Windows Sandbox als Testumgebung: verdächtige Programme sicher prüfen

Die Windows Sandbox ist eine abgeschottete Wegwerf-Version von Windows, die in wenigen Sekunden startet und beim Schließen restlos verschwindet – mitsamt allem, was du darin ausprobiert hast. Du aktivierst sie einmalig über die Windows-Features (verfügbar in Pro, Enterprise und Education), startest neu und hast damit eine Testumgebung, in der ein verdächtiges Programm laufen darf, ohne dein echtes System zu berühren.

Wer die Windows Sandbox nutzen kann – und was vorher stimmen muss

Bevor du loslegst, drei Bedingungen, die alle erfüllt sein müssen – sonst taucht der Menüpunkt gar nicht erst auf:

• Windows-Edition: Die Sandbox steckt in Windows 10 und 11 in den Editionen Pro, Enterprise, Education und Pro Education/SE. In der Home-Edition fehlt sie – hier hilft nur ein Upgrade oder eine Alternative wie eine klassische virtuelle Maschine.
• Virtualisierung: Die CPU-Virtualisierung (bei Intel „Intel VT-x“, bei AMD „AMD-V“ bzw. „SVM Mode“) muss im BIOS/UEFI eingeschaltet sein. Prüfen kannst du das schnell im Task-Manager: Strg + Umschalt + Esc → Reiter Leistung → CPU. Steht dort unten bei „Virtualisierung“ ein Aktiviert, passt es.
• Hardware: Microsoft nennt mindestens 4 GB RAM (8 GB sind entspannter) und zwei CPU-Kerne. Die Sandbox belegt standardmäßig bis zu 4 GB Arbeitsspeicher und teilt ihn sich dynamisch mit dem Host.

Läuft dein Windows selbst schon in einer VM, brauchst du dort aktivierte verschachtelte Virtualisierung (nested virtualization) – sonst verweigert die Sandbox den Start.

Windows Sandbox aktivieren – Schritt für Schritt

1. Drücke Windows + R, tippe optionalfeatures und bestätige mit Enter. Es öffnet sich das Fenster „Windows-Features aktivieren oder deaktivieren“.
2. Scrolle zu Windows-Sandbox, setze das Häkchen und klicke auf OK.
3. Windows installiert die nötigen Komponenten und verlangt einen Neustart. Den führst du durch.
4. Nach dem Neustart findest du Windows Sandbox im Startmenü. Ein Klick, ein paar Sekunden Wartezeit – und ein frisches, leeres Windows erscheint in einem eigenen Fenster.

Wer lieber die Kommandozeile nutzt: In einer als Administrator geöffneten PowerShell erledigt derselbe Befehl die Aktivierung:

Enable-WindowsOptionalFeature -FeatureName "Containers-DisposableClientVM" -All -Online

Auch danach ist ein Neustart fällig, bevor die Sandbox im Startmenü auftaucht.

Ein verdächtiges Programm in der Sandbox testen

Die Sandbox teilt sich standardmäßig die Zwischenablage mit deinem Hauptsystem – das ist der bequemste Weg, eine Datei hineinzubekommen:

1. Markiere die verdächtige Datei auf deinem normalen Desktop und kopiere sie mit Strg + C.
2. Klicke ins Sandbox-Fenster, gehe auf den Sandbox-Desktop und füge sie mit Strg + V ein.
3. Führe das Programm innerhalb der Sandbox aus und beobachte, was es tut: Will es sich in den Autostart schreiben, weitere Dateien nachladen, unerwartet ins Netz funken?
4. Bist du fertig, schließt du einfach das Sandbox-Fenster. Windows fragt nach, ob wirklich alles gelöscht werden soll – bestätigst du das, ist die komplette Sitzung samt Schadprogramm spurlos weg.

Wichtig zu verstehen: Auf dem Host installierte Programme sind in der Sandbox nicht vorhanden. Brauchst du dort einen Browser oder ein Analyse-Tool, musst du es innerhalb der Sandbox erneut installieren – was ja gerade der Sinn der Sache ist. Und es läuft immer nur eine Sandbox-Instanz gleichzeitig.

Mit einer .wsb-Datei sicherer testen

Die Standard-Sandbox hat zwei Voreinstellungen, die beim Umgang mit echter Schadsoftware unangenehm sind: Das Netzwerk ist eingeschaltet und die Sandbox hängt am internen Netz. Für die Malware-Analyse willst du das oft anders. Solche Vorgaben legst du in einer einfachen XML-Konfigurationsdatei mit der Endung .wsb fest.

Öffne den Editor (Notepad), füge folgendes Beispiel ein und speichere es unter einem Namen wie test.wsb – achte darauf, dass wirklich .wsb und nicht .txt am Ende steht:

<Configuration>
  <Networking>Disable</Networking>
  <vGPU>Disable</vGPU>
  <MappedFolders>
    <MappedFolder>
      <HostFolder>C:\Sandbox-Proben</HostFolder>
      <SandboxFolder>C:\Users\WDAGUtilityAccount\Desktop\Proben</SandboxFolder>
      <ReadOnly>true</ReadOnly>
    </MappedFolder>
  </MappedFolders>
</Configuration>

Ein Doppelklick auf die Datei startet die Sandbox mit genau diesen Einstellungen. Was hier passiert:

• <Networking>Disable</Networking> kappt die Internet- und Netzverbindung. Das verkleinert die Angriffsfläche und verhindert, dass ein Schädling nach Hause telefoniert oder sich ausbreitet.
• <MappedFolder> mit <ReadOnly>true</ReadOnly> blendet einen Host-Ordner (hier C:\Sandbox-Proben) nur lesend in die Sandbox ein. So kommst du an deine Proben, ohne dass die Schadsoftware zurück auf dein echtes System schreiben kann.

Vorsicht bei Schreibrechten: Lässt du bei einem eingebundenen Ordner ReadOnly auf false, können Änderungen aus der Sandbox – und damit auch ein Schädling – den echten Ordner auf dem Host verändern. Für Malware-Tests deshalb konsequent true verwenden oder den Ordner ganz weglassen. Ab Windows 11 24H2 gibt es zusätzlich das Kommandozeilen-Tool wsb.exe, mit dem sich die Sandbox auch per Skript starten und steuern lässt.

Häufige Fragen

Ist die Windows Sandbox in Windows Home verfügbar?

Nein. Die Windows Sandbox gibt es nur in den Editionen Pro, Enterprise, Education und Pro Education/SE von Windows 10 und 11. In der Home-Edition fehlt die Funktion; dort hilft nur ein Edition-Upgrade oder eine klassische virtuelle Maschine als Alternative.

Anzeige

Bleiben Programme in der Windows Sandbox gespeichert?

Nein. Die Sandbox ist eine Wegwerf-Umgebung: Sobald du das Fenster schließt, werden alle installierten Programme, Dateien und Änderungen gelöscht. Jeder Start liefert ein völlig sauberes, leeres Windows. Ein innerhalb der Sandbox ausgelöster Neustart überlebt seit Windows 11 22H2 nur die laufende Sitzung.

Kann Schadsoftware aus der Sandbox auf mein echtes System gelangen?

Durch die hypervisorbasierte Kernel-Isolation ist das sehr unwahrscheinlich. Vorsicht gilt aber bei zwei Punkten: eingebundene Host-Ordner mit Schreibrechten und das standardmäßig aktive Netzwerk. Für Malware-Tests solltest du das Netzwerk per .wsb-Datei deaktivieren und Ordner nur schreibgeschützt einbinden.

Wie aktiviere ich die Windows Sandbox am schnellsten?

Drücke Windows + R, tippe optionalfeatures, setze das Häkchen bei Windows-Sandbox und starte neu. Alternativ funktioniert in einer Administrator-PowerShell der Befehl Enable-WindowsOptionalFeature -FeatureName „Containers-DisposableClientVM“ -All -Online, ebenfalls gefolgt von einem Neustart.

Warum startet die Windows Sandbox nicht?

Häufigste Ursache ist eine im BIOS/UEFI deaktivierte CPU-Virtualisierung (Intel VT-x bzw. AMD-V/SVM). Prüfe im Task-Manager unter Leistung > CPU, ob Virtualisierung auf Aktiviert steht, und schalte sie andernfalls im BIOS ein. Läuft Windows selbst in einer VM, ist verschachtelte Virtualisierung nötig.

Warum die Sandbox so sicher ist

Hinter der Windows Sandbox steckt keine simple Programmkapselung, sondern eine vollwertige, aber verwerfbare virtuelle Maschine. Sie basiert auf dem Microsoft-Hypervisor und läuft mit einem eigenen, separaten Kernel, der hardwareseitig vom Host abgeschottet ist. Genau diese Kernel-Isolation ist der Grund, warum ein Programm in der Sandbox kaum an dein eigentliches Windows herankommt – anders als bei reinen Software-Sandkästen, die im selben System laufen.

Gegenüber einer klassischen VM spart dir das eine Menge Aufwand: kein separates Windows-Abbild pflegen, keine Lizenz extra, Start in Sekunden statt Minuten. Der Preis dafür ist die Vergänglichkeit – und die ist beim Testen verdächtiger Software eher Feature als Nachteil. Wer noch eine Schippe drauflegen will, kann in der .wsb-Datei mit <ProtectedClient>Enable</ProtectedClient> zusätzliche Isolationsschichten aktivieren; das kann allerdings das Kopieren von Dateien in die Sandbox einschränken.