Microsoft Defender Application Guard in Windows 11 und 10 aktivieren oder deaktivieren – so schützen Sie Edge und Office in isolierter Umgebung.
Sie möchten Microsoft Defender Application Guard aktivieren oder deaktivieren? Dazu öffnen Sie mit Windows + R den Befehl optionalfeatures, setzen bzw. entfernen den Haken bei „Microsoft Defender Application Guard“ und starten den PC neu. Alternativ klappt das ebenso per PowerShell, DISM oder Gruppenrichtlinie.
Beachten Sie jedoch: Ab Windows 11 24H2 fehlt die Funktion komplett. Deshalb zeigt dieser Ratgeber zusätzlich, wie Sie Probleme beheben und welche sicheren Alternativen 2026 sinnvoll sind.
Was ist Microsoft Defender Application Guard?
Microsoft Defender Application Guard (kurz MDAG, früher Windows Defender Application Guard bzw. WDAG) ist eine Sicherheitsfunktion von Windows. Sie öffnet nicht vertrauenswürdige Webseiten und Dokumente in einem isolierten Container.
Dieser Container basiert auf Hyper-V. Er ist also eine kleine, abgeschottete virtuelle Maschine. Schadsoftware, die dort landet, kommt deshalb nicht an Ihr eigentliches System, Ihre Dateien oder Ihr Firmennetzwerk heran.
Sobald Sie das Fenster schließen, verwirft Windows den Container zudem vollständig. Dadurch verschwinden auch eventuell eingeschleuste Schädlinge.
So funktioniert die Isolation im Detail
Application Guard arbeitet nach einem einfachen Prinzip:
- Vertrauenswürdige Seiten (zum Beispiel das Firmen-Intranet) öffnen sich ganz normal im Browser.
- Unbekannte oder nicht vertrauenswürdige Seiten landen dagegen automatisch im isolierten Container.
- Der Container hat keinen Zugriff auf lokale Speicher, Anmeldedaten oder andere Programme.
- Nach dem Schließen löscht Windows den Container samt Inhalt.
Die zwei Betriebsmodi
Außerdem gibt es zwei unterschiedliche Modi:
- Eigenständiger Modus (Standalone Mode): Sie öffnen selbst manuell ein Application Guard-Fenster in Microsoft Edge. Dieser Modus ist vor allem für Windows 10/11 Pro gedacht.
- Verwalteter Modus (Enterprise Managed Mode): Ein Administrator legt per Gruppenrichtlinie oder Microsoft Intune fest, welche Seiten als vertrauenswürdig gelten. Edge leitet alle anderen Seiten dann automatisch in den Container um.
Application Guard für Edge und für Office
Ursprünglich schützte die Funktion nur Microsoft Edge. Später kam zusätzlich Application Guard für Office hinzu. Damit öffneten sich Word-, Excel- und PowerPoint-Dateien aus unsicheren Quellen ebenfalls im Container.
Darüber hinaus gab es zeitweise Erweiterungen für Google Chrome und Mozilla Firefox. Diese hat Microsoft jedoch bereits eingestellt.
Aktueller Stand 2026: Gibt es Application Guard noch?
Bevor Sie Application Guard aktivieren, sollten Sie den aktuellen Stand kennen. Denn die Funktion befindet sich im Auslaufen.
Microsoft hat MDAG im Dezember 2023 für Microsoft Edge for Business als veraltet eingestuft. Seit Windows 11 Version 24H2, erschienen im Oktober 2024, ist MDAG nicht mehr verfügbar.
Für Sie bedeutet das konkret:
- Windows 11 24H2 und 25H2: Application Guard ist komplett entfernt. Sie finden den Eintrag in den Windows-Features deshalb gar nicht mehr.
- Windows 11 23H2 und älter: Die Funktion ist noch vorhanden. Allerdings läuft der Support für Windows 11 23H2 Enterprise und Education am 10. November 2026 aus – danach gibt es keine Updates mehr.
- Windows 10: Application Guard funktioniert technisch weiterhin. Jedoch endete der reguläre Support für Windows 10 bereits am 14. Oktober 2025.
- Microsoft Edge: Microsoft hat angekündigt, die Unterstützung für Application Guard in Edge bis Ende September 2026 zu beenden. Aktuelle Edge-Versionen bieten den Modus deshalb unter Umständen nicht mehr an.
- Microsoft Office: Laut Microsoft wird Application Guard bis Dezember 2027 aus Office entfernt, Dateien öffnen sich dann in der geschützten Ansicht.
Kurz gesagt: Für die meisten Nutzer ist Application Guard 2026 nur noch auf älteren Systemen relevant. Trotzdem gibt es Situationen, in denen Sie die Funktion noch aktivieren oder gezielt deaktivieren möchten – etwa auf Windows 10 LTSC, in Firmenumgebungen mit Altgeräten oder vor einem Upgrade.
Windows-Version prüfen
Zunächst sollten Sie daher herausfinden, welche Windows-Version auf Ihrem PC läuft. So geht’s:
- Drücken Sie Windows + R.
- Geben Sie winver ein.
- Bestätigen Sie mit Enter.
- Im Fenster sehen Sie nun die Version (zum Beispiel „23H2“ oder „24H2“) und die Edition.
Steht dort 24H2 oder 25H2, können Sie Application Guard nicht mehr aktivieren. In diesem Fall springen Sie am besten direkt zum Abschnitt mit den Alternativen.
Voraussetzungen für Defender Application Guard
Damit Application Guard überhaupt startet, muss Ihr PC einige Bedingungen erfüllen. Fehlt eine davon, ist die Option in den Windows-Features häufig ausgegraut.
Unterstützte Windows-Editionen
- Windows 10/11 Pro
- Windows 10/11 Enterprise
- Windows 10/11 Education
- Windows 10 Enterprise LTSC (zum Beispiel LTSC 2019 und LTSC 2021)
Windows 10/11 Home unterstützt Application Guard dagegen nicht. Ebenso fehlt die Funktion in allen Versionen ab Windows 11 24H2.
Hardware-Anforderungen
Zusätzlich benötigt Ihr Gerät folgende Hardware:
- 64-Bit-Prozessor mit mindestens 4 Kernen (empfohlen)
- Hardware-Virtualisierung: Intel VT-x oder AMD-V
- SLAT (Second Level Address Translation): bei Intel „EPT“, bei AMD „RVI“
- Arbeitsspeicher: mindestens 8 GB RAM
- Festplattenspeicher: mindestens 5 GB freier Platz, idealerweise auf einer SSD
Außerdem muss die Virtualisierung im BIOS bzw. UEFI eingeschaltet sein.
Virtualisierung prüfen
Ob die Virtualisierung aktiv ist, sehen Sie schnell im Task-Manager:
- Drücken Sie Strg + Umschalt + Esc.
- Wechseln Sie zum Bereich „Leistung“.
- Klicken Sie auf „CPU“.
- Rechts unten steht der Eintrag „Virtualisierung“.
Steht dort „Aktiviert“, ist alles in Ordnung. Steht dort jedoch „Deaktiviert“, müssen Sie die Funktion zuerst im BIOS einschalten.
Virtualisierung im BIOS/UEFI aktivieren
Die genaue Bezeichnung hängt vom Hersteller ab. Dennoch ist der Ablauf meist ähnlich:
- Öffnen Sie Einstellungen mit Windows + I.
- Gehen Sie unter Windows 11 zu „System“ > „Wiederherstellung“, unter Windows 10 zu „Update und Sicherheit“ > „Wiederherstellung“.
- Klicken Sie bei „Erweiterter Start“ auf „Jetzt neu starten“.
- Wählen Sie „Problembehandlung“ > „Erweiterte Optionen“ > „UEFI-Firmwareeinstellungen“.
- Klicken Sie auf „Neu starten“.
- Suchen Sie im BIOS nach „Intel Virtualization Technology“, „VT-x“, „SVM Mode“ oder „AMD-V“.
- Stellen Sie die Option auf „Enabled“.
- Speichern Sie mit F10 und starten Sie neu.
Anschließend können Sie Application Guard einrichten.
Methode 1: Application Guard über die Windows-Features aktivieren
Der einfachste Weg führt über die optionalen Windows-Features. Diese Methode eignet sich besonders für Privatnutzer und kleine Büros mit Windows 10/11 Pro.
- Drücken Sie Windows + R.
- Geben Sie optionalfeatures ein und drücken Sie Enter.
- Das Fenster „Windows-Features aktivieren oder deaktivieren“ öffnet sich.
- Scrollen Sie zum Eintrag „Microsoft Defender Application Guard“.
- Setzen Sie einen Haken davor.
- Klicken Sie auf „OK“.
- Windows installiert nun die benötigten Komponenten.
- Klicken Sie danach auf „Jetzt neu starten“.
Nach dem Neustart ist Application Guard einsatzbereit.
Tipp: Alternativ erreichen Sie das Fenster ebenso über die Systemsteuerung. Öffnen Sie dazu „Systemsteuerung“ > „Programme“ > „Programme und Features“ und klicken Sie links auf „Windows-Features aktivieren oder deaktivieren“.
Option ist ausgegraut?
Ist der Haken nicht anklickbar, liegt das meist an einem dieser Gründe:
- Die Virtualisierung ist im BIOS deaktiviert.
- Ihr PC hat zu wenig RAM (unter 8 GB).
- Sie nutzen Windows Home.
- Der Prozessor unterstützt kein SLAT.
Fehlt der Eintrag dagegen völlig, nutzen Sie sehr wahrscheinlich Windows 11 24H2 oder neuer.
Methode 2: Application Guard per PowerShell aktivieren
Mit der PowerShell geht es schneller – vor allem, wenn Sie mehrere PCs einrichten. Zudem lässt sich der Befehl leicht in Skripte einbauen.
- Klicken Sie mit der rechten Maustaste auf das Startmenü.
- Wählen Sie unter Windows 11 „Terminal (Administrator)“, unter Windows 10 „Windows PowerShell (Administrator)“.
- Bestätigen Sie die Benutzerkontensteuerung mit „Ja“.
- Geben Sie folgenden Befehl ein:
Enable-WindowsOptionalFeature -Online -FeatureName Windows-Defender-ApplicationGuard
- Drücken Sie Enter.
- Bestätigen Sie die Frage nach dem Neustart mit „Y“ bzw. „J“.
Status in der PowerShell prüfen
Außerdem können Sie jederzeit prüfen, ob die Funktion aktiv ist:
Get-WindowsOptionalFeature -Online -FeatureName Windows-Defender-ApplicationGuard
In der Zeile „State“ steht dann entweder „Enabled“ (aktiviert) oder „Disabled“ (deaktiviert). Meldet die PowerShell hingegen, dass das Feature unbekannt ist, wurde es aus Ihrer Windows-Version bereits entfernt.
Methode 3: Application Guard per Eingabeaufforderung (DISM) aktivieren
Bevorzugen Sie die klassische Eingabeaufforderung, nutzen Sie das Werkzeug DISM. Das Ergebnis ist dasselbe.
- Drücken Sie die Windows-Taste.
- Tippen Sie cmd ein.
- Klicken Sie auf „Als Administrator ausführen“.
- Geben Sie diesen Befehl ein:
dism /online /enable-feature /featurename:Windows-Defender-ApplicationGuard
- Drücken Sie Enter.
- Starten Sie den PC nach Abschluss neu.
Zusätzlich zeigt Ihnen folgender Befehl den aktuellen Status an:
dism /online /get-featureinfo /featurename:Windows-Defender-ApplicationGuard
Methode 4: Application Guard per Gruppenrichtlinie aktivieren
In Unternehmen nutzen Administratoren meist den verwalteten Modus. Dafür brauchen Sie den Editor für lokale Gruppenrichtlinien. Dieser steht nur in Pro, Enterprise und Education zur Verfügung.
Wichtig: Zuerst müssen Sie das Feature über Methode 1, 2 oder 3 installieren. Erst danach greift die Richtlinie.
Application Guard im verwalteten Modus einschalten
- Drücken Sie Windows + R.
- Geben Sie gpedit.msc ein und drücken Sie Enter.
- Navigieren Sie zu „Computerkonfiguration“ > „Administrative Vorlagen“ > „Windows-Komponenten“ > „Microsoft Defender Application Guard“.
- Doppelklicken Sie auf „Microsoft Defender Application Guard im verwalteten Modus aktivieren“.
- Wählen Sie „Aktiviert“.
- Legen Sie unter „Optionen“ fest, wofür die Funktion gilt:
- 1 = nur Microsoft Edge
- 2 = nur Microsoft Office
- 3 = Edge und Office
- Klicken Sie auf „OK“.
- Starten Sie den PC neu oder geben Sie in der Eingabeaufforderung gpupdate /force ein.
Vertrauenswürdige Seiten festlegen
Damit Edge weiß, welche Seiten sicher sind, definieren Sie zusätzlich die Netzwerkisolation:
- Öffnen Sie im Gruppenrichtlinien-Editor „Computerkonfiguration“ > „Administrative Vorlagen“ > „Netzwerk“ > „Netzwerkisolation“.
- Bearbeiten Sie die Richtlinie für Unternehmensressourcendomänen, die in der Cloud gehostet werden.
- Tragen Sie Ihre vertrauenswürdigen Domains ein (zum Beispiel intranet.firma.de).
- Ergänzen Sie bei Bedarf ebenso die privaten Netzwerkbereiche Ihres Unternehmens.
Alle Seiten, die nicht in diesen Listen stehen, öffnet Edge daraufhin automatisch im Container.
Weitere nützliche Richtlinien
Im selben Ordner „Microsoft Defender Application Guard“ finden Sie außerdem Richtlinien für:
- Zwischenablage (Kopieren und Einfügen zwischen Container und System)
- Drucken aus dem Container
- Datenpersistenz (zum Beispiel gespeicherte Cookies oder Favoriten)
- Kamera- und Mikrofonzugriff
- Hardwarebeschleunigtes Rendering
- Herunterladen von Dateien auf das Hostsystem
Methode 5: Application Guard mit Microsoft Intune verwalten
Verwalten Sie viele Geräte zentral, ist Microsoft Intune der bequemste Weg. So gehen Sie vor:
- Melden Sie sich im Microsoft Intune Admin Center an.
- Öffnen Sie „Endpunktsicherheit“ > „Verringerung der Angriffsfläche“.
- Klicken Sie auf „Richtlinie erstellen“.
- Wählen Sie als Plattform Windows 10 und höher.
- Wählen Sie das Profil „App- und Browserisolation“.
- Aktivieren Sie Application Guard und legen Sie den Umfang fest (Edge, Office oder beides).
- Konfigurieren Sie Zwischenablage, Drucken und weitere Optionen.
- Weisen Sie die Richtlinie den gewünschten Gerätegruppen zu.
Beachten Sie jedoch: Auf Geräten mit Windows 11 24H2 oder neuer hat diese Richtlinie keine Wirkung mehr.
Defender Application Guard deaktivieren
Möchten Sie Application Guard wieder loswerden, gibt es ebenfalls mehrere Wege. Das Deaktivieren lohnt sich zum Beispiel, wenn:
- die Funktion Leistung und Arbeitsspeicher frisst,
- Sie andere Virtualisierungssoftware wie VMware oder VirtualBox ohne Konflikte nutzen möchten,
- Sie ein Upgrade auf Windows 11 24H2/25H2 vorbereiten,
- oder Sie die Funktion schlicht nicht mehr benötigen.
Über die Windows-Features deaktivieren
- Drücken Sie Windows + R.
- Geben Sie optionalfeatures ein.
- Entfernen Sie den Haken bei „Microsoft Defender Application Guard“.
- Klicken Sie auf „OK“.
- Starten Sie den PC neu.
Per PowerShell deaktivieren
Öffnen Sie die PowerShell als Administrator und geben Sie Folgendes ein:
Disable-WindowsOptionalFeature -Online -FeatureName Windows-Defender-ApplicationGuard
Bestätigen Sie anschließend den Neustart.
Per DISM deaktivieren
Alternativ funktioniert das ebenso in der Eingabeaufforderung mit Administratorrechten:
dism /online /disable-feature /featurename:Windows-Defender-ApplicationGuard
Gruppenrichtlinie zurücksetzen
Haben Sie den verwalteten Modus per Gruppenrichtlinie eingerichtet, sollten Sie diese zusätzlich zurücksetzen:
- Öffnen Sie gpedit.msc.
- Navigieren Sie zu „Computerkonfiguration“ > „Administrative Vorlagen“ > „Windows-Komponenten“ > „Microsoft Defender Application Guard“.
- Setzen Sie „Microsoft Defender Application Guard im verwalteten Modus aktivieren“ auf „Nicht konfiguriert“ oder „Deaktiviert“.
- Führen Sie gpupdate /force aus.
Andernfalls kann es passieren, dass Edge weiterhin nach dem Container sucht und Fehlermeldungen anzeigt.
Application Guard in Microsoft Edge nutzen
Nach der Aktivierung können Sie Application Guard im eigenständigen Modus direkt in Edge starten – sofern Ihre Edge-Version die Funktion noch unterstützt.
- Öffnen Sie Microsoft Edge.
- Klicken Sie oben rechts auf die drei Punkte (…).
- Wählen Sie „Neues Application Guard-Fenster“.
- Ein neues Fenster öffnet sich. Es startet beim ersten Mal etwas langsamer, weil Windows den Container hochfährt.
- Surfen Sie darin wie gewohnt.
Ein Application Guard-Fenster erkennen Sie am Application-Guard-Symbol in der Taskleiste sowie an einem entsprechenden Hinweis im Fenster.
Fehlt der Menüeintrag, kann das mehrere Gründe haben:
- Das Feature ist nicht installiert oder der PC wurde nicht neu gestartet.
- Ihr System ist Windows 11 24H2 oder neuer.
- Ihre Edge-Version unterstützt Application Guard nicht mehr.
- Ein Administrator hat den verwalteten Modus aktiviert. Dann öffnet Edge den Container automatisch statt über das Menü.
Application Guard-Einstellungen anpassen
Im eigenständigen Modus legen Sie die Einstellungen direkt in der Windows-Sicherheit fest. So geht’s:
- Öffnen Sie das Startmenü und tippen Sie „Windows-Sicherheit“ ein.
- Klicken Sie auf „App- & Browsersteuerung“.
- Scrollen Sie zum Bereich „Isoliertes Browsen“.
- Klicken Sie auf „Application Guard-Einstellungen ändern“.
Hier können Sie unter anderem Folgendes ein- oder ausschalten:
- Kopieren und Einfügen zwischen Container und Ihrem PC
- Drucken von Dateien aus dem Container
- Speichern von Daten wie Favoriten oder Cookies über Sitzungen hinweg
- Kamera und Mikrofon
- Erweiterte Grafik (Hardwarebeschleunigung)
- Herunterladen von Dateien auf den Host
Jede Freigabe macht den Alltag zwar bequemer. Gleichzeitig senkt sie jedoch das Schutzniveau. Deshalb sollten Sie nur aktivieren, was Sie tatsächlich brauchen.
Empfehlung: Lassen Sie Zwischenablage, Downloads und Kamera/Mikrofon deaktiviert. Aktivieren Sie dagegen bei Bedarf die erweiterte Grafik, damit Videos flüssiger laufen.
Application Guard für Office
Application Guard für Office öffnete Dokumente aus dem Internet, aus E-Mail-Anhängen oder aus unsicheren Speicherorten in einem isolierten Container. Voraussetzung waren dafür Microsoft 365 Apps sowie eine passende Lizenz (zum Beispiel Microsoft 365 E5).
Inzwischen läuft diese Funktion jedoch aus. Ab Office-Version 2602 (Februar 2026) liefert Microsoft sie nicht mehr mit aus. Stattdessen öffnen sich verdächtige Dateien in der geschützten Ansicht.
Die geschützte Ansicht prüfen und einstellen Sie so:
- Öffnen Sie zum Beispiel Word.
- Klicken Sie auf „Datei“ > „Optionen“.
- Wählen Sie „Trust Center“ bzw. „Sicherheitscenter“.
- Klicken Sie auf „Einstellungen für das Trust Center“.
- Öffnen Sie „Geschützte Ansicht“.
- Setzen Sie alle drei Haken, damit Dateien aus dem Internet, aus unsicheren Speicherorten und aus Outlook-Anhängen geschützt geöffnet werden.
Zusätzlich empfiehlt Microsoft Unternehmen, Regeln zur Verringerung der Angriffsfläche (ASR-Regeln) in Microsoft Defender for Endpoint sowie App Control for Business (früher Windows Defender Application Control) zu nutzen.
Probleme mit Application Guard beheben
Application Guard ist relativ empfindlich. Deshalb treten gelegentlich Fehler auf. Die häufigsten Probleme und ihre Lösungen finden Sie hier.
Application Guard startet nicht
Öffnet sich das Fenster nicht oder bricht mit einer Fehlermeldung ab, gehen Sie diese Punkte durch:
- Virtualisierung prüfen: Ist sie im Task-Manager als „Aktiviert“ angezeigt?
- Hyper-V-Komponenten prüfen: Application Guard installiert benötigte Teile automatisch. Dennoch kann ein Neuinstallieren helfen: Feature deaktivieren, neu starten, Feature wieder aktivieren, erneut neu starten.
- Windows aktualisieren: Öffnen Sie Einstellungen > Windows Update und installieren Sie alle verfügbaren Updates.
- Speicherplatz prüfen: Es müssen mindestens 5 GB frei sein.
- Systemdateien reparieren: Öffnen Sie die Eingabeaufforderung als Administrator und führen Sie nacheinander diese Befehle aus:
sfc /scannow
DISM /Online /Cleanup-Image /RestoreHealth
Starten Sie den PC danach neu.
Fehler 0x80070003 oder ähnliche Fehlercodes
Solche Fehlercodes deuten häufig auf beschädigte oder fehlende Komponenten hin. Deaktivieren Sie in diesem Fall Application Guard vollständig, starten Sie neu und aktivieren Sie die Funktion erneut. Zusätzlich hilft oft die oben beschriebene Reparatur mit sfc und DISM.
Konflikte mit VirtualBox oder VMware
Application Guard nutzt Hyper-V. Ältere Versionen von VirtualBox oder VMware Workstation vertragen sich jedoch nicht gut mit Hyper-V. Die Folge sind langsame oder gar nicht startende virtuelle Maschinen.
Für dieses Problem gibt es zwei Lösungen:
- Aktualisieren Sie VirtualBox bzw. VMware auf die neueste Version. Aktuelle Versionen arbeiten mit Hyper-V zusammen.
- Deaktivieren Sie Application Guard, wenn Sie die Funktion nicht zwingend brauchen.
Application Guard in einer virtuellen Maschine nutzen
Möchten Sie Application Guard innerhalb einer Hyper-V-VM testen, brauchen Sie verschachtelte Virtualisierung. Diese schalten Sie auf dem Host-PC mit folgendem PowerShell-Befehl ein (die VM muss dazu ausgeschaltet sein):
Set-VMProcessor -VMName "Name der VM" -ExposeVirtualizationExtensions $true
Ersetzen Sie dabei „Name der VM“ durch den tatsächlichen Namen Ihrer virtuellen Maschine.
Eintrag fehlt nach einem Windows-Update
Ist Application Guard nach einem großen Update plötzlich verschwunden, hat Windows sehr wahrscheinlich auf Version 24H2 oder 25H2 aktualisiert. In diesem Fall können Sie die Funktion nicht zurückholen. Stattdessen sollten Sie auf eine der folgenden Alternativen umsteigen.
Alternativen zu Defender Application Guard
Da Application Guard ausläuft, lohnt sich ein Blick auf die Nachfolger. Allerdings ersetzt keine Lösung die Funktion eins zu eins. Kombiniert bieten sie jedoch einen vergleichbaren Schutz.
Windows-Sandbox
Die Windows-Sandbox ist die naheliegendste Alternative. Sie startet einen kompletten, temporären Windows-Desktop in einer isolierten Umgebung. Darin können Sie verdächtige Programme, Dateien und Webseiten gefahrlos öffnen. Nach dem Schließen ist alles wieder gelöscht.
Die Windows-Sandbox gibt es in Windows 10/11 Pro, Enterprise und Education – auch in Windows 11 24H2 und 25H2.
So aktivieren Sie die Windows-Sandbox:
- Drücken Sie Windows + R.
- Geben Sie optionalfeatures ein.
- Setzen Sie einen Haken bei „Windows-Sandbox“.
- Klicken Sie auf „OK“ und starten Sie den PC neu.
- Suchen Sie anschließend im Startmenü nach „Windows-Sandbox“ und starten Sie die App.
Alternativ klappt es ebenso per PowerShell (als Administrator):
Enable-WindowsOptionalFeature -Online -FeatureName "Containers-DisposableClientVM" -All
Der Nachteil: Die Sandbox ist nicht direkt in Edge oder Office integriert. Sie müssen Dateien bzw. Links daher manuell hineinkopieren.
Microsoft Defender SmartScreen
SmartScreen warnt vor Phishing-Seiten, schädlichen Downloads und unbekannten Apps. Deshalb sollte die Funktion auf jedem Windows-PC aktiv sein.
- Öffnen Sie die Windows-Sicherheit.
- Klicken Sie auf „App- & Browsersteuerung“.
- Wählen Sie „Einstellungen für zuverlässigkeitsbasierten Schutz“.
- Aktivieren Sie alle Schalter, insbesondere „Apps und Dateien überprüfen“, „SmartScreen für Microsoft Edge“ und „Phishingschutz“.
Verbesserte Sicherheit in Microsoft Edge
Edge bietet außerdem einen Modus namens „Verbesserte Sicherheit im Web“. Er schaltet unter anderem die JIT-Kompilierung von JavaScript auf unbekannten Seiten ab und schließt damit viele Angriffswege über Speicherfehler.
- Öffnen Sie Microsoft Edge.
- Klicken Sie auf „…“ > „Einstellungen“.
- Wählen Sie „Datenschutz, Suche und Dienste“.
- Scrollen Sie zum Bereich „Sicherheit“.
- Aktivieren Sie „Verbessern Sie Ihre Sicherheit im Web“.
- Wählen Sie die Stufe „Ausgewogen“ oder – für maximalen Schutz – „Streng“.
Zusätzlich sollten Sie im selben Bereich den Tippfehlerschutz für falsch geschriebene Webadressen aktivieren.
Regeln zur Verringerung der Angriffsfläche (ASR)
In Unternehmen sind ASR-Regeln in Microsoft Defender for Endpoint ein wichtiger Ersatz – vor allem für Application Guard für Office. Sie blockieren zum Beispiel:
- Office-Apps, die untergeordnete Prozesse starten,
- ausführbare Inhalte aus E-Mail-Anhängen,
- verschleierte Skripte,
- sowie Makros, die Win32-API-Aufrufe durchführen.
Administratoren richten ASR-Regeln am besten zentral über Microsoft Intune ein: „Endpunktsicherheit“ > „Verringerung der Angriffsfläche“ > „Richtlinie erstellen“ > Profil „Regeln zur Verringerung der Angriffsfläche“.
App Control for Business
App Control for Business (früher Windows Defender Application Control, WDAC) legt fest, welche Programme überhaupt starten dürfen. Dadurch hat Schadsoftware kaum eine Chance, ausgeführt zu werden. Die Einrichtung ist jedoch aufwendig und eher für IT-Abteilungen gedacht.
Azure Virtual Desktop und Windows 365
Für besonders sensible Umgebungen empfiehlt Microsoft zudem Azure Virtual Desktop oder Windows 365. Dabei läuft das Surfen auf einem virtuellen PC in der Cloud. Ihr lokales Gerät bleibt dadurch komplett unberührt.
Welche Alternative passt zu Ihnen?
- Privatnutzer mit Windows Home: SmartScreen und verbesserte Sicherheit in Edge aktivieren.
- Privatnutzer oder Selbstständige mit Windows Pro: zusätzlich die Windows-Sandbox für verdächtige Dateien und Links nutzen.
- Unternehmen: Defender for Endpoint mit ASR-Regeln, App Control for Business und gegebenenfalls Azure Virtual Desktop kombinieren.
Häufige Fragen zu Defender Application Guard
Ist Defender Application Guard in Windows 11 noch verfügbar?
Nur noch bis einschließlich Windows 11 23H2. Ab Windows 11 24H2 hat Microsoft die Funktion vollständig entfernt. Deshalb finden Sie sie auch in 25H2 nicht mehr. Zudem endet der Support für 23H2 Enterprise und Education am 10. November 2026.
Funktioniert Application Guard unter Windows 10 Home?
Nein. Application Guard steht nur in Windows 10/11 Pro, Enterprise und Education zur Verfügung. In der Home-Edition fehlt der Eintrag in den Windows-Features daher komplett. Als Alternative nutzen Sie dort am besten SmartScreen und die verbesserte Sicherheit in Edge.
Warum ist Application Guard in den Windows-Features ausgegraut?
Meist ist die Hardware-Virtualisierung im BIOS/UEFI deaktiviert. Ebenso kann zu wenig Arbeitsspeicher (unter 8 GB) oder ein Prozessor ohne SLAT die Ursache sein. Prüfen Sie zuerst im Task-Manager unter „Leistung“ > „CPU“, ob die Virtualisierung aktiv ist.
Verlangsamt Application Guard meinen PC?
Ja, etwas. Der Container benötigt zusätzlichen Arbeitsspeicher und Rechenleistung. Besonders der erste Start eines Application Guard-Fensters dauert länger. Auf PCs mit 8 GB RAM oder weniger kann das spürbar sein. Wenn Sie die Funktion nicht nutzen, sollten Sie sie deshalb deaktivieren.
Kann ich Application Guard in Google Chrome oder Firefox nutzen?
Nicht mehr. Microsoft hat die Erweiterungen für Chrome und Firefox bereits nach Mai 2024 eingestellt. Für isoliertes Surfen mit diesen Browsern installieren Sie den Browser stattdessen in der Windows-Sandbox und nutzen ihn dort.
Welche Daten bleiben nach dem Schließen eines Application Guard-Fensters erhalten?
Standardmäßig keine. Windows löscht den Container samt Verlauf, Cookies und Downloads. Haben Sie jedoch in der Windows-Sicherheit die Datenpersistenz aktiviert, bleiben zum Beispiel Favoriten und Cookies über Sitzungen hinweg erhalten.
Was ist der Unterschied zwischen Application Guard und Windows-Sandbox?
Application Guard isoliert gezielt einzelne Browserfenster und Office-Dokumente und ist direkt in Edge bzw. Office eingebunden. Die Windows-Sandbox startet dagegen einen kompletten, temporären Windows-Desktop. Darin können Sie beliebige Programme testen, müssen Dateien und Links aber manuell hineinkopieren.
Sollte ich Application Guard vor einem Upgrade auf Windows 11 24H2 deaktivieren?
Das ist sinnvoll, aber nicht zwingend. Windows entfernt die Funktion beim Upgrade ohnehin. Allerdings sollten Sie vorher Gruppenrichtlinien und Intune-Richtlinien zu Application Guard zurücksetzen. Dadurch vermeiden Sie Fehlermeldungen und Konflikte nach dem Update.
Gibt es einen direkten Nachfolger für Application Guard?
Nein, einen Eins-zu-eins-Ersatz gibt es nicht. Microsoft empfiehlt stattdessen eine Kombination aus Defender SmartScreen, verbesserter Sicherheit in Edge, Windows-Sandbox, ASR-Regeln und App Control for Business. Für Office-Dateien übernimmt zudem die geschützte Ansicht einen Teil der Aufgabe.
Fazit
Microsoft Defender Application Guard aktivieren oder deaktivieren Sie am schnellsten über optionalfeatures, alternativ per PowerShell, DISM oder Gruppenrichtlinie. Wichtig sind dabei Pro, Enterprise oder Education, aktive Virtualisierung und genügend Arbeitsspeicher.
Allerdings ist die Funktion ab Windows 11 24H2 verschwunden und läuft auch in Edge und Office aus. Deshalb sollten Sie 2026 auf Windows-Sandbox, SmartScreen und die verbesserte Sicherheit in Edge umsteigen.
