Windows Defender Fehlalarm: Virenschutz nur scheinbar aus

Als vor ein paar Tagen zum dritten Mal an einem Vormittag die Windows-Sicherheit-Benachrichtigung in meiner rechten unteren Bildschirmecke aufploppte – „Microsoft Defender Antivirus ist deaktiviert“ –, hatte ich schon den USB-Stick mit dem Rescue-System in der Hand. Denn genau so verhält sich Malware, die als Erstes den Virenschutz abschaltet. Fünf Minuten später war klar: Mein Rechner ist völlig in Ordnung. Der Windows Defender Fehlalarm ist ein bestätigter Bug, und Microsoft weiß seit Ende August davon. Trotzdem würde ich dir nicht raten, die Meldung einfach blind wegzuklicken – dazu unten mehr.

Was genau passiert beim Defender-Fehlalarm?

Das Symptom ist immer dasselbe: Windows meldet über eine Benachrichtigung, dass der Virenschutz inaktiv sei und dein System nicht mehr geschützt wäre. Öffnest du danach die Windows-Sicherheit, ist alles grün. Echtzeitschutz an, Signaturen aktuell, kein einziges Ausrufezeichen. Genau dieser Widerspruch macht die Sache so nervig – und für viele Leute so beunruhigend.

Microsoft hat den Fehler am 28. August 2026 in der Windows Release Health offiziell als bekanntes Problem eingetragen. Die Formulierung dort ist eindeutig: Nach der Installation der neuesten Updates für Microsoft Defender Antivirus können Benachrichtigungen erscheinen, die besagen, dass der Defender deaktiviert sei – „obwohl das Antivirenprogramm ordnungsgemäß funktioniert und in allen Einstellungen als aktiv angezeigt wird“. Die Meldungen tauchen typischerweise beim Windows-Start auf und danach sporadisch immer wieder.

Der wirklich ärgerliche Teil: Die Benachrichtigungen erscheinen laut Microsoft auch dann, wenn du die Benachrichtigungseinstellungen für Windows-Sicherheit bereits abgeschaltet hast. Sie ignorieren also den Schalter, den du eigentlich genau dafür hast. Nutzer in den Foren berichten von einem geradezu metronomartigen Rhythmus – einer hat nachgemessen und kommt auf konstant vier Minuten und 13 Sekunden nach dem Login. Das riecht weniger nach einem Schutzproblem als nach einem kaputten Timer im Statusabgleich.

Wen betrifft das Problem – nur Windows 11 25H2?

Nein, und das ist ein Punkt, bei dem einige Meldungen zu kurz greifen. Der Eintrag ist zwar unter anderem bei den bekannten Problemen von Windows 11 25H2 gelandet, betrifft aber praktisch die komplette unterstützte Windows-Landschaft:

• Windows 11: 26H1, 25H2, 24H2 und 23H2
• Windows 10: 22H2, 21H2 sowie die Enterprise-LTSC-Zweige 2019 und 2016
• Windows Server: 2025, 2022, 2019, 2016, 2012 R2 und 2012

Kurz: Wenn Defender bei dir läuft und du die aktuellen Updates hast, kannst du betroffen sein – egal ob Gaming-PC, Office-Notebook oder der kleine Server im Keller. Was auffällt: Nicht jedes System zeigt die Meldung, obwohl es dieselben Updates bekommen hat. Auf meinem Hauptrechner ploppt sie auf, auf dem Zweit-Notebook mit identischem Patchstand nicht. Solche Muster deuten meist auf eine Kombination aus Timing, Hardware und installierten Sicherheitskomponenten hin – eine belastbare Erklärung dafür hat Microsoft bisher nicht geliefert.

Woher kommt der Bug technisch?

Hier muss ich sauber trennen zwischen dem, was bestätigt ist, und dem, was die Community zusammengetragen hat. Bestätigt ist von Microsoft nur: Es liegt an einem der letzten Defender-Updates, die Schutzfunktion selbst ist nicht betroffen, und eine Lösung soll über ein künftiges Defender-Antivirus-Update kommen. Ein Datum nennt Microsoft nicht.

Nicht offiziell bestätigt, aber von mehreren deutschsprachigen Windows-Blogs wie Deskmodder übereinstimmend berichtet: Als Auslöser gilt die Defender-Plattformversion 4.18.26080.3, während die Vorgängerversion 4.18.26070.9 sauber arbeitet. Im Zusammenhang steht außerdem das optionale Update KB5120998, das bei einigen Systemen zusätzlich Mauszeiger-Schemata auf Standard zurückgesetzt und einfarbige Desktop-Hintergründe nach dem Neustart geschwärzt hat. Wenn du also nach dem letzten Patch gleich drei kosmetische Merkwürdigkeiten auf einmal hattest, ist das kein Zufall.

Wichtig für die Einordnung: Die Defender-Plattform aktualisiert sich unabhängig von den großen kumulativen Windows-Updates, oft mehrmals im Monat und ohne dass du etwas davon mitbekommst. Deshalb greift der Reflex „ich deinstalliere einfach das letzte Update“ hier ins Leere. Du müsstest die Plattformversion zurückrollen, und das ist eine deutlich unangenehmere Baustelle als ein normales Update-Rollback.

Wie prüfe ich, ob mein Virenschutz wirklich läuft?

Das ist die eigentlich wichtige Frage, und ich finde den üblichen Ratschlag „ignorier die Meldung einfach“ fahrlässig. Eine Warnung, die manchmal falsch ist, ist nicht dasselbe wie eine Warnung, die immer falsch ist. Wenn dein Defender tatsächlich abgeschaltet wurde – durch eine Fehlkonfiguration, ein Rest-Fragment eines alten Drittanbieter-Scanners oder im schlimmsten Fall durch Schadsoftware –, sieht die Benachrichtigung exakt genauso aus. Deshalb verifizierst du einmal, und danach hast du Ruhe.

Der schnelle Weg über die Oberfläche

Geh in den Einstellungen auf Datenschutz und Sicherheit → Windows-Sicherheit und schau, ob bei allen Schutzbereichen ein grüner Haken steht. Besonders relevant ist Viren- und Bedrohungsschutz: Dort muss unter „Einstellungen verwalten“ der Echtzeitschutz aktiviert sein. Wenn dort alles grün ist und trotzdem Benachrichtigungen kommen, bist du mit hoher Wahrscheinlichkeit ein Fall für die Fehlalarm-Schublade.

Der belastbare Weg über die Kommandozeile

Die Oberfläche zeigt dir eine Auswertung. Ich will die Rohdaten. Öffne eine PowerShell als Administrator – falls du bei Windows-Kommandozeilen noch unsicher bist, hilft dir der Leitfaden zu den wichtigsten CMD- und Windows-Befehlen beim Einstieg – und führe aus:

Get-MpComputerStatus | Select-Object AntivirusEnabled, RealTimeProtectionEnabled, AMServiceEnabled, AntispywareEnabled, AntivirusSignatureLastUpdated

Auf einem gesunden System stehen die ersten vier Werte auf True, und der Zeitstempel der Signaturen ist höchstens ein paar Stunden alt. Zusätzlich kannst du prüfen, ob der Dienst überhaupt läuft:

sc query WinDefend

Hier muss STATE : 4 RUNNING erscheinen. Und wenn du wissen willst, ob du die als problematisch gehandelte Plattformversion erwischt hast, liefert dir das folgender Befehl:

Get-MpComputerStatus | Select-Object AMProductVersion, AMEngineVersion, AMServiceVersion

Wer es ganz genau wissen will, wirft noch einen Blick in die Ereignisanzeige unter Anwendungs- und Dienstprotokolle → Microsoft → Windows → Windows Defender → Operational. Ein echtes Abschalten des Echtzeitschutzes hinterlässt dort die Ereignis-ID 5001, Konfigurationsänderungen die 5007. Findest du dort nichts Passendes zum Zeitpunkt der Benachrichtigung, hat schlicht niemand etwas abgeschaltet – die Meldung kam aus dem Nichts.

Was tun, wenn der Defender wirklich deaktiviert ist?

Zeigt dir Get-MpComputerStatus ein False, ist es kein Fehlalarm, und dann gilt eine andere Reihenfolge. Die drei mit Abstand häufigsten Ursachen aus meiner Praxis:

1. Ein Drittanbieter-Virenscanner ist installiert. Windows schaltet den Defender dann bewusst in den passiven Modus. Das ist gewollt und kein Fehler – die Meldung ist trotzdem verwirrend formuliert.
2. Reste einer deinstallierten Security-Suite. Klassiker. Die meisten Hersteller bieten ein eigenes Removal-Tool an, das mehr wegräumt als die normale Deinstallation.
3. Eine Gruppenrichtlinie oder ein „Optimierungs-Tool“ hat zugeschlagen. Diverse Tuning- und Debloat-Skripte schalten den Defender per Registry ab. Wenn du so etwas benutzt hast, weißt du jetzt, wo du zuerst suchst.

Bleibt der Schutz aus und lässt sich nicht wieder einschalten, ist das ein ernstzunehmendes Signal. Dann würde ich mit einem Offline-Scan starten und anschließend systematisch vorgehen, statt weiter am laufenden System herumzudoktern. Wie du bei hartnäckigen Windows-Problemen systematisch vorgehst, steht im How-to dazu, wie du deinen Windows-Rechner wieder auf Trab bringst – und wenn dein System ohnehin schon länger zäh läuft, lohnt der Blick auf die typischen unbekannten Ursachen, wenn Windows langsam wird.

Sollte ich jetzt zusätzlich ein Antivirenprogramm installieren?

Der Rat, wegen dieses Bugs „einfach zusätzlich einen Virenschutz zu installieren“, geistert gerade durch etliche Artikel, und ich halte ihn für falsch. Erstens löst er das Problem nicht: Die Benachrichtigung kommt aus dem Statusabgleich des Defenders, nicht aus einer tatsächlichen Schutzlücke. Zweitens verschlimmert er es sogar, weil ein installierter Drittanbieter-Scanner den Defender in den passiven Modus schickt – und du damit den Zustand herstellst, vor dem die falsche Meldung ursprünglich gewarnt hat. Danach kannst du echte und falsche Warnungen erst recht nicht mehr auseinanderhalten.

Zwei Echtzeit-Scanner parallel sind ohnehin keine gute Idee. Sie greifen beide tief ins Dateisystem, blockieren sich gegenseitig, kosten spürbar Performance und produzieren gerne mal gegenseitige Fehlalarme. Der Defender ist in den unabhängigen Testreihen der letzten Jahre solide unterwegs, und für den Normalgebrauch reicht er. Wer mehr Sicherheit will, holt sie sich nicht über einen zweiten Scanner, sondern über Verhalten und Konfiguration: aktuelle Updates, sauberes Backup, Zwei-Faktor-Authentifizierung und Passkeys statt wiederverwendeter Passwörter bringen dir im Alltag deutlich mehr als jede zusätzliche Security-Suite.

Kann ich die Benachrichtigung abschalten, bis der Fix kommt?

Ehrliche Antwort: nicht zuverlässig. Genau das ist ja die Besonderheit dieses Bugs – die Meldungen kommen auch dann durch, wenn du unter Windows-Sicherheit → Einstellungen → Benachrichtigungen alles deaktiviert hast. Der Fokus-Assistent hilft dir situativ über eine Präsentation oder eine Gaming-Session hinweg, ist aber keine Lösung.

Von allem, was tiefer eingreift, rate ich in diesem Fall ab. Den Defender-Benachrichtigungsdienst per Registry lahmzulegen bedeutet, dass du künftig auch echte Warnungen nicht mehr siehst – du tauschst also einen kosmetischen Fehler gegen ein reales Sicherheitsrisiko. Ein Rollback der Defender-Plattform ist technisch möglich, hinterlässt dich aber mit einer älteren Erkennungsbasis, und beim nächsten automatischen Update ist die Änderung ohnehin wieder weg. Wenn du generell gerne an Windows-Interna schraubst, findest du im Beitrag zu Feature-Flags und ViVeTool-Alternativen die saubereren Werkzeuge dafür – hier gehören sie schlicht nicht hin.

Microsoft arbeitet an einer Korrektur und liefert sie über ein künftiges Defender-Update aus – die Bitte, die Meldung bis dahin zu ignorieren, hat das Unternehmen inzwischen mehrfach wiederholt. Ein offizielles Datum gibt es nicht; in der Community wird der reguläre Patchday Anfang September als realistisches Zeitfenster gehandelt. Da sich die Defender-Plattform automatisch aktualisiert, musst du dafür nichts tun außer Windows Update in Ruhe arbeiten zu lassen.

Warum mich solche Fehlalarme mehr stören als der Bug selbst

Ein falscher Statusbericht im Virenschutz ist technisch eine Kleinigkeit. Sicherheitspsychologisch ist er es nicht. Wer wochenlang lernt, dass die Sicherheitswarnung seines Betriebssystems Quatsch erzählt, klickt sie irgendwann reflexhaft weg – auch die eine, die stimmt. Alarmmüdigkeit ist der Grund, warum Angriffe funktionieren, die eigentlich sichtbar wären.

Dazu kommt ein zweiter Effekt, den ich in Foren gerade live beobachte: Sobald ein echtes Sicherheitsproblem breit durch die Medien geht, tauchen zuverlässig gefälschte Warnungen auf, die genau diese Optik nachbauen – Popups im Browser, die dir eine „Defender-Reparatur“ andrehen wollen, oder Mails mit angeblichen Microsoft-Support-Links. Der Bug liefert diesen Maschen die perfekte Vorlage. Merk dir deshalb einen einfachen Trennstrich: Echte Defender-Meldungen erscheinen als Windows-Benachrichtigung, niemals in einem Browserfenster, niemals mit Telefonnummer und niemals mit Zahlungsaufforderung. Wie du solche Maschen generell erkennst, steht ausführlicher im Ratgeber zum Schutz vor Phishing und Online-Betrug, und wer den größeren Rahmen sucht, findet ihn in der Übersicht zu den aktuellen Trends in der Cybersicherheit.

Bei mir läuft die Sache jetzt so: einmal Get-MpComputerStatus ausgeführt, Ergebnis mit Datum in meine Notizen geschrieben, Meldung eingeordnet. Sollte sich am Verhalten des Systems etwas ändern – ungewöhnliche Netzwerkaktivität, plötzlich fehlende Berechtigungen, ein Scan, der ohne Ergebnis abbricht –, prüfe ich neu, statt mich auf die Notiz zu verlassen. Und mein Backup läuft weiter stündlich, weil das die einzige Sicherheitsmaßnahme ist, die auch dann noch funktioniert, wenn alles andere schiefgeht. Wenn du deine Windows-Installation ohnehin gerade aufräumst, ist das ein guter Moment, auch die Datenschutz-Einstellungen in Windows 11 zu optimieren und einmal komplett durchzugehen – die haben mit diesem Bug nichts zu tun, aber sie werden noch seltener kontrolliert als der Virenschutz.