Windows 11/10: Geräteschutz aktivieren & deaktivieren – so geht’s

Geräteschutz unter Windows 11 und Windows 10 aktivieren oder deaktivieren: Schritt-für-Schritt-Anleitung für Kernisolierung, Speicherintegrität und Sicherheitseinstellungen.

Der Geräteschutz in der Windows-Sicherheit-App zeigt an, ob Ihr PC grundlegende Hardware-Sicherheitsfunktionen wie Kernisolation, Sicherer Start und TPM 2.0 nutzt.

Dieser Artikel erklärt Schritt für Schritt, wie Sie den Geräteschutz unter Windows 11 und Windows 10 öffnen, aktivieren, deaktivieren und bei Problemen wieder in Ordnung bringen.

Was ist der Geräteschutz in Windows?

Der Geräteschutz ist ein Bereich innerhalb der Windows-Sicherheit-App (früher Windows Defender Security Center). Dort bündelt Microsoft mehrere Funktionen, die zusammen verhindern sollen, dass Schadsoftware tief im System, also auf Betriebssystemkern- oder Firmware-Ebene, Fuß fasst. Anders als der Viren- und Bedrohungsschutz arbeitet der Geräteschutz nicht mit Signaturen, sondern mit Hardware- und Firmware-Mechanismen.

Zum Geräteschutz gehören konkret folgende Komponenten:

• Kernisolation mit der Unterfunktion Speicherintegrität
• Sicherer Start (Secure Boot)
• TPM 2.0, auch Sicherheitsprozessor genannt
• Die Liste gesperrter anfälliger Treiber, die zusammen mit Speicherintegrität, Smart App Control oder dem S-Modus aktiv ist

Zudem zeigt Windows im unteren Bereich der Geräteschutz-Seite eine zusammenfassende Sicherheitsstufe an. Diese reicht von „Standardhardwaresicherheit nicht unterstützt“ bis „Vollständige Sicherheit auf Hardwarebasis“. Je mehr Haken Windows setzen kann, desto höher fällt diese Einstufung aus.

Geräteschutz unter Windows 11 öffnen

Um den Geräteschutz zu erreichen, benötigen Sie zunächst Zugriff auf die Windows-Sicherheit-App. Der Weg dorthin unterscheidet sich zwischen Windows 11 und Windows 10 leicht.

Gehen Sie unter Windows 11 folgendermaßen vor:

1. Drücken Sie Windows + I, um die Einstellungen zu öffnen.
2. Klicken Sie im linken Bereich auf „Datenschutz und Sicherheit“.
3. Wählen Sie „Windows-Sicherheit“ aus.
4. Klicken Sie auf „Windows-Sicherheit öffnen“.
5. Wählen Sie in der geöffneten App den Kachel-Eintrag „Geräteschutz“ aus.

Alternativ tippen Sie in die Taskleisten-Suche einfach „Windows-Sicherheit“ ein und öffnen die App direkt darüber. Das funktioniert ebenso zuverlässig und spart einen Klick durch die Einstellungen.

Geräteschutz unter Windows 10 öffnen

Unter Windows 10 liegt der Menüpunkt an einer etwas anderen Stelle, da Microsoft die Einstellungen-Kategorien dort anders sortiert hat:

1. Öffnen Sie die Einstellungen mit Windows + I.
2. Klicken Sie auf „Update und Sicherheit“.
3. Wählen Sie im linken Bereich „Windows-Sicherheit“.
4. Klicken Sie auf „Windows-Sicherheit öffnen“.
5. Gehen Sie anschließend auf „Geräteschutz“.

Sollte die Kachel „Geräteschutz“ fehlen, deutet das meist darauf hin, dass Ihr Mainboard kein TPM 2.0 besitzt oder dieses im UEFI-BIOS deaktiviert ist. Darauf gehe ich später noch genauer ein.

Kernisolation und Speicherintegrität aktivieren

Die Kernisolation isoliert kritische Windows-Prozesse mithilfe von virtualisierungsbasierter Sicherheit (VBS) vom restlichen Betriebssystem. Dadurch können selbst Schadprogramme mit Administratorrechten diese Prozesse in der Regel nicht manipulieren. Die dazugehörige Speicherintegrität verhindert außerdem, dass unsignierte oder böswillige Treiber in den geschützten Speicherbereich geladen werden.

So schalten Sie die Funktion ein:

1. Öffnen Sie den Geräteschutz wie oben beschrieben.
2. Klicken Sie auf „Details zu Kernisolation“.
3. Aktivieren Sie den Schalter unter „Speicherintegrität“.
4. Starten Sie den PC neu, damit die Änderung wirksam wird.

Falls der Schalter ausgegraut ist, verwaltet vermutlich Ihr Unternehmen beziehungsweise eine Gruppenrichtlinie diese Einstellung zentral. In diesem Fall lässt sich die Funktion nur über den zuständigen Administrator anpassen.

Kernisolation deaktivieren

Manchmal ist es notwendig, die Speicherintegrität wieder auszuschalten, beispielsweise wegen inkompatibler Treiber oder Virtualisierungssoftware. Gehen Sie dafür genauso vor wie beim Aktivieren, klicken jedoch den Schalter auf „Aus“. Ein Neustart ist auch hier erforderlich, ehe die Änderung greift.

Beachten Sie zusätzlich: Manche Programme, etwa ältere Antiviren-Tools, VPN-Clients oder Virtualisierungslösungen, funktionieren mit aktivierter Speicherintegrität nicht korrekt. Windows blendet in diesem Fall häufig eine Warnung ein und listet den betroffenen Treiber namentlich auf. Deshalb lohnt sich vor der Deaktivierung ein Blick in die Meldung, um die eigentliche Ursache zu identifizieren.

Sicheren Start (Secure Boot) aktivieren und deaktivieren

Sicherer Start schützt den Startvorgang des Geräts, indem ausschließlich Software mit vertrauenswürdiger Signatur geladen wird. Dadurch wird verhindert, dass sich Rootkits oder Bootkits noch vor dem eigentlichen Windows-Start im System einnisten. Im Gegensatz zur Kernisolation lässt sich Secure Boot nicht direkt in der Windows-Sicherheit-App umschalten, sondern ausschließlich im UEFI-BIOS des Mainboards.

So gehen Sie vor, um Secure Boot zu ändern:

1. Starten Sie den PC neu und rufen Sie während des Bootvorgangs das UEFI-BIOS auf. Üblicherweise gelingt das mit F2, Entf, F10 oder F12, je nach Hersteller.
2. Alternativ öffnen Sie unter Windows die Einstellungen, klicken auf „System“, dann auf „Wiederherstellung“ und wählen bei „Erweiterter Start“ die Option „Jetzt neu starten“.
3. Navigieren Sie im Wiederherstellungsmenü zu „Problembehandlung“ → „Erweiterte Optionen“ → „UEFI-Firmwareeinstellungen“ → „Neu starten“.
4. Suchen Sie im BIOS nach dem Reiter „Boot“ oder „Security“.
5. Stellen Sie „Secure Boot“ auf „Enabled“, um die Funktion zu aktivieren, oder auf „Disabled“, um sie auszuschalten.
6. Speichern Sie die Änderungen mit F10 und starten Sie den PC neu.

Beachten Sie außerdem, dass für die Aktivierung von Secure Boot häufig zusätzlich der UEFI-Modus anstelle von Legacy/CSM eingestellt sein muss. Ohne diese Voraussetzung bleibt die Option meist ausgegraut oder lässt sich nicht dauerhaft speichern.

Wann Sie Secure Boot deaktivieren sollten

Es gibt durchaus legitime Gründe, Secure Boot vorübergehend abzuschalten. Dazu zählen etwa die Installation älterer Grafiktreiber, das Booten von einem Linux-Live-System ohne signierten Bootloader oder die Nutzung bestimmter Dual-Boot-Konfigurationen. Sobald der jeweilige Vorgang abgeschlossen ist, empfiehlt es sich jedoch, Secure Boot umgehend wieder zu aktivieren, da sonst ein wichtiger Schutzmechanismus dauerhaft fehlt.

TPM 2.0 verwalten

Das TPM (Trusted Platform Module) ist ein Sicherheitschip, der kryptografische Schlüssel sicher speichert und beispielsweise für BitLocker, Windows Hello sowie die Anmeldung mit PIN benötigt wird. Windows 11 setzt TPM 2.0 offiziell als Mindestvoraussetzung voraus.

Um den TPM-Status einzusehen, gehen Sie so vor:

1. Öffnen Sie den Geräteschutz.
2. Klicken Sie auf „Details zum Sicherheitsprozessor“.
3. Prüfen Sie dort die Spezifikationsversion. Diese sollte 2.0 anzeigen.

Alternativ öffnen Sie mit Windows + R den Befehl tpm.msc. Dieses klassische Verwaltungstool zeigt ebenfalls den Status sowie die Herstellerinformationen des TPM-Chips an.

TPM im BIOS aktivieren

Häufig ist das TPM zwar auf dem Mainboard vorhanden, im UEFI-BIOS aber deaktiviert oder trägt einen abweichenden Namen. So aktivieren Sie es:

1. Rufen Sie das UEFI-BIOS wie zuvor beschrieben auf.
2. Suchen Sie den Reiter „Security“ oder „Advanced“.
3. Achten Sie auf Bezeichnungen wie „TPM“, „fTPM“, „PTT“ (Intel Platform Trust Technology) oder „AMD PSP fTPM“.
4. Stellen Sie die Option auf „Enabled“.
5. Speichern Sie mit F10 und starten Sie neu.

Danach sollte Windows das TPM automatisch erkennen und in der Geräteschutz-Übersicht als aktiv anzeigen. Falls nicht, hilft häufig ein zusätzlicher BIOS-Neustart oder ein BIOS-Update, sofern der Hersteller eines bereitstellt.

Geräteschutz per Gruppenrichtlinie steuern

In Unternehmensumgebungen oder auf Pro- und Enterprise-Editionen lässt sich der Geräteschutz zusätzlich zentral über den Editor für lokale Gruppenrichtlinien konfigurieren. Das ist besonders praktisch, wenn mehrere Geräte einheitlich eingestellt werden sollen.

1. Drücken Sie Windows + R, geben Sie gpedit.msc ein und bestätigen Sie mit Enter.
2. Navigieren Sie zu Computerkonfiguration → Administrative Vorlagen → Windows-Komponenten → Windows-Sicherheit → Gerätesicherheit.
3. Öffnen Sie die Richtlinie „Sicherheitsbereich des Geräts ausblenden“, sofern Sie den kompletten Bereich für Benutzer verbergen möchten.
4. Setzen Sie den Wert auf „Aktiviert“, um den Bereich zu verstecken, oder auf „Nicht konfiguriert“, um ihn wieder sichtbar zu machen.
5. Für das Verhindern des TPM-Löschens wählen Sie zusätzlich die Richtlinie „Schaltfläche ‚TPM löschen‘ deaktivieren“ und setzen diese ebenfalls auf „Aktiviert“.

Wichtig dabei ist: Diese Richtlinien blenden lediglich die Benutzeroberfläche aus oder sperren einzelne Schaltflächen. Die zugrunde liegenden Schutzfunktionen selbst bleiben davon unberührt aktiv oder inaktiv, je nachdem, wie sie zuvor eingestellt wurden.

Geräteschutz über die Registrierung anpassen

Fortgeschrittene Anwender können bestimmte Aspekte des Geräteschutzes zusätzlich über die Registrierung beeinflussen. Da fehlerhafte Einträge das System jedoch instabil machen können, sollten Sie vorab unbedingt ein Backup der Registrierung anlegen.

1. Drücken Sie Windows + R, tippen Sie regedit ein und bestätigen Sie.
2. Navigieren Sie zum Pfad HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\DeviceGuard\Scenarios\HypervisorEnforcedCodeIntegrity.
3. Erstellen oder bearbeiten Sie den DWORD-Wert „Enabled“.
4. Setzen Sie den Wert auf 1, um die Speicherintegrität zu aktivieren, oder auf 0, um sie zu deaktivieren.
5. Starten Sie den PC anschließend neu.

Diese Methode eignet sich in erster Linie für Systeme, auf denen die grafische Oberfläche der Windows-Sicherheit-App aus irgendeinem Grund nicht reagiert. Für den alltäglichen Gebrauch bleibt der Weg über die App jedoch deutlich sicherer und übersichtlicher.

Häufige Probleme mit dem Geräteschutz lösen

Gelegentlich zeigt die Geräteschutz-Seite Warnsymbole oder Fehlermeldungen an, obwohl die Hardware grundsätzlich geeignet wäre. Die folgende Übersicht fasst typische Ursachen und passende Lösungen zusammen:

• Gelbes Ausrufezeichen bei Speicherintegrität: Meist verursacht durch einen inkompatiblen Treiber. Aktualisieren Sie den betroffenen Treiber über die Website des Herstellers oder über Windows Update.
• TPM wird nicht erkannt: Prüfen Sie zunächst die BIOS-Einstellung. Zudem kann ein BIOS-Update des Mainboard-Herstellers fehlende Erkennung beheben.
• Secure Boot lässt sich nicht aktivieren: Kontrollieren Sie, ob der Datenträger im GPT-Format statt im älteren MBR-Format partitioniert ist, da Secure Boot GPT voraussetzt.
• Schalter für Kernisolation ist ausgegraut: Häufig verwaltet in diesem Fall eine Gruppenrichtlinie oder eine Unternehmensrichtlinie die Einstellung zentral.
• Meldung „Standardhardwaresicherheit nicht unterstützt“: Dies deutet auf fehlendes TPM 2.0, deaktivierten Secure Boot oder eine zu alte CPU hin.

Sollte trotz aller Maßnahmen weiterhin ein Problem bestehen, hilft oftmals ein vollständiger Neustart des Systems, da manche Änderungen erst nach diesem Schritt tatsächlich übernommen werden.

Auswirkungen auf Leistung und Kompatibilität

Ein berechtigtes Anliegen vieler Nutzer betrifft die Frage, ob der Geräteschutz die Systemleistung spürbar beeinträchtigt. In der Praxis fällt der Effekt bei aktueller Hardware meist gering aus. Ältere Systeme mit schwächerer CPU können hingegen einen leicht messbaren Leistungsverlust bemerken, insbesondere bei aktivierter Speicherintegrität, da diese zusätzliche Rechenoperationen im Hintergrund durchführt.

Zudem können bestimmte Anwendungen, etwa manche Anti-Cheat-Systeme in Spielen, ältere Virtualisierungslösungen oder spezielle Treiber für Peripheriegeräte, mit aktivierter Kernisolation in Konflikt geraten. In solchen Fällen zeigt Windows üblicherweise eine konkrete Fehlermeldung mit dem Namen des betroffenen Treibers an, sodass sich das Problem gezielt eingrenzen lässt.

Empfehlung: So gehen Sie am besten vor

Für die meisten Privatanwender empfiehlt es sich, sämtliche Geräteschutz-Funktionen dauerhaft aktiviert zu lassen, sofern die Hardware sie unterstützt. Konkret bedeutet das:

• Lassen Sie Speicherintegrität in den Kernisolation-Details eingeschaltet, sofern keine konkreten Kompatibilitätsprobleme auftreten.
• Aktivieren Sie Secure Boot im UEFI-BIOS, sofern dies noch nicht geschehen ist.
• Stellen Sie sicher, dass TPM 2.0 beziehungsweise fTPM/PTT im BIOS eingeschaltet ist.
• Deaktivieren Sie einzelne Funktionen ausschließlich vorübergehend und ausschließlich dann, wenn ein konkreter, nachvollziehbarer Grund dafür vorliegt.

Auf diese Weise profitieren Sie durchgehend von der zusätzlichen Hardware-Sicherheitsebene, ohne unnötige Kompromisse bei der Systemstabilität eingehen zu müssen.

Häufige Fragen zum Geräteschutz in Windows

Was passiert, wenn ich den Geräteschutz komplett deaktiviere?

Ohne Geräteschutz verliert Ihr System die zusätzliche Absicherung auf Hardware- und Firmware-Ebene. Schadsoftware könnte dadurch leichter tief im Betriebssystem oder sogar vor dem eigentlichen Windows-Start Fuß fassen. Der grundlegende Viren- und Bedrohungsschutz bleibt davon jedoch unberührt bestehen.

Warum fehlt die Kachel „Geräteschutz“ in meiner Windows-Sicherheit-App?

In der Regel liegt das daran, dass Ihr Mainboard kein TPM 2.0 unterstützt oder dieses im BIOS deaktiviert ist. Ebenso kann eine Gruppenrichtlinie den Bereich gezielt ausgeblendet haben.

Kann ich Secure Boot direkt in Windows ein- oder ausschalten?

Nein, Secure Boot lässt sich ausschließlich im UEFI-BIOS des Mainboards ändern. Windows selbst bietet dafür keine direkte Schaltfläche in den Einstellungen an.

Benötige ich zwingend TPM 2.0 für Windows 11?

Ja, Microsoft setzt TPM 2.0 offiziell als Mindestanforderung für Windows 11 voraus. Ohne diesen Chip lässt sich das Betriebssystem zwar mit inoffiziellen Umgehungen dennoch installieren, wichtige Sicherheitsfunktionen bleiben dann jedoch eingeschränkt.

Wie erkenne ich, ob mein PC den Geräteschutz vollständig unterstützt?

Öffnen Sie die Geräteschutz-Seite und prüfen Sie die Meldung im unteren Bereich. Steht dort „Vollständige Sicherheit auf Hardwarebasis“, erfüllt Ihr Gerät alle relevanten Anforderungen.

Warum ist der Schalter für Speicherintegrität ausgegraut?

Dies deutet meist auf eine zentral verwaltete Gruppenrichtlinie hin, beispielsweise im Firmenumfeld. Zusätzlich kann ein inkompatibler Treiber die automatische Deaktivierung durch Windows selbst ausgelöst haben.

Muss ich nach dem Aktivieren des Geräteschutzes den PC neu starten?

Ja, sowohl das Ein- als auch das Ausschalten von Kernisolation und Speicherintegrität erfordert stets einen Neustart, damit die Änderung tatsächlich wirksam wird.

Beeinträchtigt der Geräteschutz die Gaming-Leistung?

Bei moderner Hardware fällt der Effekt üblicherweise kaum messbar aus. Lediglich bei älteren Systemen oder in Kombination mit bestimmten Anti-Cheat-Systemen kann es vereinzelt zu Kompatibilitätsproblemen kommen.

Wie setze ich den Geräteschutz auf die Standardeinstellungen zurück?

Öffnen Sie die jeweilige Detailseite, etwa „Details zu Kernisolation“, und aktivieren Sie dort sämtliche Funktionen erneut. Zusätzlich sollten Sie im UEFI-BIOS prüfen, ob Secure Boot sowie TPM aktiviert sind, da diese beiden Komponenten unabhängig von der Windows-Sicherheit-App verwaltet werden.

Fazit

Der Geräteschutz bündelt zentrale Hardware-Sicherheitsfunktionen wie Kernisolation, Secure Boot und TPM an einer Stelle. Für die meisten Anwender lohnt sich deshalb eine dauerhaft aktivierte Konfiguration, da diese zusätzlichen Schutz bietet, ohne die Systemleistung spürbar zu beeinträchtigen.

Bei einzelnen Kompatibilitätsproblemen genügt oft eine vorübergehende Deaktivierung der betroffenen Funktion. Anschließend sollten Sie den Schutz jedoch zeitnah wieder einschalten.