Antivirus-Status

Der Check Antivirus-Status prüft, ob ein erkanntes Antivirenprodukt installiert ist, ob der Echtzeitschutz aktiviert ist und ob die Virendefinitionen aktuell sind. Er läuft nur unter Windows, alle 60 Minuten. Auf Windows-Client-Editionen liest er das Windows Security Center aus; auf Windows Server, wo das Security Center nicht verfügbar ist, prüft er jeden unterstützten Hersteller direkt.

Voraussetzungen

• Du benötigst die Berechtigung Monitoring-Check-Verwaltung.
• Das Zielgerät muss unter Windows laufen und einen verbundenen Agent haben.

Schritte

1. Gehe zu Geräte und öffne das Gerät.
2. Klicke auf den Tab Checks → Check hinzufügen → Antivirus-Status.
3. Standardmäßig ist nur Echtzeitschutz erforderlich sichtbar. Aktiviere Erweiterte Optionen anzeigen, um die Schwellenwerte für Definitions- und Scan-Alter einzublenden.
4. Passe die Schwellenwerte bei Bedarf an.
5. Klicke auf Check hinzufügen.

Nach der ersten Ausführung siehst du das Ergebnis im Tab Checks des Geräts.

Einstellungen

Echtzeitschutz erforderlich ist immer sichtbar. Die vier Schwellenwert-Felder (Definitionsalter und Scan-Alter) bleiben ausgeblendet, bis du in der Check-Konfiguration den Schalter Erweiterte Optionen anzeigen aktivierst.

• Die Schwellenwerte greifen ab dem eingestellten Wert: Mit den Standardwerten löst ein Definitionsalter von genau 3 Tagen bereits eine Warnung aus.
• Wird ein Warn-Schwellenwert höher gesetzt als der zugehörige kritische Schwellenwert, vertauscht der Check die beiden Werte. Das Paar für das Definitionsalter und das Paar für das Scan-Alter werden dabei unabhängig voneinander korrigiert.
• Das Scan-Alter wird nur für Microsoft Defender ausgewertet, da nur Defender das Alter des letzten Schnellscans meldet.
• Auf den meisten Endgeräten sollte Echtzeitschutz erforderlich aktiviert sein. Ausnahme sind Server mit spezialisierten Workloads, bei denen Echtzeit-Scanning Leistungsprobleme verursacht — dort plane stattdessen regelmäßige Scans.

Ergebnisse

Das Check-Ergebnis enthält:

• Name des Antivirenprodukts
• Aktivierungsstatus und Echtzeitschutz-Status
• Definitionsstatus (aktuell oder veraltet)
• Letztes Definitionsupdate (ISO-Zeitstempel) und Definitionsalter in Tagen
• Alter des letzten Schnellscans in Tagen
• Alter des letzten Vollscans in Tagen

Sind mehrere Antivirenprodukte installiert, wird jedes einzeln ausgewertet. Ist mindestens eines davon aktiviert, bilden nur die aktivierten Produkte das Gesamtergebnis; ein deaktiviertes Produkt bleibt mit seinem eigenen Status in der Liste, denn das ist ein echter Befund. Microsoft Defender ohne aktiven Echtzeitschutz wird nur dann als sekundärer Schutz ignoriert, wenn ein anderes aktiviertes Produkt seinen Echtzeitschutz ausdrücklich als aktiv meldet. Ein nur installiertes Produkt oder ein unbekannter Schutzstatus reicht dafür nicht. Prüfe bei einem kritischen Ergebnis deshalb den tatsächlich aktiven Echtzeitschutz, statt Defender allein wegen eines vorhandenen Drittanbieterprodukts auszuschließen.

Ist dasselbe Produkt mehrfach beim Security Center registriert — etwa durch eine verwaiste Registrierung nach einer Deinstallation oder einem Upgrade —, werden die Einträge zu einem zusammengefasst. Es gewinnt die Registrierung, die das Security Center zuletzt gemeldet hat; das Produkt wird also einmal aufgeführt und einmal bewertet.

Wird gar kein Produkt erkannt, liefert der Check ein kritisches Ergebnis. In den ersten fünf Minuten nach dem Start eines Geräts wird ein kritisches Ergebnis wegen fehlendem oder inaktivem Schutz alle 15 Sekunden erneut geprüft — bis zu achtmal —, bevor es gemeldet wird. So löst ein Antivirendienst, der noch startet, keinen Fehlalarm aus. Kritische Ergebnisse wegen Definitions- oder Scan-Alter werden sofort gemeldet.

Unterstützte Antivirenprodukte

Für die folgenden acht Hersteller verwendet der Check herstellerspezifische Prüfungen. Sie sind die einzigen Hersteller, die auf Windows Server über die direkte Erkennung gefunden werden. Microsoft Defender meldet einen exakten Zeitstempel des Definitionsupdates sowie das Alter von Schnell- und Vollscan. Sophos und VIPRE melden ebenfalls einen exakten Zeitstempel des Definitionsupdates; die übrigen Hersteller liefern eher den Schutzstatus als Definitions- oder Scan-Daten.

• Microsoft Defender
• Bitdefender Endpoint Security Tools (GravityZone)
• WatchGuard EPDR (auch unter dem früheren Produktnamen Panda Adaptive Defense)
• Sophos
• ESET
• SentinelOne
• CrowdStrike Falcon
• VIPRE Business Agent

Diese Hersteller werden auch ohne Security-Center-Registrierung direkt erkannt. Auf Windows Server ist das der primäre Erkennungsweg, auf Client-Editionen ein Sicherheitsnetz. Auf Windows-Client-Editionen wird der Produktname angezeigt, mit dem sich das installierte Produkt beim Security Center registriert — er kann daher leicht von den obigen Namen abweichen (zum Beispiel „Sophos Endpoint Protection“).

Jedes andere Produkt, das sich beim Windows Security Center (WMI-Namespace SecurityCenter2) registriert, wird nur auf Basisniveau erkannt — Aktivierungsstatus und Echtzeitschutz werden gemeldet, herstellerspezifische Metriken jedoch nicht erfasst, und auf Windows Server wird das Produkt nicht erkannt. Für diese Produkte ist kein exaktes Definitionsalter verfügbar. Meldet das Security Center deren Definitionen als veraltet, löst der Check unabhängig von den Schwellenwert-Feldern für das Definitionsalter eine Warnung aus — die Schwellenwerte gelten nur für Produkte mit exaktem Definitions-Zeitstempel.

Zeigt der Check „Keine Antivirusprodukte erkannt.“, ist entweder kein Virenschutz installiert oder das Produkt registriert sich nicht beim Windows Security Center. Prüfe in diesem Fall, ob der WMI-Provider des Produkts aktiviert ist; manche Enterprise-Produkte benötigen das.