Windows 11/10: Kontrollierten Ordnerzugriff aktivieren/deaktivieren

Kontrollierten Ordnerzugriff unter Windows 11 und Windows 10 über die Windows-Sicherheit aktivieren oder deaktivieren – Schritt-für-Schritt-Anleitung gegen Ransomware-Angriffe.

Der kontrollierte Ordnerzugriff ist eine integrierte Sicherheitsfunktion von Microsoft Defender, die Ihre wichtigsten Dateien vor Ransomware und anderen schädlichen Programmen schützt. Sie aktivieren die Funktion direkt in der Windows-Sicherheit-App über den Bereich Viren- & Bedrohungsschutz.

Alternativ nutzen Sie PowerShell oder die Gruppenrichtlinie. Nachfolgend erhalten Sie eine vollständige Schritt-für-Schritt-Anleitung für Windows 11 und Windows 10.

Was ist der kontrollierte Ordnerzugriff?

Der kontrollierte Ordnerzugriff, auf Englisch Controlled Folder Access (CFA), gehört zur Windows Defender Exploit Guard-Technologie. Die Funktion überwacht Schreibzugriffe auf geschützte Ordner und lässt ausschließlich vertrauenswürdige Anwendungen Änderungen vornehmen. Unbekannte oder verdächtige Programme werden hingegen blockiert, bevor sie Dateien verschlüsseln oder löschen können.

Im Gegensatz zu klassischen Virenscannern setzt diese Funktion nicht primär auf Erkennung, sondern auf Prävention. Deshalb greift sie auch dann noch, wenn eine Schadsoftware bereits aktiv auf dem System läuft. Standardmäßig schützt Windows nach der Aktivierung folgende Ordner:

• Dokumente
• Bilder
• Videos
• Musik
• Desktop
• Favoriten
• OneDrive-Ordner

Zusätzlich können Sie eigene Verzeichnisse hinzufügen, etwa Projektordner oder Backup-Pfade. Dadurch lässt sich der Schutz gezielt an Ihre individuellen Anforderungen anpassen.

Warum sollten Sie den kontrollierten Ordnerzugriff nutzen?

Ransomware-Angriffe nehmen auch 2026 weiter zu, und Cyberkriminelle setzen zunehmend auf automatisierte Angriffswellen. Deshalb ist ein zusätzlicher Schutzmechanismus sinnvoll, der über die Standard-Antivirenfunktionen hinausgeht. Der kontrollierte Ordnerzugriff bietet mehrere Vorteile:

• Schutz vor Verschlüsselungstrojanern, die persönliche Dateien als Geiseln nehmen
• Kostenlose Funktion, da bereits in Windows integriert
• Feingranulare Steuerung, da Sie Ausnahmen für einzelne Apps definieren
• Protokollierung verdächtiger Zugriffsversuche im Ereignisprotokoll

Allerdings bedeutet mehr Sicherheit gleichzeitig etwas weniger Komfort. Gamer bemerken beispielsweise häufig, dass Speicherdateien von Spielen blockiert werden, weil diese oft im Ordner Dokumente abgelegt sind. Dieses Problem lässt sich jedoch mit wenigen Klicks lösen, indem Sie die betroffene Anwendung zur Zulassungsliste hinzufügen.

Voraussetzungen für den kontrollierten Ordnerzugriff

Bevor Sie die Funktion aktivieren, sollten Sie folgende Punkte prüfen:

• Sie benötigen Windows 10 (ab Version 1709) oder Windows 11
• Microsoft Defender Antivirus muss als aktives Antivirenprogramm laufen
• Ein Drittanbieter-Virenscanner deaktiviert die Funktion in der Regel automatisch
• Für die Verwaltung per Gruppenrichtlinie benötigen Sie Windows 11/10 Pro oder Enterprise

Sofern Sie ein anderes Antivirenprogramm als Microsoft Defender verwenden, prüfen Sie zunächst, ob dieses eine vergleichbare Funktion bereitstellt. Andernfalls lässt sich der kontrollierte Ordnerzugriff möglicherweise nicht aktivieren.

Kontrollierten Ordnerzugriff über die Windows-Sicherheit aktivieren

Der einfachste Weg führt über die grafische Benutzeroberfläche der Windows-Sicherheit-App. Gehen Sie dazu wie folgt vor:

1. Öffnen Sie die Windows-Sicherheit-App, indem Sie auf das Schildsymbol in der Taskleiste doppelklicken oder „Windows-Sicherheit“ in die Suche eingeben.
2. Klicken Sie auf Viren- & Bedrohungsschutz.
3. Scrollen Sie zum Abschnitt Ransomware-Schutz und klicken Sie auf Ransomware-Schutz verwalten.
4. Schalten Sie den Schieberegler bei Überwachter Ordnerzugriff (auch als „kontrollierter Ordnerzugriff“ bezeichnet) auf Ein.
5. Bestätigen Sie die Sicherheitsabfrage der Benutzerkontensteuerung (UAC) mit Ja.

Sobald die Funktion aktiviert ist, überwacht Windows kontinuierlich alle Schreibzugriffe in den geschützten Ordnern. Zudem werden Sie bei einem blockierten Zugriffsversuch automatisch mit einer Benachrichtigung informiert.

Geschützte Ordner anzeigen und verwalten

Im gleichen Menü finden Sie den Punkt Geschützte Ordner. Klicken Sie darauf, um die aktuelle Liste einzusehen. Die Standardordner lassen sich zwar nicht entfernen, jedoch problemlos erweitern:

1. Klicken Sie auf Geschützten Ordner hinzufügen.
2. Bestätigen Sie die UAC-Abfrage.
3. Wählen Sie im Explorer-Fenster den gewünschten Ordner aus.
4. Klicken Sie auf Ordner auswählen.

Auf diese Weise schützen Sie beispielsweise auch externe Laufwerke, Cloud-Synchronisationsordner oder Projektverzeichnisse zusätzlich.

Blockierte Apps zulassen

Wird eine legitime Anwendung fälschlicherweise blockiert, fügen Sie diese einfach zur Ausnahmeliste hinzu. Gehen Sie folgendermaßen vor:

1. Öffnen Sie erneut Ransomware-Schutz verwalten.
2. Klicken Sie auf Eine App über kontrollierten Ordnerzugriff zulassen.
3. Wählen Sie Kürzlich blockierte Apps hinzufügen, falls die App bereits blockiert wurde, oder Eine zugelassene App durchsuchen, um sie manuell zu wählen.
4. Bestätigen Sie die Auswahl.

Anschließend darf die freigegebene Anwendung wieder uneingeschränkt auf die geschützten Ordner zugreifen. Achten Sie dabei jedoch darauf, nur Programme freizugeben, die zweifelsfrei vertrauenswürdig sind.

Kontrollierten Ordnerzugriff per PowerShell aktivieren

Für eine schnellere Konfiguration oder zur Automatisierung auf mehreren Systemen eignet sich PowerShell besonders gut. Gehen Sie dazu wie folgt vor:

1. Öffnen Sie das Startmenü und geben Sie „PowerShell“ ein.
2. Klicken Sie mit der rechten Maustaste auf Windows PowerShell und wählen Sie Als Administrator ausführen.
3. Geben Sie folgenden Befehl ein und bestätigen Sie mit Enter:

Set-MpPreference -EnableControlledFolderAccess Enabled

Möchten Sie stattdessen nur eine Testphase durchführen, ohne Zugriffe tatsächlich zu blockieren, nutzen Sie den Audit-Modus:

Set-MpPreference -EnableControlledFolderAccess AuditMode

Im Audit-Modus werden verdächtige Zugriffsversuche lediglich im Windows-Ereignisprotokoll vermerkt, jedoch nicht blockiert. Dadurch lässt sich vorab prüfen, welche Anwendungen betroffen wären, bevor Sie den vollständigen Schutz aktivieren.

Um den aktuellen Status abzufragen, verwenden Sie folgenden Befehl:

Get-MpPreference | Select-Object EnableControlledFolderAccess

Kontrollierten Ordnerzugriff per Gruppenrichtlinie aktivieren

Nutzen Sie Windows 11/10 Pro oder Enterprise, konfigurieren Sie die Funktion außerdem zentral über den Gruppenrichtlinien-Editor. Diese Methode eignet sich besonders für Unternehmensumgebungen mit mehreren Geräten. Gehen Sie folgendermaßen vor:

1. Drücken Sie Windows-Taste + R, geben Sie gpedit.msc ein und bestätigen Sie.
2. Navigieren Sie zu Computerkonfiguration → Administrative Vorlagen → Windows-Komponenten → Microsoft Defender Antivirus → Windows Defender Exploit Guard → Kontrollierter Ordnerzugriff.
3. Doppelklicken Sie auf Kontrollierten Ordnerzugriff konfigurieren.
4. Wählen Sie Aktiviert aus und legen Sie anschließend einen der folgenden Werte fest:
   • Aktivieren – blockiert nicht vertrauenswürdige Änderungen an geschützten Ordnern
   • Überwachungsmodus – protokolliert Änderungen, ohne sie zu blockieren
   • Deaktivieren – schaltet den Schutz vollständig ab
   • Nur Blockieren von Datenträgeränderungen deaktivieren – für Sonderfälle mit Datenträgerzugriffen
5. Klicken Sie auf Übernehmen und anschließend auf OK.

Für unternehmensweite Verwaltung empfiehlt sich zusätzlich der Einsatz von Microsoft Intune oder dem Configuration Manager. Mit diesen Lösungen lässt sich der kontrollierte Ordnerzugriff zentral auf zahlreichen Geräten gleichzeitig ausrollen.

Kontrollierten Ordnerzugriff deaktivieren

Möchten Sie die Funktion wieder abschalten, etwa weil eine wichtige Anwendung dauerhaft blockiert wird, stehen Ihnen dieselben drei Wege zur Verfügung.

Deaktivieren über die Windows-Sicherheit

1. Öffnen Sie Windows-Sicherheit → Viren- & Bedrohungsschutz → Ransomware-Schutz verwalten.
2. Schalten Sie den Schieberegler bei Überwachter Ordnerzugriff auf Aus.
3. Bestätigen Sie die UAC-Abfrage.

Deaktivieren per PowerShell

Führen Sie als Administrator folgenden Befehl aus:

Set-MpPreference -EnableControlledFolderAccess Disabled

Deaktivieren per Gruppenrichtlinie

Öffnen Sie erneut den Pfad Computerkonfiguration → Administrative Vorlagen → Windows-Komponenten → Microsoft Defender Antivirus → Windows Defender Exploit Guard → Kontrollierter Ordnerzugriff und setzen Sie die Einstellung Kontrollierten Ordnerzugriff konfigurieren auf Deaktiviert.

Beachten Sie jedoch, dass eine dauerhafte Deaktivierung Ihr System anfälliger für Ransomware-Angriffe macht. Deshalb empfiehlt es sich, stattdessen gezielt einzelne Apps zuzulassen, statt den gesamten Schutz abzuschalten.

Häufige Probleme beim kontrollierten Ordnerzugriff lösen

In der Praxis treten immer wieder ähnliche Herausforderungen auf. Nachfolgend finden Sie die häufigsten Probleme sowie passende Lösungsansätze.

Spiele oder Programme werden blockiert: Speicherdateien von Spielen liegen häufig im Ordner Dokumente, wodurch sie automatisch geschützt sind. Fügen Sie die betroffene Anwendung über Eine App über kontrollierten Ordnerzugriff zulassen hinzu, um das Problem zu beheben.

Die Option lässt sich nicht aktivieren: Prüfen Sie zunächst, ob Microsoft Defender Antivirus tatsächlich als aktives Schutzprogramm läuft. Ist ein Drittanbieter-Virenscanner installiert, deaktiviert dieser die Funktion üblicherweise automatisch.

Backup-Software funktioniert nicht mehr: Fügen Sie Ihr Backup-Programm ebenfalls zur Liste der zugelassenen Apps hinzu. Alternativ speichern Sie Sicherungsdateien in einem nicht geschützten Verzeichnis.

Die Einstellung wird von der IT-Abteilung zurückgesetzt: In Unternehmensumgebungen überschreibt eine zentrale Gruppenrichtlinie häufig lokale Einstellungen. Wenden Sie sich in diesem Fall an Ihre Systemadministration.

Häufige Fragen zum kontrollierten Ordnerzugriff

Was passiert, wenn eine App blockiert wird?

Wird eine Anwendung blockiert, erscheint eine Benachrichtigung mit dem Hinweis „Unautorisierte Änderungen blockiert“. Zudem wird der Vorfall im Ereignisprotokoll unter Windows Defender festgehalten. Sie können die App anschließend manuell zulassen, sofern sie vertrauenswürdig ist.

Funktioniert der kontrollierte Ordnerzugriff mit anderen Antivirenprogrammen?

Nein, die Funktion ist fest an Microsoft Defender Antivirus gekoppelt. Sobald ein Drittanbieter-Virenscanner als primäres Schutzprogramm aktiv ist, lässt sich der kontrollierte Ordnerzugriff üblicherweise nicht aktivieren.

Verlangsamt der kontrollierte Ordnerzugriff das System?

Nein, die Funktion arbeitet im Hintergrund und beansprucht nur minimale Systemressourcen. Lediglich beim Zugriff auf geschützte Ordner findet eine zusätzliche Prüfung statt, die jedoch kaum spürbar ist.

Kann ich Standardordner aus dem Schutz entfernen?

Nein, die Standardordner wie Dokumente, Bilder und Musik lassen sich nicht aus der Liste entfernen. Sie können jedoch beliebig viele zusätzliche Ordner hinzufügen.

Wie erkenne ich, ob die Funktion aktiv ist?

Öffnen Sie Windows-Sicherheit → Viren- & Bedrohungsschutz → Ransomware-Schutz verwalten und prüfen Sie den Status des Schiebereglers. Alternativ nutzen Sie den PowerShell-Befehl Get-MpPreference.

Was bedeutet der Audit-Modus genau?

Im Audit-Modus blockiert Windows keine Zugriffe, protokolliert jedoch alle Vorgänge, die im aktiven Modus blockiert worden wären. Dadurch lässt sich vorab testen, welche Anwendungen betroffen sein könnten.

Schützt die Funktion auch externe Festplatten?

Ja, sofern Sie den entsprechenden Ordner auf der externen Festplatte manuell zur Liste der geschützten Ordner hinzufügen. Standardmäßig sind externe Laufwerke jedoch nicht automatisch geschützt.

Benötige ich Administratorrechte zur Konfiguration?

Ja, sowohl für die Aktivierung über die Windows-Sicherheit als auch für PowerShell- und Gruppenrichtlinien-Befehle sind Administratorrechte erforderlich. Ohne diese Rechte lässt sich die Einstellung nicht ändern.

Kann ich mehrere Apps gleichzeitig zulassen?

Ja, Sie fügen einfach nacheinander jede gewünschte Anwendung über Eine App über kontrollierten Ordnerzugriff zulassen hinzu. Es gibt keine Begrenzung der Anzahl zugelassener Programme.

Fazit

Der kontrollierte Ordnerzugriff schützt Ihre wichtigsten Dateien effektiv vor Ransomware, ohne dass zusätzliche Software nötig ist. Über Windows-Sicherheit, PowerShell oder Gruppenrichtlinie aktivieren Sie die Funktion in wenigen Schritten.

Bei blockierten Programmen genügt es meist, diese gezielt zuzulassen. So bleibt Ihr System sowohl geschützt als auch alltagstauglich.