Ausschlüsse in Microsoft Defender Antivirus

Ausschlüsse weisen Microsoft Defender Antivirus an, bestimmte Dateien, Ordner oder Prozesse beim Scannen zu überspringen. Jeder Ausschluss ist eine Schutzlücke, die Ihre Verteidigung verringert, sodass Ausschlüsse sparsam verwendet werden. Definieren Sie einen Ausschluss nur, um ein bestimmtes Problem zu beheben, z. B. ein Leistungs- oder App-Kompatibilitätsproblem, und erwägen Sie Alternativen wie benutzerdefinierte Indikatoren zuerst. Schließen Sie etwas nicht aus, nur weil Sie denken, dass es später ein Problem sein könnte. Weitere Elemente, die Sie niemals ausschließen sollten, finden Sie unter Ausschlüsse, die in Microsoft Defender Antivirus und Defender for Endpoint vermieden werden sollten. Weitere Informationen zu den Kompromissen finden Sie unter Übersicht über Ausschlüsse und Indikatoren in Microsoft Defender for Endpoint.

Microsoft Defender Antivirus unterstützt die folgenden Arten von Ausschlüssen:

• Integrierte Ausschlüsse: Vordefinierte Ausschlüsse für Betriebssystemdateien, die Microsoft Defender Antivirus automatisch anwendet, ohne dass Sie etwas konfigurieren müssen. Weitere Informationen finden Sie unter integrierten Ausschlüssen.
• Benutzerdefinierte Ausschlüsse: Ausschlüsse, die Sie selbst definieren:
  • Datei- und Ordnerausschlüsse: Schließen Sie eine bestimmte Datei oder alles in einem Ordner aus. Auch als Pfadausschlüsse bezeichnet.
  • Dateierweiterungsausschlüsse: Schließen Sie alle Dateien aus, die eine bestimmte Erweiterung haben, unabhängig vom Speicherort.
  • Prozessausschlüsse: Schließen Sie alle Dateien aus, die ein bestimmter Prozess öffnet.
  • Kontextbezogene Ausschlüsse: Eingrenzen eines Pfadausschlusses, sodass er nur in einem bestimmten Kontext gilt, z. B. nur, wenn ein bestimmter Prozess die Datei öffnet.

Informationen zum Konfigurieren eines der benutzerdefinierten Ausschlusstypen finden Sie unter Konfigurieren von benutzerdefinierten Ausschlüssen für Microsoft Defender Antivirus.

Wichtige Punkte zu Ausschlüssen

Beachten Sie beim Definieren von Ausschlüssen die folgenden Punkte:

• Ausschlüsse können sich direkt darauf auswirken, ob Microsoft Defender Antivirus Ereignisse für die ausgeschlossenen Dateien, Ordner oder Prozesse blockiert, behebt oder überprüft. Sie wirken sich auch auf Features aus, die vom Antivirenmodul abhängig sind, z. B. Schadsoftwareschutz, Dateiindikatoren für Kompromittierung (IOCs) und Zertifikat-IOCs. Prozessausschlüsse auf beliebigen Plattformen verhindern außerdem, dass der Netzwerkschutz und Regeln zur Reduzierung der Angriffsfläche (ASR) den Datenverkehr überprüfen oder Regeln für die ausgeschlossenen Prozesse erzwingen.

• Selbst bei konfigurierten Ausschlüssen führt Microsoft Defender Antivirus eine minimale Auswertung durch, um festzustellen, ob ein Ausschluss zutrifft. Diese Auswertung umfasst keine vollständige Inhaltsüberprüfung. Wenn die Ausschlusskriterien erfüllt sind, überspringt Microsoft Defender Antivirus die Suche nach der angegebenen Datei, dem angegebenen Ordner oder Prozess.

• Auf Windows Server wendet Microsoft Defender Antivirus auch vordefinierte automatische Ausschlüsse für installierte Serverrollen und integrierte Ausschlüsse für Betriebssystemdateien an. Diese vordefinierten Ausschlüsse unterscheiden sich von den benutzerdefinierten Ausschlüssen, die Sie definieren. Weitere Informationen finden Sie unter Microsoft Defender Antivirusausschlüsse für Windows Server.

• Ausschlüsse gelten für geplante Scans, On-Demand-Scans, Echtzeitschutz und potenziell unerwünschte App-Erkennungen (PUA), aber nicht für alle Defender für Endpunktfunktionen. Verwenden Sie benutzerdefinierte Indikatoren, um Dateien für alle Defender für Endpunkt auszuschließen.

• Microsoft Defender Antivirusausschlüsse gelten für einige ASR-Regeln. Weitere Informationen finden Sie unter Datei- und Ordnerausschlüsse für ASR-Regeln.

• Dateien, die Sie ausschließen, können weiterhin EDR-Warnungen (Endpoint Detection and Response) auslösen, und sie können weiterhin Antivirenverhalten oder heuristische Erkennungen im Microsoft Defender-Portal generieren. Um Dateien umfassender auszuschließen, fügen Sie sie zu Microsoft Defender for Endpoint benutzerdefinierten Indikatoren hinzu.

• Schließen Sie zugeordnete Netzlaufwerke nicht aus. Geben Sie stattdessen den tatsächlichen Netzwerkpfad an.

• Platzhalter (zum Beispiel *) ändern die Interpretation von Ausschlussregeln. Weitere Informationen finden Sie unter "Wildcards" in Microsoft Defender Antivirusausschlüssen.

• Standardmäßig werden lokale Änderungen an Ausschlüssen von Administratoren (einschließlich Änderungen, die mit PowerShell und Windows Verwaltungsinstrumentation oder WMI vorgenommen wurden) mit Ausschlüssen zusammengeführt, die von Gruppenrichtlinien, Konfigurations-Manager oder Microsoft Intune bereitgestellt werden. Von der Gruppenrichtlinie bereitgestellte Ausschlüsse haben Vorrang, wenn ein Konflikt vorliegt und sie in der Windows-Sicherheit-App sichtbar sind. Informationen zum Außerkraftsetzen von verwalteten Einstellungen durch lokale Änderungen finden Sie unter Konfigurieren, wie lokal und global definierte Ausschlusslisten zusammengeführt werden.

• Überprüfen und überwachen Sie ihre Ausschlüsse in regelmäßigen Abständen. Überprüfen und verstärken Sie die Abhilfemaßnahmen im Rahmen Ihrer Überprüfung erneut und halten Sie den Kontext dazu fest, warum jede Ausnahme erforderlich war.

Integrierte Ausschlüsse

Microsoft Defender Antivirus enthält integrierte Ausschlüsse für Betriebssystemdateien auf allen unterstützten Client- und Serverversionen von Windows. Diese Ausschlüsse werden über Sicherheitsintelligenzupdates bereitgestellt und auf dem neuesten Stand gehalten, da sich die Bedrohungslandschaft ändert, sodass sie ohne manuelle Konfiguration angewendet werden. Sie werden nicht in den Standardausschlusslisten in der Windows-Sicherheit-App angezeigt.

• Windows temp.edb-Dateien:

  • %windir%\SoftwareDistribution\Datastore\*\tmp.edb
  • %ProgramData%\Microsoft\Search\Data\Applications\Windows\windows.edb

• Windows Update Dateien oder Automatische Aktualisierungsdateien:

  • %windir%\SoftwareDistribution\Datastore\Datastore.edb
  • %windir%\SoftwareDistribution\Datastore\*\edb.chk
  • %windir%\SoftwareDistribution\Datastore\*\edb\*.log
  • %windir%\SoftwareDistribution\Datastore\*\Edb\*.jrs
  • %windir%\SoftwareDistribution\Datastore\*\Res\*.log

• Windows-Sicherheit Dateien:

  • %windir%\Security\database\*.chk
  • %windir%\Security\database\*.edb
  • %windir%\Security\database\*.jrs
  • %windir%\Security\database\*.log
  • %windir%\Security\database\*.sdb

• Gruppenrichtliniendateien:

  • %allusersprofile%\NTUser.pol
  • %SystemRoot%\System32\GroupPolicy\Machine\registry.pol
  • %SystemRoot%\System32\GroupPolicy\User\registry.pol

Bei unterstützten Versionen von Windows Server wendet Microsoft Defender Antivirus mehr integrierte Ausschlüsse für Serverfeatures (z. B. Windows Internet Name Service und Dateireplikationsdienst) und automatische Ausschlüsse für installierte Serverrollen an. Weitere Informationen finden Sie unter Microsoft Defender Antivirusausschlüsse für Windows Server.

Datei- und Ordnerausschlüsse

Datei- und Ordnerausschlüsse sind für einzelne Dateien und ganze Ordner verfügbar, die in einer einzigen Pfadausschlussliste gespeichert werden. Ein Datei- und Ordnerausschluss gilt immer für einen bestimmten Speicherort (Pfad). Wenn Sie alle Dateien ausschließen möchten, die unabhängig vom Speicherort eine bestimmte Erweiterung haben, verwenden Sie stattdessen einen separaten Dateierweiterungsausschluss .

• Dateien: Die folgenden Arten von Ausschlüssen sind verfügbar:

  • Eine einzelne Datei, die durch ihren vollqualifizierten Pfad angegeben wird, z. B. c:\sample\sample.test. Nur diese Datei an diesem Speicherort ist ausgeschlossen.
  • Eine ausführbare Programmdatei, die durch ihren vollqualifizierten Pfad angegeben wird, z. B. c:\test\process.exe. Durch das Ausschließen einer ausführbaren Datei wird Microsoft Defender Antivirus daran gehindert, die Datei selbst zu scannen, nicht jedoch die Dateien, die das Programm öffnet. Um die Dateien zu überspringen, die ein Prozess öffnet, verwenden Sie stattdessen einen Prozessausschluss .

  Note

  Ein Wert, der nur aus einem Dateinamen wie sample.test besteht, schließt die Datei nicht zuverlässig aus. Geben Sie stattdessen den vollständigen Pfad der Datei an. Durch Wildcards wird jeweils ein einzelner Ordner ersetzt, sodass c:\*\sample.test die Datei nur in Ordnern eine Ebene darunter c:\übereinstimmt, nicht im Stammverzeichnis oder in tiefer geschachtelten Ordnern.

• Ordner: Schließen Sie alles unter einem Ordner aus, z. B. alle Dateien und Unterordner unter c:\test\sample. Die folgenden Bedingungen gelten:

  • Der Ausschluss gilt für alle Dateien und Unterordner in dem Ordner, mit Ausnahme von Unterordnern mit reparse point. Fügen Sie einen separaten Ordnerausschlusseintrag für jeden Analysepunktunterordner hinzu, den Sie ausschließen möchten.
  • Ein nach dem Start des Microsoft Defender Antivirus-Diensts erstellte Analysepunktordner wird erst dann als gültiges Ausschlussziel erkannt, wenn Sie Windows neu starten.

Dateierweiterungsausschlüsse

Dateierweiterungsausschlüsse werden in einer separaten Erweiterungsausschlussliste gespeichert, die sich von Datei- und Ordnerausschlüssen unterscheidet. Ein Wert wie test wird nur als Erweiterung behandelt, weil er sich in der Erweiterungsliste befindet, nicht in der Datei- und Ordnerpfadliste.

• Ein Erweiterungsausschluss, z. B. .test (der führende Punkt ist optional), gilt für jede Datei mit dieser Erweiterung an einer beliebigen Stelle auf dem Gerät.
• Um eine Erweiterung auf einen bestimmten Speicherort einzuschränken, verwenden Sie stattdessen einen Datei- und Ordnerausschluss mit einem Platzhalter, z. B. c:\example\*.test.

Prozessausschlüsse

Ein Prozessausschluss weist Microsoft Defender Antivirus an, die Dateien zu überspringen, die der Prozess öffnet. Ausschlüsse für Dateien, die durch ausgeschlossene Prozesse geöffnet werden, gelten für geplante Scans und immer aktivierten Echtzeitschutz und -überwachung.

Um die ausführbare Datei des Prozesses selbst auszuschließen, fügen Sie einen separaten Datei- und Ordnerausschluss hinzu.

Verwenden Sie die folgenden Methoden, um einen Prozess auszuschließen:

• Ausschlüsse für Prozessnamen: Der Dateiname des Prozesses ohne Pfadangabe, z. B. MyProcess.exe. Schließt Dateien aus, die von einem beliebigen Prozess mit diesem Namen geöffnet werden, unabhängig davon, wo sie ausgeführt wird, einschließlich Wechselmedien.
• Ausschlüsse für vollständige Pfade: Der Dateiname und der Pfad des Prozesses, z. B. C:\MyFolder\MyProcess.exe. Schließt nur Dateien aus, die von diesem bestimmten Prozess geöffnet wurden. Verwenden Sie nach Möglichkeit den vollständigen Pfad.

Hier sind einige Beispiele für Prozessausschlüsse:

• test.exe schließt jede Datei aus, die von jedem Prozess mit diesem Namen geöffnet wird, einschließlich dateien, die von den folgenden Prozessen geöffnet werden:
  • c:\sample\test.exe
  • d:\internal\files\test.exe
• c:\test\test.exe schließt alle Dateien aus, die nur von diesem Prozess geöffnet wurden.
• c:\test\sample\* schließt jede Datei aus, die von jedem Prozess unter diesem bestimmten Ordnerpfad geöffnet wird. Beispiel:
  • c:\test\sample\test.exe
  • c:\test\sample\test2.exe
  • c:\test\sample\utility.exe

Kontextbezogene Ausschlüsse

Ein kontextbezogener Ausschluss beschränkt einen Datei- und Ordnerausschluss, sodass Microsoft Defender Antivirus die Datei oder den Ordner nur in einem bestimmten Kontext überspringt. Beispielsweise können Sie eine Datei nur ausschließen, wenn ein bestimmter Prozess oder Scantyp geöffnet wird. Da jeder Ausschluss die Leistung verbessert, aber den Schutz reduziert, beschränken Kontexteinschränkungen diesen Kompromiss, indem gesteuert wird , wann ein Ausschluss gilt.

Kontextbezogene Datei- und Ordnerausschlüsse erfordern Microsoft Defender Antivirus als primäre Antiviren-App auf Windows Geräten:

• Plattformversion: 4.18.2205.7 (Mai 2022) oder höher.
• Engine-Version: 1.1.19300.2 (Mai 2022) oder höher.

Kontextbezogene Datei- und Ordnerausschlüsse sind ein nur Windows Feature. Sie sind nicht auf Linux- oder macOS-Geräten verfügbar, auch wenn sie in Microsoft Defender for Endpoint integriert sind.

Sie erstellen einen kontextbezogenen Ausschluss, indem Sie kontextbezogene Einschränkungen zu einem Standarddatei- und Ordnerausschluss hinzufügen und dann auf die gleiche Weise wie jeder andere Ausschluss anwenden. Informationen zu den Konfigurationsmethoden finden Sie unter Konfigurieren von benutzerdefinierten Ausschlüssen für Microsoft Defender Antivirus.

Kontextbezogene Datei- und Ordnerausschlüsse verwenden die folgende Syntax:

<RegularFileOrFolderExclusion>\:{ContextualRestrictionKeyword1:value1,ContextualRestrictionKeyword2:value2,...ContextualRestrictionKeywordN:valueN}

Der <RegularFileOrFolderExclusion> Teil ist ein Standarddatei- oder Ordnerausschluss, sodass er dieselben Wildcards (*, ?und Umgebungsvariablen) unterstützt und dieselben Pfadabgleichsregeln befolgt. Ausführliche Informationen finden Sie unter "Wildcards" in Datei- und Ordnerausschlüssen. Bei kontextabhängigen Ausschlüssen ist unmittelbar vor dem Doppelpunkt (\), der den Pfad von den :-Einschränkungen trennt, immer ein Backslash ({}) erforderlich, wie in ...\:{...}.

Sie fügen die Kontexteinschränkungen im {} Teil hinzu. Jede Kontexteinschränkung weist ein Schlüsselwort und einen Wert auf, wie in der folgenden Tabelle dargestellt:

Kontexteinschränkungen für Datei- oder Ordnerpfade

Verwenden Sie das PathType Schlüsselwort "Kontexteinschränkung", um den Ausschluss nur als Datei oder nur als Ordner zu identifizieren.

• Wird PathType:folder verwendet, um den Ausschluss nur anzuwenden, wenn es sich bei dem ausgeschlossenen Element um einen Ordner und nicht um eine Datei handelt. Beispiel:

  C:\documents\*\:{PathType:folder}

• Wird PathType:file verwendet, um den Ausschluss nur anzuwenden, wenn es sich bei dem ausgeschlossenen Element um eine Datei und nicht um einen Ordner handelt. Beispiel:

  C:\documents\*.mdb\:{PathType:file}

• Wenn die PathType Einschränkung nicht mit dem ausgeschlossenen Elementtyp übereinstimmt, gilt der Ausschluss nicht:

  • Die Kontexteinschränkung identifiziert den Ausschluss als Ordner, aber das gescannte Element ist eine Datei.
  • Die Kontexteinschränkung identifiziert den Ausschluss als Datei, aber das gescannte Element ist ein Ordner.

• In diesem Beispiel werden .docxDateien in einem beliebigen Ordner der ersten Ebene des Laufwerks C: von On-Demand-Scans ausgeschlossen:

  c:\*\*.docx\:{PathType:file,ScanTrigger:OnDemand}

  Wenn Sie PathType:file nicht in den Ausschluss aufnehmen, werden auch alle Ordner, deren Namen auf .docx enden und die sich in denselben Ordnern der ersten Ebene befinden, von On-Demand-Scans ausgeschlossen.

Kontextbezogene Einschränkungen des Scantyps

Verwenden Sie das ScanType Schlüsselwort "Kontexteinschränkung", um den Ausschluss nur während eines bestimmten Scantyps anzuwenden:

• Schnellscans (quick): Allgemeine Startspeicherorte, die von Schadsoftware, Arbeitsspeicher und bestimmten Registrierungsschlüsseln verwendet werden.
• Vollständige Scans (full): Speicherorte für den Schnellscan sowie das vollständige Dateisystem (alle Dateien und Ordner).

Weitere Informationen zu den einzelnen Scantypen finden Sie unter "Vergleichen des Schnellscans", "Vollständiger Scan" und "benutzerdefinierter Scan".

In diesem Beispiel wird der angegebene Ordner nur während einer vollständigen Überprüfung ausgeschlossen:

C:\documents\:{ScanType:full}

In diesem Beispiel wird die angegebene Datei nur während eines Schnellscans ausgeschlossen:

C:\program.exe\:{ScanType:quick}

Um sicherzustellen, dass der Ausschluss nur für Dateien gilt, nicht ordner (c:\program.exe könnte ein Ordner sein), verwenden Sie auch die PathType Kontexteinschränkung, wie im folgenden Beispiel gezeigt:

C:\program.exe\:{ScanType:quick,PathType:file}

Kontextbezogene Einschränkungen für den Scan-Auslöser

Verwenden Sie das ScanTrigger Schlüsselwort "Kontexteinschränkung", um den Ausschluss nur anzuwenden, wenn eine Überprüfung durch ein bestimmtes Ereignis initiiert wird:

• OnDemand: Ein Scan, der von einer Befehls- oder Administratoraktion ausgelöst wird. Geplante schnelle und vollständige Scans fallen auch unter diese Kategorie. Weitere Informationen finden Sie unter Ausführen und Anpassen von On-Demand-Scans in Microsoft Defender Antivirus.
• OnAccess: Eine Datei oder ein Ordner wird geöffnet, geschrieben, gelesen oder geändert (in der Regel als Echtzeitschutz angesehen).
• BM: Ein Verhaltensauslöser bewirkt , dass die Verhaltensüberwachung eine bestimmte Datei scannt.

In diesem Beispiel wird der angegebene Ordner nur dann ausgeschlossen, wenn er nach dem Zugriff gescannt wird:

c:\documents\:{ScanTrigger:OnAccess}

In diesem Beispiel wird die angegebene Datei (nicht ein Ordner) nur ausgeschlossen, wenn sie von einer Befehls- oder Administratoraktion gescannt wird:

c:\documents\design.docx\:{PathType:file,ScanTrigger:OnDemand}

Kontextbezogene Einschränkungen des Prozesses

Verwenden Sie das Process Schlüsselwort "Kontexteinschränkung", um den Ausschluss nur anzuwenden, wenn ein bestimmter Prozess auf die Datei oder den Ordner zugreift.

• Vermeiden Sie es, den Prozess selbst auszuschließen, da beim Ausschließen des Prozesses Microsoft Defender Antivirus alle anderen Vorgänge durch diesen Prozess ignoriert.

• Wildcards werden im Prozessnamen und Pfad unterstützt.

• Sie können mehrere Prozesse in einem einzigen kontextbezogenen Ausschluss mithilfe der folgenden Syntax auflisten:

  <RegularFileOrFolderExclusion>\:{Process1:value1,Process2:value2,...ProcessN:valueN}

  Im Gegensatz zu anderen Kontexteinschränkungstypen werden mehrere Process Einschränkungen mit OR-Logik abgeglichen: Der Ausschluss gilt, wenn eines der aufgelisteten Prozesse auf die Datei oder den Ordner zugreift.

• Die Verwendung vieler Prozesseinschränkungen auf einem Gerät kann die Leistung beeinträchtigen.

• Wenn ein Ausschluss auf einen bestimmten Prozess beschränkt ist, können andere aktive Prozesse (z. B. Indizierung, Sicherung oder Aktualisierungen) weiterhin Dateiüberprüfungen auslösen.

In diesem Beispiel wird die angegebene Datei nur ausgeschlossen, wenn der angegebene Prozess darauf zugreift:

c:\documents\design.docx\:{Process:"winword.exe"}

In diesem Beispiel wird die angegebene Datei (nicht ein Ordner) nur ausgeschlossen, wenn die angegebenen Prozesse darauf zugreifen:

c:\documents\design.docx\:{PathType:file,Process:"winword.exe",Process:"msaccess.exe",Process:"C:\Program Files*\Microsoft Office\root\Office??\winword.exe"}

Wildcards in Microsoft Defender Antivirus-Ausschlüssen

Sie können das Sternchen *, Fragezeichen ?oder Umgebungsvariablen als Wildcards in Datei-, Ordner- und Prozessausschlüssen verwenden. Sie können *, ? und Umgebungsvariablen in einem einzigen Ausschluss beliebig kombinieren.

Wie Microsoft Defender Antivirus Wildcards interpretiert, unterscheidet sich von der üblichen Verwendung in anderen Apps und Sprachen:

• Der Microsoft Defender Antivirus-Dienst wird im Systemkontext mit dem LocalSystem-Konto ausgeführt. Der Dienst ruft Informationen von Systemumgebungsvariablen ab, nicht von Benutzerumgebungsvariablen. Verwenden Sie nur die folgenden Typen von Umgebungsvariablen als Wildcards:
  • Systemumgebungsvariablen.
  • Umgebungsvariablen, die für Prozesse gelten, die als NT AUTHORITY\SYSTEM-Konto ausgeführt werden.
• Sie können maximal sechs Wildcards pro Eintrag verwenden.
• Sie können keinen Platzhalter anstelle eines Laufwerkbuchstabens verwenden.

Wildcards in Datei- und Ordnerausschlüssen

Das Verhalten von Wildcards für Datei- und Ordnerausschlüsse wird in der folgenden Liste beschrieben. Da es sich hierbei um Ausschlusseinträge handelt, bedeutet "Excludes ", dass die Einträge übereinstimmen und das aufgelistete Element überspringt.

• * (Sternchen):
  • In einem Dateinamen oder einer Erweiterung: Entspricht einer beliebigen Anzahl von Zeichen, gilt jedoch nur für Dateien im letzten Ordner, der im Eintrag benannt ist (nicht Unterordner). Zum Beispiel schließt C:\MyData\*.txtC:\MyData\notes.txt aus.
  • In einem Ordnerpfad: Entspricht einem einzelnen Ordner. Verwenden Sie mehrere \*\ Instanzen für geschachtelte, nicht benannte Ordner. Sobald die benannten Ordner und die Ordner mit Platzhalter übereinstimmen, sind auch alle Unterordner eingeschlossen. Beispiel:
    • C:\somepath\*\Data schließt alle Dateien in C:\somepath\Archives\Data und deren Unterordner sowie in C:\somepath\Authorized\Data und deren Unterordner aus.
    • C:\Serv\*\*\Backup schließt alle Dateien in C:\Serv\Primary\Denied\Backup und deren Unterordner sowie in C:\Serv\Secondary\Allowed\Backup und deren Unterordner aus.
• ? (Fragezeichen):
  • In einem Dateinamen oder einer Erweiterung: Entspricht einem einzelnen Zeichen, gilt jedoch nur für Dateien im letzten Ordner, der im Eintrag benannt ist (keine Unterordner). Zum Beispiel schließt C:\MyData\my?.zipC:\MyData\my1.zip aus.
  • In einem Ordnerpfad: Entspricht einem einzelnen Zeichen in einem Ordnernamen. Sobald die benannten Ordner und die Ordner mit Platzhalter übereinstimmen, sind auch alle Unterordner eingeschlossen. Schließt z. B C:\somepath\?\Data . alle Dateien in C:\somepath\P\Data und deren Unterordner aus und C:\somepath\test0?\Data schließt alle Dateien in C:\somepath\test01\Data und ihre Unterordner aus.
• Umgebungsvariablen: Erweitert auf einen Pfad, wenn der Ausschluss ausgewertet wird. Zum Beispiel schließt %ALLUSERSPROFILE%\CustomLogFilesC:\ProgramData\CustomLogFiles\Folder1\file1.txt aus.
• Kombinieren und Abgleichen: Kombinieren von Umgebungsvariablen, *und ? in einem einzigen Eintrag. Zum Beispiel schließt %PROGRAMFILES%\Contoso*\v?\bin\contoso.exeC:\Program Files\Contoso Labs\v1\bin\contoso.exe aus.

Wildcards in Prozessausschlüssen

Wildcards sind in Prozessausschlüssen verfügbar, aber ihre Nutzbarkeit unterscheidet sich geringfügig:

• Bildnamenausschlüsse: Wildcards sind nicht zulässig.
• Vollständige Pfadausschlüsse: Wildcards werden unterstützt und folgen den gleichen Regeln wie Wildcards in Datei- und Ordnerausschlüssen.

Das Wildcardverhalten für vollständige Pfadprozessausschlüsse wird in der folgenden Liste beschrieben. Da es sich um Ausschlusseinträge handelt, bedeutet excludes, dass der Eintrag zutrifft und von dem aufgeführten Prozess geöffnete Dateien übersprungen werden.

• * (Sternchen): Entspricht einer beliebigen Anzahl von Zeichen. Beispiel:
  • C:\MyFolder\* schließt alle Dateien aus, die von C:\MyFolder\MyProcess.exe oder C:\MyFolder\AnotherProcess.exe geöffnet werden.
  • C:\*\*\MyProcess.exe schließt alle Dateien aus, die von C:\MyFolder1\MyFolder2\MyProcess.exe oder C:\MyFolder3\MyFolder4\MyProcess.exe geöffnet werden.
  • C:\*\MyFolder\My*.exe schließt alle Dateien aus, die von C:\MyOtherFolder\MyFolder\MyProcess.exe oder C:\AnotherFolder\MyFolder\MyOtherProcess.exe geöffnet werden.
• ? (Fragezeichen): Entspricht einem einzelnen Zeichen. Zum Beispiel schließt C:\MyFolder\MyProcess??.exe jede Datei aus, die von C:\MyFolder\MyProcess42.exe, C:\MyFolder\MyProcessAA.exe oder C:\MyFolder\MyProcessF5.exe geöffnet wird.
• Umgebungsvariablen: Erweitert auf einen Pfad, wenn der Ausschluss ausgewertet wird. Zum Beispiel schließt %ALLUSERSPROFILE%\MyFolder\MyProcess.exe alle von C:\ProgramData\MyFolder\MyProcess.exe geöffneten Dateien aus.

Systemumgebungsvariablen

Da der Microsoft Defender Antivirus-Dienst unter dem Konto LocalSystem ausgeführt wird, wird eine Umgebungsvariable in einem Ausschluss dem Speicherort des Systemkontos zugeordnet, der sich häufig von dem Speicherort des Benutzerkontos unterscheidet, den Sie möglicherweise erwarten. In der folgenden Tabelle sind die am häufigsten verwendeten Systemumgebungsvariablen und die Standardpfade aufgeführt, auf die sie verweisen. Die Spalte Entspricht dem Benutzerstandort? gibt an, ob die Variable in einem normalen Benutzerkontext auf denselben Pfad verweist (Nein bedeutet, dass sie unter LocalSystem an anderer Stelle aufgelöst wird). Allgemeine Informationen zu Windows Umgebungsvariablen finden Sie unter Erkannten Umgebungsvariablen.

Siehe auch

• Ausschlüsse, die in Microsoft Defender Antivirus und Defender für Endpunkt vermieden werden sollen
• Konfigurieren von benutzerdefinierten Ausschlüssen für Microsoft Defender Antivirus
• Ausschlüsse für Microsoft Defender for Endpoint und Microsoft Defender Antivirus
• Microsoft Defender Antivirus-Ausschlüsse unter Windows Server