sprachen. Lesen Sie diesen Abschnitt, um die spezifischen Einschränkungen zu verstehen.

Die folgende Tabelle beschreibt, wie die Wildcards verwendet werden können, und enthält einige Beispiele.

Systemumgebungsvariablen

In der folgenden Tabelle sind die Umgebungsvariablen des Systemkontos aufgeführt und beschrieben.

Überprüfen der Liste der Ausschlüsse

Sie können die Elemente in der Ausschlussliste mit einer der folgenden Methoden abrufen:

• Intune
• Microsoft Configuration Manager
• MpCmdRun
• PowerShell
• Windows-Sicherheit-App

Wenn Sie PowerShell verwenden, können Sie die Liste auf zwei Arten abrufen:

• Rufen Sie die status aller Microsoft Defender Antivirus-Einstellungen ab. Jede Liste wird in separaten Zeilen angezeigt, aber die Elemente in jeder Liste werden in derselben Zeile kombiniert.
• Schreiben Sie die status aller Einstellungen in eine Variable, und verwenden Sie diese Variable, um nur die gewünschte Liste aufzurufen. Jede Verwendung von Add-MpPreference wird in eine neue Zeile geschrieben.

Überprüfen der Ausschlussliste mithilfe von MpCmdRun

Verwenden Sie den folgenden Befehl, um Ausschlüsse mit dem dedizierten Befehlszeilentool mpcmdrun.exezu überprüfen:

Start, CMD (Run as admin)
cd "%programdata%\microsoft\windows defender\platform"
cd 4.18.2111-5.0 (Where 4.18.2111-5.0 is this month's Microsoft Defender Antivirus "Platform Update".)
MpCmdRun.exe -CheckExclusion -path <path>

Überprüfen Sie die Liste der Ausschlüsse zusammen mit allen anderen Microsoft Defender Antivirus-Einstellungen mithilfe von PowerShell.

Verwenden Sie das folgende Cmdlet:

Get-MpPreference

Im folgenden Beispiel sind die in der ExclusionExtension Liste enthaltenen Elemente hervorgehoben:

Weitere Informationen finden Sie unter Verwenden von PowerShell-Cmdlets zum Konfigurieren und Ausführen von Microsoft Defender Antivirus und Defender Antivirus-Cmdlets.

Abrufen einer bestimmten Ausschlussliste mithilfe von PowerShell

Verwenden Sie den folgenden Codeausschnitt (geben Sie jede Zeile als separaten Befehl ein); Ersetzen Sie WDAVprefs durch die Bezeichnung, die Sie für die Variable benennen möchten:

$WDAVprefs = Get-MpPreference
$WDAVprefs.ExclusionExtension
$WDAVprefs.ExclusionPath

Im folgenden Beispiel wird die Liste für jede Verwendung des Add-MpPreference Cmdlets in neue Zeilen unterteilt:

Weitere Informationen finden Sie unter Verwenden von PowerShell-Cmdlets zum Konfigurieren und Ausführen von Microsoft Defender Antivirus und Defender Antivirus-Cmdlets.

Überprüfen von Ausschlusslisten mit der EICAR-Testdatei

Sie können überprüfen, ob Ihre Ausschlusslisten funktionieren, indem Sie PowerShell mit dem Invoke-WebRequest Cmdlet oder der .NET WebClient-Klasse verwenden, um eine Testdatei herunterzuladen.

Ersetzen Sie test.txt im folgenden PowerShell-Codeausschnitt durch eine Datei, die Ihren Ausschlussregeln entspricht. Wenn Sie z. B. die .testing Erweiterung ausschließen, ersetzen Sie durch test.txttest.testing. Wenn Sie einen Pfad testen, stellen Sie sicher, dass Sie das Cmdlet in diesem Pfad ausführen.

Invoke-WebRequest "https://secure.eicar.org/eicar.com.txt" -OutFile "test.txt"

Wenn Microsoft Defender Antivirus Schadsoftware meldet, funktioniert die Regel nicht. Wenn keine Schadsoftware gemeldet wird und die heruntergeladene Datei vorhanden ist, funktioniert der Ausschluss. Sie können die Datei öffnen, um zu bestätigen, dass der Inhalt mit den auf der EICAR-Testdateiwebsite beschriebenen Inhalten übereinstimmt.

Sie können auch den folgenden PowerShell-Code verwenden, der die .NET WebClient-Klasse aufruft, um die Testdatei herunterzuladen – wie beim Invoke-WebRequest Cmdlet. Ersetzen Sie durch c:\test.txt eine Datei, die der Regel entspricht, die Sie überprüfen:

$client = new-object System.Net.WebClient
$client.DownloadFile("http://www.eicar.org/download/eicar.com.txt","c:\test.txt")

Wenn Sie keinen Internetzugriff haben, können Sie ihre eigene EICAR-Testdatei erstellen, indem Sie die EICAR-Zeichenfolge mit dem folgenden PowerShell-Befehl in eine neue Textdatei schreiben:

[io.file]::WriteAllText("test.txt",'X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*')

Sie können die Zeichenfolge auch in eine leere Textdatei kopieren und versuchen, sie mit dem Dateinamen oder in dem Ordner zu speichern, den Sie ausschließen möchten.

Siehe auch

• Konfigurieren und Überprüfen von Ausschlüssen in Microsoft Defender Antivirusscans
• Konfigurieren und Überprüfen von Ausschlüssen für Dateien, die von Prozessen geöffnet werden
• Konfigurieren von Microsoft Defender Antivirusausschlüssen unter Windows Server
• Häufige Fehler, die beim Festlegen von Ausschlüssen vermieden werden sollten