Windows 11/10: Microsoft Defender-Ausschlüsse hinzufügen, entfernen

Microsoft Defender-Ausschlüsse in Windows 11/10 hinzufügen oder entfernen: Dateien, Ordner, Prozesse und Dateitypen von der Prüfung ausnehmen.

Microsoft Defender scannt unter Windows 11 und Windows 10 permanent Dateien, Ordner und Prozesse, wodurch harmlose Programme gelegentlich fälschlicherweise blockiert werden. Über die Ausschlüsse in den Einstellungen zu Viren- und Bedrohungsschutz legen Sie fest, welche Dateien, Ordner, Dateitypen oder Prozesse von der Prüfung ausgenommen werden.

Dieser Beitrag zeigt Schritt für Schritt, wie Sie solche Ausschlüsse hinzufügen, verwalten und bei Bedarf wieder entfernen.

Was sind Microsoft Defender-Ausschlüsse und wann sind sie sinnvoll?

Microsoft Defender ist der in Windows 11 sowie in Windows 10 integrierte Echtzeitschutz gegen Viren, Ransomware und andere Schadsoftware. Standardmäßig überprüft er jede Datei, die geöffnet, kopiert oder ausgeführt wird. Dadurch entsteht allerdings zusätzliche Systemlast, weshalb bestimmte Anwendungen spürbar langsamer laufen.

Ein Ausschluss (auch Ausnahme genannt) weist Defender an, ein bestimmtes Element bei zukünftigen Scans zu ignorieren. Das ist beispielsweise sinnvoll bei:

• Entwicklungsordnern, etwa Projektverzeichnissen mit vielen kleinen Dateien
• Spiele-Installationsordnern, da Defender hier zu Rucklern führen kann
• Virtuellen Maschinen, deren Abbilddateien (VHD/VHDX) sonst wiederholt geprüft werden
• Backup-Software, die häufig große Datenmengen verarbeitet
• Fälschlicherweise blockierten Programmen (sogenannte False Positives)

Zudem nutzen einige Nutzer Ausschlüsse für Cloud-Speicherordner wie OneDrive-Synchronisationsverzeichnisse, weil dort ständige Dateizugriffe stattfinden. Wichtig ist jedoch: Jeder Ausschluss reduziert gleichzeitig das Schutzniveau, weshalb er mit Bedacht eingesetzt werden sollte.

Vorbereitung: Das sollten Sie vor dem Hinzufügen beachten

Bevor Sie einen Ausschluss anlegen, lohnt sich ein kurzer Blick auf einige Voraussetzungen. Zunächst benötigen Sie Administratorrechte auf dem betreffenden Windows-Gerät, da die Einstellungen sonst gesperrt sind. Anschließend sollten Sie sicherstellen, dass die Datei oder der Ordner tatsächlich vertrauenswürdig ist, denn ein Ausschluss öffnet potenziell eine Sicherheitslücke.

Außerdem ist zu beachten, dass in Firmenumgebungen der Microsoft Defender häufig über eine zentrale Richtlinie (Gruppenrichtlinie oder Microsoft Intune) verwaltet wird. In diesem Fall lassen sich lokale Ausschlüsse teilweise nicht speichern oder werden vom Administrator wieder überschrieben. Zusätzlich ist wichtig, dass Ausschlüsse so spezifisch wie möglich formuliert werden, damit nicht versehentlich ganze Laufwerke ungeschützt bleiben.

Microsoft Defender-Ausschluss über die Windows-Sicherheit App hinzufügen

Der gängigste Weg, um einen Ausschluss anzulegen, führt über die App Windows-Sicherheit. Dieses Vorgehen funktioniert unter Windows 11 sowie unter Windows 10 nahezu identisch, lediglich das Design der Fenster unterscheidet sich geringfügig.

Schritt-für-Schritt-Anleitung

1. Öffnen Sie das Startmenü und geben Sie Windows-Sicherheit ein. Klicken Sie anschließend auf die gleichnamige App. Alternativ drücken Sie die Tastenkombination Windows + R, tippen windowsdefender: ein und bestätigen mit Enter.
2. Klicken Sie in der linken Seitenleiste auf das Schutzschild-Symbol Viren- & Bedrohungsschutz.
3. Scrollen Sie zum Abschnitt Einstellungen für Viren- & Bedrohungsschutz und klicken Sie dort auf Einstellungen verwalten.
4. Scrollen Sie auf der folgenden Seite nach unten bis zur Überschrift Ausschlüsse. Klicken Sie dort auf Ausschlüsse hinzufügen oder entfernen.
5. Bestätigen Sie die Nachfrage der Benutzerkontensteuerung mit Ja, damit sich das Fenster öffnet.
6. Klicken Sie auf + Ausschluss hinzufügen. Daraufhin öffnet sich ein Auswahlmenü mit vier Optionen: Datei, Ordner, Dateityp und Prozess.
7. Wählen Sie die passende Option aus und navigieren Sie zur gewünschten Datei beziehungsweise zum gewünschten Ordner. Bestätigen Sie Ihre Auswahl mit Öffnen beziehungsweise Diesen Ordner auswählen.

Sobald der Vorgang abgeschlossen ist, erscheint der neue Eintrag in der Liste der Ausschlüsse. Ab diesem Zeitpunkt überspringt Defender das ausgewählte Element bei zukünftigen Echtzeit- und geplanten Scans.

Ausschlusstypen im Überblick: Datei, Ordner, Dateityp, Prozess

Microsoft Defender unterscheidet zwischen vier verschiedenen Ausschlussarten. Je nach Anwendungsfall eignet sich ein anderer Typ besser, weshalb sich ein genauerer Blick lohnt.

• Datei: Schließt eine einzelne, konkret ausgewählte Datei aus, zum Beispiel eine ausführbare EXE-Datei. Dieser Typ ist am präzisesten und daher aus Sicherheitssicht zu bevorzugen.
• Ordner: Schließt ein komplettes Verzeichnis samt aller Unterordner aus. Das eignet sich besonders für Projektordner oder Installationsverzeichnisse von Software.
• Dateityp: Schließt alle Dateien mit einer bestimmten Endung aus, etwa .iso oder .vhdx. Da dieser Ausschluss systemweit gilt, sollte er nur bei Dateitypen verwendet werden, die eindeutig unkritisch sind.
• Prozess: Schließt einen laufenden Prozess anhand seines Dateinamens aus, beispielsweise backup.exe. Dadurch werden auch Dateien ignoriert, die dieser Prozess erstellt, selbst wenn sie an anderen Speicherorten liegen.

Grundsätzlich gilt: Je enger ein Ausschluss gefasst ist, desto geringer bleibt das Sicherheitsrisiko. Deshalb empfiehlt sich in den meisten Fällen ein Datei- oder Ordner-Ausschluss anstelle eines pauschalen Dateityp-Ausschlusses.

Microsoft Defender-Ausschluss per PowerShell hinzufügen

Wer mehrere Ausschlüsse gleichzeitig anlegen oder den Vorgang automatisieren möchte, kann alternativ die PowerShell verwenden. Diese Methode eignet sich besonders für erfahrene Nutzer sowie für IT-Administratoren.

Schritt-für-Schritt-Anleitung

1. Öffnen Sie das Startmenü, geben Sie PowerShell ein und klicken Sie mit der rechten Maustaste auf den Eintrag. Wählen Sie anschließend Als Administrator ausführen.
2. Bestätigen Sie die Nachfrage der Benutzerkontensteuerung mit Ja.
3. Um einen Ordner auszuschließen, geben Sie folgenden Befehl ein und passen Sie den Pfad an:
   Add-MpPreference -ExclusionPath "C:\Beispielordner"
4. Um eine Dateiendung auszuschließen, verwenden Sie:
   Add-MpPreference -ExclusionExtension ".iso"
5. Um einen Prozess auszuschließen, verwenden Sie:
   Add-MpPreference -ExclusionProcess "programmname.exe"
6. Bestätigen Sie jede Eingabe mit der Eingabetaste. Erfolgt keine Fehlermeldung, wurde der Ausschluss übernommen.

Zusätzlich lässt sich mit dem Befehl Get-MpPreference jederzeit die vollständige Liste aller aktuell gesetzten Ausschlüsse anzeigen. Dadurch behalten Sie auch bei mehreren Einträgen den Überblick.

Microsoft Defender-Ausschluss per Gruppenrichtlinie hinzufügen

In Unternehmensnetzwerken sowie auf Geräten mit Windows 11 Pro, Windows 11 Enterprise, Windows 10 Pro oder Windows 10 Enterprise lassen sich Ausschlüsse ebenso über den Editor für lokale Gruppenrichtlinien festlegen. Diese Methode bietet sich an, wenn mehrere Geräte zentral konfiguriert werden sollen.

1. Drücken Sie Windows + R, geben Sie gpedit.msc ein und bestätigen Sie mit Enter.
2. Navigieren Sie zu Computerkonfiguration → Administrative Vorlagen → Windows-Komponenten → Microsoft Defender Antivirus → Ausschlüsse.
3. Doppelklicken Sie auf die passende Richtlinie, beispielsweise Pfad- und Prozessausschlüsse angeben.
4. Wählen Sie Aktiviert aus und klicken Sie anschließend auf Anzeigen, um die gewünschten Pfade einzutragen.
5. Bestätigen Sie mit OK und schließen Sie den Editor.

Da diese Einstellung systemweit wirkt, sollte sie ausschließlich von erfahrenen Administratoren vorgenommen werden. Andernfalls besteht das Risiko, dass Ausschlüsse versehentlich auf zu viele Geräte angewendet werden.

Microsoft Defender-Ausschluss entfernen

Ebenso wichtig wie das Hinzufügen ist das spätere Entfernen nicht mehr benötigter Ausschlüsse. Auch hierfür stehen mehrere Wege zur Verfügung.

Über die Windows-Sicherheit App

1. Öffnen Sie erneut Windows-Sicherheit und wechseln Sie zu Viren- & Bedrohungsschutz.
2. Klicken Sie auf Einstellungen verwalten und anschließend auf Ausschlüsse hinzufügen oder entfernen.
3. Klicken Sie auf den gewünschten Eintrag in der Liste, sodass ein Papierkorb-Symbol erscheint.
4. Klicken Sie auf das Papierkorb-Symbol und bestätigen Sie die Sicherheitsabfrage.

Über die PowerShell

Zum Entfernen eines Ausschlusses per PowerShell dient der Befehl Remove-MpPreference. Ein Beispiel für das Entfernen eines Ordnerausschlusses lautet:

Remove-MpPreference -ExclusionPath "C:\Beispielordner"

Analog dazu funktionieren -ExclusionExtension sowie -ExclusionProcess mit dem entsprechenden Wert. Nach der Ausführung überprüft Defender das betroffene Element wieder regulär bei jedem Scan.

Häufige Probleme und Lösungen

Gelegentlich funktioniert das Hinzufügen von Ausschlüssen nicht wie erwartet. Deshalb folgen an dieser Stelle die häufigsten Ursachen sowie passende Lösungsansätze.

• Die Schaltfläche „Ausschluss hinzufügen“ ist ausgegraut: Dies deutet meist darauf hin, dass die Einstellung durch eine Gruppenrichtlinie oder durch eine Unternehmensrichtlinie (Microsoft Intune) gesperrt wurde. In diesem Fall hilft nur eine Änderung durch den zuständigen Administrator.

2. Der Ausschluss wird nicht gespeichert: Häufig liegt dies an fehlenden Administratorrechten. Melden Sie sich testweise mit einem Administratorkonto an und wiederholen Sie den Vorgang.
3. Manipulationsschutz verhindert Änderungen: Ist der sogenannte Manipulationsschutz aktiviert, lassen sich bestimmte Sicherheitseinstellungen nicht über die PowerShell ändern. Deaktivieren Sie ihn testweise unter Viren- & Bedrohungsschutz → Einstellungen verwalten, sofern dies in Ihrer Umgebung vertretbar ist.
4. Der Ausschluss zeigt keine Wirkung: Prüfen Sie, ob der Pfad korrekt geschrieben wurde, da bereits ein einzelner Tippfehler den gesamten Ausschluss unwirksam macht. Zusätzlich sollte ein vollständiger Neustart des Geräts erfolgen, damit die Änderung sicher greift.

Sicherheitsrisiken bei Ausschlüssen: Das sollten Sie beachten

Jeder angelegte Ausschluss stellt gleichzeitig einen blinden Fleck im Schutzsystem dar. Deshalb sollten ausschließlich Elemente ausgeschlossen werden, deren Herkunft eindeutig geklärt ist. Zudem empfiehlt es sich, Ausschlüsse regelmäßig zu überprüfen und nicht mehr benötigte Einträge zeitnah zu entfernen.

Besonders riskant sind pauschale Ausschlüsse ganzer Laufwerke wie C:\ oder weit verbreiteter Dateitypen wie .exe, da hierdurch praktisch der gesamte Echtzeitschutz ausgehebelt wird. Stattdessen sollten Sie stets so eng wie möglich eingrenzen, beispielsweise nur einen einzelnen Unterordner statt eines kompletten Laufwerks. Ergänzend lohnt sich der Einsatz eines zusätzlichen Malware-Scanners wie Malwarebytes, um ausgeschlossene Bereiche gelegentlich manuell zu überprüfen.

Häufige Fragen zu Defender-Ausschlüssen

Wie viele Ausschlüsse kann ich in Microsoft Defender anlegen?

Microsoft gibt keine feste Obergrenze für die Anzahl der Ausschlüsse an. Allerdings sollte die Liste aus Sicherheitsgründen so kurz wie möglich gehalten werden, da jeder zusätzliche Eintrag das Schutzniveau weiter senkt.

Wirken sich Ausschlüsse auf den geplanten Scan ebenfalls aus?

Ja, ein Ausschluss gilt sowohl für den Echtzeitschutz als auch für vollständige und schnelle Scans. Somit wird das betreffende Element in keinem der Prüfmodi mehr berücksichtigt.

Funktioniert das Hinzufügen von Ausschlüssen auch in Windows 11 Home?

Ja, die Funktion steht ebenso in Windows 11 Home sowie in Windows 10 Home zur Verfügung. Lediglich die Verwaltung über Gruppenrichtlinien bleibt den Pro- und Enterprise-Editionen vorbehalten.

Warum lässt sich mein Ausschluss nicht speichern?

Meistens liegt die Ursache entweder an fehlenden Administratorrechten oder an einer zentral verwalteten Sicherheitsrichtlinie. Prüfen Sie zunächst Ihre Benutzerrechte, bevor Sie weitere Schritte unternehmen.

Kann ich Netzwerkordner als Ausschluss angeben?

Ja, grundsätzlich lassen sich auch Netzwerkpfade als Ausschluss hinterlegen. Allerdings sollte dies nur erfolgen, wenn der Netzwerkspeicherort vollständig vertrauenswürdig ist, da sonst ein zusätzliches Risiko für das gesamte Netzwerk entsteht.

Muss ich den Computer nach dem Hinzufügen eines Ausschlusses neu starten?

In den meisten Fällen greift der Ausschluss sofort, ohne dass ein Neustart erforderlich ist. Zeigt sich dennoch keine Wirkung, sollte ergänzend ein Neustart durchgeführt werden.

Erkennt Defender trotzdem Bedrohungen in ausgeschlossenen Ordnern?

Nein, innerhalb eines ausgeschlossenen Ordners findet grundsätzlich keine Überprüfung mehr statt. Deshalb sollten ausschließlich geprüfte und vertrauenswürdige Inhalte in solchen Ordnern abgelegt werden.

Wie kann ich alle Ausschlüsse auf einmal entfernen?

Über die PowerShell lässt sich mit dem Befehl Set-MpPreference -ExclusionPath $null die komplette Liste der Pfad-Ausschlüsse zurücksetzen. Für Dateitypen sowie Prozesse existieren die entsprechenden Parameter -ExclusionExtension und -ExclusionProcess.

Kann ein Antivirenprogramm eines Drittanbieters die Defender-Ausschlüsse beeinflussen?

Sobald ein zusätzliches Antivirenprogramm installiert wird, deaktiviert sich der Echtzeitschutz von Microsoft Defender in der Regel automatisch. In diesem Fall greifen ausschließlich die Ausschlüsse der aktiven Drittanbieter-Software.

Fazit

Ausschlüsse in Microsoft Defender lassen sich unter Windows 11 und Windows 10 sowohl über die Windows-Sicherheit App als auch per PowerShell oder Gruppenrichtlinie einrichten. Dabei sollten stets nur eindeutig vertrauenswürdige Dateien, Ordner oder Prozesse ausgeschlossen werden.

Da jeder Ausschluss das Schutzniveau senkt, empfiehlt sich eine regelmäßige Kontrolle der Liste sowie das zeitnahe Entfernen nicht mehr benötigter Einträge.