Antivirus-Status-Check-Referenz

Konfigurationsoptionen für den Antivirus-Status-Check

Antivirus-Status-Check-Referenz

Konfigurationsoptionen für den Antivirus-Status-Check

Der Antivirus-Status-Check prüft, ob ein erkanntes Antivirenprodukt installiert, aktiv und aktuell ist. Auf Windows-Client-Editionen liest er das Windows Security Center aus; auf Windows Server, wo das Security Center nicht verfügbar ist, prüft er jeden unterstützten Hersteller direkt.

Konfigurationsfelder

Echtzeitschutz erforderlich ist immer sichtbar. Die vier Schwellenwert-Felder (Definitionsalter und Scan-Alter) bleiben ausgeblendet, bis du in der Check-Konfiguration den Schalter Erweiterte Optionen anzeigen aktivierst.

Feld	Typ	Erforderlich	Standard	Beschreibung
Echtzeitschutz erforderlich	Boolean	Nein	Ja	Meldet ein kritisches Ergebnis, wenn der Echtzeitschutz deaktiviert ist
Warnung nach (Tagen) — unter Schwellenwerte Definitionsalter	Zahl (Tage)	Nein	3	Tage seit dem letzten Definitionsupdate, bevor eine Warnung ausgelöst wird
Kritisch nach (Tagen) — unter Schwellenwerte Definitionsalter	Zahl (Tage)	Nein	7	Tage seit dem letzten Definitionsupdate, bevor ein kritisches Ergebnis ausgelöst wird
Scan-Warnung nach (Tagen) — unter Schwellenwerte Scan-Alter	Zahl (Tage)	Nein	14	Tage seit dem letzten Schnellscan, bevor eine Warnung ausgelöst wird
Scan kritisch nach (Tagen) — unter Schwellenwerte Scan-Alter	Zahl (Tage)	Nein	30	Tage seit dem letzten Schnellscan, bevor ein kritisches Ergebnis ausgelöst wird

Der Check läuft in einem festen 60-Minuten-Intervall.

Erfasste Metriken

Name des Antivirenprodukts
Aktivierungsstatus und Echtzeitschutz-Status
Definitionsstatus (aktuell oder veraltet)
Letztes Definitionsupdate (ISO-Zeitstempel) und Definitionsalter in Tagen
Alter des letzten Schnellscans in Tagen
Alter des letzten Vollscans in Tagen

Unterstützte Antivirenprodukte

Für die folgenden acht Hersteller verwendet der Check herstellerspezifische Prüfungen. Sie sind die einzigen Hersteller, die auf Windows Server über die direkte Erkennung als Fallback gefunden werden. Microsoft Defender meldet einen exakten Zeitstempel des Definitionsupdates sowie das Alter von Schnell- und Vollscan. Sophos und VIPRE melden ebenfalls einen exakten Zeitstempel des Definitionsupdates; die übrigen Hersteller liefern eher den Schutzstatus als Definitions- oder Scan-Daten.

Microsoft Defender
Bitdefender Endpoint Security Tools (GravityZone)
WatchGuard EPDR (auch unter dem früheren Produktnamen Panda Adaptive Defense)
Sophos
ESET
SentinelOne
CrowdStrike Falcon
VIPRE Business Agent

Auf Windows-Client-Editionen wird der Produktname angezeigt, mit dem sich das installierte Produkt beim Security Center registriert — er kann daher leicht von den obigen Namen abweichen (zum Beispiel „Sophos Endpoint Protection“).

Jedes andere Produkt, das sich beim Windows Security Center (WMI-Namespace SecurityCenter2) registriert, wird nur auf Basisniveau erkannt — Aktivierungsstatus und Echtzeitschutz werden gemeldet, herstellerspezifische Metriken jedoch nicht erfasst, und auf Windows Server wird das Produkt nicht erkannt. Wird ein installiertes Produkt nicht erkannt, prüfe, ob sein WMI-Provider aktiviert ist.

Plattformunterstützung

Plattform	Unterstützt
Windows	Ja
Linux	Nein
macOS	Nein

Hinweise

Sind mehrere Antivirenprodukte installiert, wird jedes einzeln ausgewertet. Microsoft Defender ohne aktiven Echtzeitschutz wird nur dann als sekundärer Schutz ignoriert, wenn ein anderes aktiviertes Produkt seinen Echtzeitschutz ausdrücklich als aktiv meldet. Ein nur installiertes Produkt oder ein unbekannter Schutzstatus reicht dafür nicht. Prüfe bei einem kritischen Ergebnis deshalb den tatsächlich aktiven Echtzeitschutz, statt Defender allein wegen eines vorhandenen Drittanbieterprodukts auszuschließen.
Ist dasselbe Produkt mehrfach beim Security Center registriert — etwa durch eine verwaiste Registrierung nach einer Deinstallation oder einem Upgrade —, werden die Einträge zu einem zusammengefasst. Es gewinnt die Registrierung, die das Security Center zuletzt gemeldet hat; das Produkt wird also einmal aufgeführt und einmal bewertet.
Auf Windows Server ist das Security Center (SecurityCenter2) typischerweise nicht verfügbar. In diesem Fall greift der Check auf einen direkten Erkennungspfad zurück, der jeden unterstützten Hersteller einzeln prüft — dies ist auf Windows Server der primäre Codepfad und anderswo ein Sicherheitsnetz.
Wird gar kein Produkt erkannt, liefert der Check ein kritisches Ergebnis. In den ersten fünf Minuten nach dem Start eines Geräts wird ein kritisches Ergebnis wegen fehlendem oder inaktivem Schutz alle 15 Sekunden erneut geprüft — bis zu achtmal —, bevor es gemeldet wird. So löst ein Antivirendienst, der noch startet, keinen Fehlalarm aus. Kritische Ergebnisse wegen Definitions- oder Scan-Alter werden sofort gemeldet.
Für Produkte mit Basiserkennung (alles außerhalb der oben aufgeführten Hersteller) ist kein exaktes Definitionsalter verfügbar. Meldet das Security Center deren Definitionen als veraltet, löst der Check unabhängig von den Schwellenwert-Feldern für das Definitionsalter eine Warnung aus — die Schwellenwerte gelten nur für Produkte mit exaktem Definitions-Zeitstempel.
Wird ein Warn-Schwellenwert höher gesetzt als der zugehörige kritische Schwellenwert, vertauscht der Check die beiden Werte. Das Paar für das Definitionsalter und das Paar für das Scan-Alter werden dabei unabhängig voneinander korrigiert.

Siehe auch: Antivirus-Status-Check konfigurieren