Registrierungsänderung

Lege eine Basislinie für Windows-Registrierungsschlüssel an und lass dich über neue Autostart-Einträge oder geänderte Einstellungen informieren.

Der Check Registrierungsänderung speichert beim ersten Lauf die Werte unter den angegebenen Windows-Registrierungsschlüsseln als Basislinie und meldet danach jede Abweichung. So bemerkst du zum Beispiel neue Autostart-Einträge unter HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Run oder geänderte Sicherheitseinstellungen. Der Check läuft über den octoja-Agent direkt auf dem Windows-Gerät (x64 und Arm64), standardmäßig alle 60 Minuten. Linux und macOS werden nicht unterstützt.

Schritte

Gehe zu Geräte und öffne das Gerät.
Klicke auf den Tab Checks → Check hinzufügen → Registrierungsänderung.
Trage unter Registrierungsschlüssel die zu überwachenden Schlüssel ein.
Klicke auf Check hinzufügen.

Alternativ weist du den Check über ein Konfigurationspaket zu.

Einstellungen

Feld	Typ	Erforderlich	Standard	Beschreibung
Registrierungsschlüssel	Liste von Strings	Ja	—	Zu überwachende Schlüssel im PowerShell-Format, z. B. `HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Run`
Unterschlüssel einbeziehen	Boolean	Nein	Nein	Bezieht auch die Werte aller Unterschlüssel ein
Änderung als kritisch melden	Boolean	Nein	Nein	Meldet eine erkannte Änderung als Kritisch statt als Warnung
Aktuelle Werte übernehmen (Basislinie zurücksetzen)	Boolean	Nein	Nein	Speichert beim nächsten Lauf den aktuellen Zustand als neue Basislinie

Was verglichen wird

Für jeden Schlüssel erfasst der Check die Namen und Daten aller Werte, mit Unterschlüssel einbeziehen auch die der Unterschlüssel. Neue, gelöschte oder geänderte Werte fallen auf, ebenso ein Schlüssel, der verschwindet oder neu angelegt wird. Ein neuer Unterschlüssel ohne eigene Werte ändert die Signatur dagegen nicht.

Eine Änderung, die zwischen zwei Läufen gemacht und wieder rückgängig gemacht wird, bleibt unbemerkt.
Die Basislinie speichert der Agent lokal auf dem Gerät, getrennt für jede Schlüsselliste. Änderst du die Liste, legt der nächste Lauf eine neue Basislinie an und meldet OK.
Schaltest du Unterschlüssel einbeziehen um, bleibt die Basislinie bestehen. Enthalten die Unterschlüssel Werte, meldet der nächste Lauf deshalb eine Änderung; übernimm dann die aktuellen Werte wie unten beschrieben.
Mehrere Schlüssel werden gemeinsam bewertet: Die Meldung sagt, dass sich etwas geändert hat, nicht welcher Wert. Überwache Schlüssel, bei denen du das unterscheiden musst, in getrennten Checks.

Ergebnisse

Situation	Ergebnis
Erster Lauf (noch keine Basislinie)	OK, die Check-Details zeigen Basislinie erstellt
Werte entsprechen der Basislinie	OK, Keine Änderung seit Basislinie
Werte weichen von der Basislinie ab	Warnung, mit Änderung als kritisch melden Kritisch; die Check-Details zeigen Registrierung seit Basislinie geändert
Registrierungsschlüssel ist leer	Warnung, Keine Schlüssel konfiguriert
Die Registrierungsabfrage schlägt insgesamt fehl	Fehlgeschlagen, Registrierungsabfrage fehlgeschlagen

Die Check-Details listen jeden Schlüssel mit einer gekürzten Signatur oder dem Hinweis fehlt, wenn der Schlüssel nicht existiert oder nicht gelesen werden konnte.

Eine Änderung bestätigen

Eine erkannte Änderung bleibt gemeldet, bis du die neuen Werte übernimmst — der Check aktualisiert die Basislinie nicht von selbst.

Aktiviere in der Check-Konfiguration Aktuelle Werte übernehmen (Basislinie zurücksetzen) und speichere.
Warte den nächsten Lauf ab. Der Check speichert den aktuellen Zustand als neue Basislinie und meldet OK.
Deaktiviere die Option wieder.

Achtung: Solange Aktuelle Werte übernehmen (Basislinie zurücksetzen) aktiviert ist, überschreibt jeder Lauf die Basislinie und meldet OK. Der Check erkennt in dieser Zeit keine Änderungen.