Tool trotz Defender Warnung installieren?

[petzi]

Hallo!

Der Defender (bzw. zuvor "MSE") hat mir eigentlich stets ausgereicht: einfach, unauffällig, kostenlos, 100% mit dem OS kompatibel, usw. Warum sollte man den mit einem anderen AV-Tool ersetzen, sich eine andere SW installieren, welche dann tief im System hockt?
Daher lief seit vielen Jahren privat und im Business nur mehr dieses AV-Tool von MS und auch nur die bordeigene FW.

Doch nun nervt mich der Defender schon eine Weile, zunehmend mehr: zu viele (ua. per virustotal) bestätigte Fehlalarme, zeitweise schafft er es dann nicht diese Funde zu behandeln, fordert dauernd Maßnahmen, die er aber trotz Aufforderung nicht ausführt.
Dazu kommen noch Kleinigkeiten, wie die kolportierten Dateivernichtungen ohne Rückfrage (mir noch nie passiert) und das Unvermögen des Defender, auf allen Geräten auch offline zu starten.

Nun bin ich seit langem auf einer Suche nach einem guten Backup-Tool und nun blockiert der mir das Setup eines eigentlich bekannten Programms. Eine EXE, welche der Defender Scan selbst als sauber bezeichnet, wird beim Doppelklick blockiert.
Klar habe ich diese Datei mal vom Hersteller, mal virengeprüft von Heise auch noch auf virustotal.com geladen: Alles sauber.

Ja, letztendlich muss man selbst entscheiden, ob man etwas trotz Warnung installiert.
Doch was würdet ihr in dem Fall eines offensichtlichen "false positve" tun?


Warum ich so heikel bin? Naja, kürzlich passierte mitten in einer Lawine aus Stress ein Aussetzer von Brain.exe, was mir sofort einen Schaden beschert. Daher denke ich jetzt lieber 3x nach und frage noch dazu.


PS: Das soll aber kein Thema über Alternativen werden. Wobei es bei einem der privaten Rechner zu 90% auf einen Umstieg hinauslaufen wird, weil mich die vielen Defender Warnungen nerven. Jedes Mal, wenn man etwas scannt, erscheinen etliche alte rote Warnungen, man solle endlich Maßnahmen ergreifen - was aber nicht geht. Daher erwäge ich da schon einen Wechsel des AV-Tools, anders bringe ich dies nur mit einer Neu- oder Reparatur-install von Win weg?

 

[Fatal3ty]

Mir ist es noch nie passiert und keine Programme aus Offiziellen Quelle hatte es geblockt. Das stimmt mit dir nichts, eventuell ist dein Windows Defender defekt. Mal die Reparatur ausführen ob es sich bessert.

 

[tollertyp]

Wo siehst du da einen Fehlalarm?

Es ist eine Warnung. Es sagt doch, was es denkt: Es ist eine relativ unbekannte Anwendung. Mit Brain.exe hätte man das aus der Meldung doch eigentlich erkannt.

Warum ist das relevant? Häufig genutzte Anwendungen haben halt eine etwas höhere "Seriosität". Also wenn du z.B. eine verbreitete Anwendung runterlädst und dann so eine Meldung erhälst, dann solltest du dir Gedanken machen (außer es gab ein kürzliches Update).

Ich verstehe ehrlich gesagt den Sinn dieses Threads nicht.

Mir ist es noch nie passiert und keine Programme aus Offiziellen Quelle hatte es geblockt.

Es wird hier auch nichts geblockt.

Ansonsten: Rechtsklick -> Eigenschaften -> Zulassen.

 

[petzi]

Mir ist es noch nie passiert und keine Programme hatte es geblockt.

ich sah das auch noch nie zuvor

Reparatur ausführen

wie geht das?

 

[bisy]

Die Meldung kann kommen, wenn das Programm in der Version zu neu ist und noch nicht in der Liste bei Microsoft steht, weil noch nicht viele Leute die Version geladen und ausgeführt haben.

 

[petzi]

Wo siehst du da einen Fehlalarm?

Da nirgends. Das war nur ein Beispiel der angeblichen "Funde", doch damit ist nicht diese Warnung gemeint.

Es ist eine Warnung. Es sagt doch, was es denkt: Es ist eine relativ unbekannte Anwendung.

Dh. ich darf da trotzdem ausführen?

 

[LuminousVision]

eigentlich bekannten Programms.

Scheinbar nicht so wirklich bekannt, da diese SmartScreen-Meldung meistens dann kommt, wenn diese Programmversion noch nicht oft genug installiert wurde. Dennoch wird da nichts geblockt, da du unten einfach auf "Trotzdem ausführen" klicken kannst.

Dh. ich darf da trotzdem ausführen?

Du darst auf deinem Rechner ausführen, was auch immer du möchtest. Niemand hindert dich daran, eine vom Defender erkannte Gefahr zu ignorieren, eine in der Quarantäne befindliche Datei wiederherzustellen oder den Defender ganz auszuschalten.

 

[tollertyp]

Dann zeig ein Beispiel eines angeblichen Funds, hier ist keiner.
Die Meldung spricht doch für sich. Natürlich darfst du ausführen, wenn du der Quelle traust.
Die Quelle liefert sogar Hash-Werte zur Überprüfung.


Edit: Dazu kommt halt noch, dass die Anwendung nicht vom Hersteller mit einer speziellen Signatur versehen wurde - muss sie auch nicht. Aber mit einer solchen Signatur schlägt SmartScreen halt auch nicht so leicht an.

 

[petzi]

Die Meldung kann kommen, wenn das Programm in der Version zu neu ist und noch nicht in der Liste bei Microsoft steht

oder weil das Tool halt trotz, dass es schon älter ist, noch relativ wenig bekannt ist?

 

[LuminousVision]

Lies halt mal den von dir zitierten Kommentar richtig. Da steht "in der Version zu neu". Version 6.0 kann z.B. von genug Leuten runtergeladen worden sein, dass SmartScreen da nichts beanstandent. Version 6.2 aber vielleicht bisher nur von 2, weil die Version neu ist, also ist das dem SmartScreen zu unbekannt.

 

[tollertyp]

Es geht nicht um das Tool an sich sondern die konkrete Datei. Und die ist einige Wochen alt:

 

[petzi]

zeig ein Beispiel eines angeblichen Funds

mache ich, aber das ist auf einem Rechner, der grade nicht zur Verfügung steht. Vllt. später.

Natürlich darfst du ausführen, wenn du der Quelle traust.

hmmm, ja ich kenne den Hersteller nicht.

Die Quelle liefert sogar Hash-Werte zur Überprüfung.

wo, wie?

 

[tollertyp]

Niemand hindert dich daran, eine vom Defender erkannte Gefahr zu ignorieren, eine in der Quarantäne befindliche Datei wiederherzustellen oder den Defender ganz auszuschalten.

Wobei das hier ja nicht mal so der Fall ist. Aber grundsätzlich gilt das auch, ja.

wo, wie?

Irgendwie habe ich langsam das Gefühl...

 

[petzi]

Version 6.2 aber vielleicht bisher nur von 2, also ist das dem SmartScreen zu unbekannt.

Achso, danke!

 

[Millkaa]

@petzi
Du hast deine Defender Meldung nicht richtig verstanden.

Diese besagt lediglich, dass du eine Datei ausführen möchtest, die dem Defender noch nicht so bekannt ist, dass er diese einwandfrei durchwinken könnte.
Wie meine Vorredner das schon richtig gesagt haben kann dies passieren, wenn eine neue Version einer Datei veröffentlicht wurde, die bei MS so noch nicht gelistet ist.

Diese Meldung hat ein "kopfloses" öffnen unterbunden und dir die Möglichkeit eingeräumt noch einmal zu prüfen.

Also eher ein: "Ich kenn das nicht, schau noch einmal drüber ob es das richtige ist und keine Gefahr ausstrahlt." Es sagt dir auch nur, dass es unter Umständen ein Risiko darstellen könnte.

Stell es dir so vor: Verkehrskontrolle. Du fährst mit einem Auto, welches eine Straßenzulassung besitzt aber ein Unikat darstellt. Die Beamten*innen vor Ort haben ein solches KFZ noch nie gesehen, also unbekannt. Sehr wahrscheinlich wirst du kontrolliert, weil ein unbekanntes KFZ unbekannt ist. Durch die genaue Kontrolle etwas Unbekannten startet überhaupt ein Lernprozess. Die Beamten*innen werden zukünftig dieses KFZ kennen und nicht mehr kontrollieren. Geben es an die Kollegen*innen weiter und somit ist das Unbekannte KFZ irgendwann Bekannt und wird wesentlich weniger kontrolliert.
Gleiches beim Defender. Da kommt was, was nicht bekannt ist, also bitte einmal prüfen, könnte ja was problematisches sein.

 

[petzi]

Irgendwie habe ich langsam das Gefühl...

Sehr lustig.
Daher frage ich ja, weil man u.U,. auch von 999 anderen Dingen als den digitalen Problemen gefordert ist. Und daher schrieb ich ja den vorletzten Absatz im Eingangspost.

Dh. diese Prüfsummen stehen auf der Seite des Herstellers - und die kann man irgendwie, irgendwo gegenchecken?

 

[tollertyp]

Dh. diese Prüfsummen stehen auf der Seite des Herstellers - und die kann man irgendwie, irgendwo gegenchecken?

Ja.

 

[petzi]

Gleiches beim Defender. Da kommt was, was nicht bekannt ist, also bitte einmal prüfen, könnte ja was problematisches sein.

Vielen Dank für die so schön formulierte Erklärung.

Ergänzung (17. Dezember 2022)

Ich hatte mal so ein Tool, was sich im Win-Explorer reingehängt hat, mit dem konnte man diese Werte checken. Doch hier, auf dem neu aufgesetzten Rechner habe ich das nicht.
Vllt. könnte mir jemand sagen, wie das Tool heißt, wo man es bekommt?
Danke!

 

[PC295]

Warum sollte man den mit einem anderen AV-Tool ersetzen, sich eine andere SW installieren, welche dann tief im System hockt?

Wenn das für dich ein Problem ist, warum dann der Defender der tief im System verankert ist?
Du widersprichst dich hier ja schon.

Doch nun nervt mich der Defender schon eine Weile, zunehmend mehr: zu viele (ua. per virustotal) bestätigte Fehlalarme, zeitweise schafft er es dann nicht diese Funde zu behandeln, fordert dauernd Maßnahmen, die er aber trotz Aufforderung nicht ausführt.

Das sind auch Probleme, die schon seit Defender beginn an bestehen.
Es fehlen Konfigurationsmöglichkeiten und vorhandene Funktionen sind schlecht umgesetzt oder funktionieren nicht so wie sie eigentlich sollen.

Eine EXE, welche der Defender Scan selbst als sauber bezeichnet, wird beim Doppelklick blockiert.
Klar habe ich diese Datei mal vom Hersteller, mal virengeprüft von Heise auch noch auf virustotal.com geladen: Alles sauber.

Windows Defender und der SmartScreen sind zwei verschiedene Funktionen.
Microsoft hat nun einfach vor allen Sicherheitsfunktionen "Microsoft Defender" gesetzt.
Die Windows Firewall heisst jetzt auch "Windows Defender Firewall", obwohl sie mit den eigentlichen Virenschutz nichts zu tun hat.

Falschmeldungen durch den SmartScreen hast du dann auch, wenn du ein anderes Antivirenprogramm verwendest.

Wenn es häufiger der Fall ist, deaktiviere einfach den SmartScreen, denn er trägt ohnehin nicht dazu bei zuverlässig vor Malware zu schützen.

 

[chrigu]

Es gibt übrigens noch andere backuptools die vom defender nicht reklamiert werden.