Fehler 0x80070422 beim Defender: Update-Dienste reparieren

Fehler 0x80070422 beim Defender steht für ERROR_SERVICE_DISABLED: Ein Dienst, den das Update braucht, ist auf „Deaktiviert“ gestellt. Öffne services.msc, setze „Windows Update“ (wuauserv), den „Intelligenten Hintergrundübertragungsdienst“ (BITS) und die „Kryptografiedienste“ auf den Starttyp „Automatisch“ und starte sie. Danach in der Windows-Sicherheit erneut nach Updates suchen – die Signaturen laufen meist sofort durch.

Ist es wirklich dieser Fehler? Symptome und Abgrenzung

Der Code taucht an drei Stellen auf, und immer steckt dieselbe Ursache dahinter: ein Dienst, der laufen müsste, ist abgeschaltet. Das ist die gute Nachricht – kein Hardware-Defekt, kein kaputter Treiber, sondern eine Einstellung, die sich in zwei Minuten zurückdrehen lässt.

• Die Windows-Sicherheit meldet unter „Viren- & Bedrohungsschutz“ den Hinweis „Schutz-Updates sind veraltet“, und der Klick auf „Nach Updates suchen“ bricht mit 0x80070422 ab.
• Unter Einstellungen → Windows Update erscheint dieselbe Nummer, sobald du manuell nach Updates suchst.
• In der Windows-Firewall lässt sich ein Profil nicht mehr einschalten – ebenfalls mit 0x80070422. Hier hängt es an anderen Diensten (Basisfiltermodul BFE und MpsSvc), das Prinzip bleibt identisch.

Zeigt dein Rechner stattdessen eine andere Nummer, ist die Ursache eine andere. Diese Tabelle spart die Fehlsuche:

Code	Bedeutung (typisch)	Ansatzpunkt
0x80070422	Benötigter Dienst ist deaktiviert	Dienste in services.msc
0x80073712	Update-Dateien beschädigt oder unvollständig	sfc und DISM
0x800f0922	Installation scheitert, oft an zu wenig Platz in der System-reservierten Partition oder an der Verbindung zum Update-Server	Speicherplatz und Netzwerk prüfen

Lösung: die Dienste zurück auf einen startfähigen Zustand bringen

Der direkte Weg führt über die Dienste-Konsole. Du brauchst Administratorrechte auf deinem eigenen Gerät – auf einem Firmen- oder Schulrechner gilt der Hinweis weiter unten zur Gruppenrichtlinie.

1. Drücke Windows-Taste + R, tippe services.msc ein und bestätige mit Enter.
2. Suche den Eintrag Windows Update und öffne ihn per Doppelklick.
3. Stelle im Reiter „Allgemein“ den Starttyp auf Automatisch. Auch Manuell ist in Ordnung – Windows 11 startet den Dienst normalerweise per Trigger. Verboten ist nur „Deaktiviert“.
4. Klicke bei „Dienststatus“ auf Starten, dann auf „Übernehmen“ und „OK“.
5. Wiederhole das für Intelligenter Hintergrundübertragungsdienst (BITS) und Kryptografiedienste. Ohne diese beiden lädt und prüft Windows keine Update-Pakete.
6. Öffne die Windows-Sicherheit und stoße das Signatur-Update erneut an.

Diese Dienste gehören zusammen – hier der Überblick samt der Kurznamen, die du in der Kommandozeile brauchst:

Anzeigename	Kurzname	Sinnvoller Starttyp
Windows Update	wuauserv	Automatisch oder Manuell
Intelligenter Hintergrundübertragungsdienst	BITS	Automatisch (verzögerter Start)
Kryptografiedienste	cryptsvc	Automatisch
Windows Installer	msiserver	Manuell
Microsoft Defender Antivirus Service	WinDefend	Automatisch

Schneller geht es in einer als Administrator geöffneten Eingabeaufforderung. Achte auf das Leerzeichen hinter start= – ohne dieses Leerzeichen weist sc den Befehl mit einem Syntaxfehler ab:

• sc config wuauserv start= auto
• sc config bits start= delayed-auto
• sc config cryptsvc start= auto
• net start cryptsvc, dann net start bits, dann net start wuauserv

Die Reihenfolge ist kein Zufall: Der Update-Dienst hängt an den beiden anderen, deshalb zuerst die Abhängigkeiten starten. Ob alles sitzt, zeigt eine PowerShell-Zeile mit Administratorrechten:

Get-Service wuauserv,BITS,cryptsvc,WinDefend | Select-Object Name,Status,StartType

Steht in der Spalte StartType noch „Disabled“, hat der Starttyp-Wechsel nicht gegriffen – dann greift meist eine Richtlinie ein, siehe unten.

Signaturen sofort nachladen – am Windows Update vorbei

Defender kann seine Erkennungsdaten auch direkt von Microsoft holen, statt auf den Update-Dienst zu warten. Das ist praktisch, wenn du die Schutz-Updates sofort brauchst oder testen willst, ob nur der Update-Kanal klemmt.

• PowerShell als Administrator: Update-MpSignature lädt die aktuellen Definitionen. Mit Update-MpSignature -UpdateSource MMPC erzwingst du den Bezug direkt vom Microsoft-Server statt über einen internen WSUS. Zulässige Quellen sind laut Microsofts Cmdlet-Dokumentation InternalDefinitionUpdateServer, MicrosoftUpdateServer, MMPC und FileShares.
• Defender-Kommandozeile: Wechsle mit cd %ProgramData%\Microsoft\Windows Defender\Platform in den Ordner mit der aktuellen Plattform-Version und starte dort MpCmdRun.exe -SignatureUpdate.
• Offline-Paket: Auf der Security-Intelligence-Seite von Microsoft liegt die Datei mpam-feX64.exe für 64-Bit-Systeme. Doppelklick genügt, ein Neustart ist nicht nötig. Am 21. August 2026 lag der Stand dort bei Sicherheitsintelligenz 1.457.269.0, Engine 1.1.26070.7 und Plattform 4.18.26070.9 – Microsoft veröffentlicht neue Definitionen mehrmals täglich, deine Zahlen werden also höher sein.

Wichtig zum Einordnen: Das ist eine Sofortmaßnahme, keine Reparatur. Der Fehler 0x80070422 beim Defender meldet sich beim nächsten geplanten Lauf wieder, solange der Dienst deaktiviert bleibt – und Feature- sowie Sicherheitsupdates für Windows selbst fehlen ohnehin.

Wenn der Fehler 0x80070422 beim Defender bleibt: vier weitere Ursachen

1. Eine Richtlinie setzt den Dienst zurück. Springt der Starttyp nach dem Neustart wieder auf „Deaktiviert“, steuert eine zentrale Vorgabe mit. Auf verwalteten Geräten ist das Absicht: Wende dich an die IT-Abteilung, statt die Vorgabe zu umgehen. Welche Richtlinien greifen, zeigt gpresult /h %userprofile%\Desktop\gpreport.html in einer Administrator-Eingabeaufforderung. Auf einem privaten PC mit Windows Pro prüfst du sie unter gpedit.msc → Computerkonfiguration → Administrative Vorlagen → Windows-Komponenten → Windows Update.

2. Beschädigte Systemdateien. Lässt sich der Dienst starten, fällt aber sofort wieder aus, sind meist Systemdateien defekt. Führe in der Administrator-Eingabeaufforderung nacheinander sfc /scannow und danach DISM /Online /Cleanup-Image /RestoreHealth aus. Der erste Befehl repariert geschützte Systemdateien, der zweite das darunterliegende Komponenten-Image, aus dem sich sfc bedient. Beide Läufe dauern einige Minuten.

3. Drittanbieter-Schutzsoftware oder ein Tuning-Tool. Manche Sicherheitspakete legen Windows-Update-Dienste still, weil sie den Schutz komplett übernehmen wollen; Optimierungs- und „Telemetrie-aus“-Tools schalten wuauserv gleich mit ab. Prüfe im installierten Schutzprogramm Optionen wie „Windows Update verwalten“ und deaktiviere sie testweise. Zur Einordnung: Solange ein fremder Virenschutz aktiv ist, läuft Microsoft Defender ohnehin nur im passiven Modus – die Signaturen sollte er trotzdem aktuell halten können.

4. Zerschossene Update-Komponenten. Lege zuerst einen Wiederherstellungspunkt an, das ist ein Eingriff am laufenden System. Stoppe dann in der Administrator-Eingabeaufforderung die Dienste mit net stop wuauserv, net stop bits und net stop cryptsvc, benenne anschließend C:\Windows\SoftwareDistribution und C:\Windows\System32\catroot2 um (etwa mit dem Zusatz .old) und starte die Dienste wieder. Windows legt beide Ordner beim nächsten Update-Versuch sauber neu an.

Hilft davon nichts, bleibt die Reparaturinstallation: Unter Windows 11 findest du sie in den Einstellungen unter System → Wiederherstellung als „Probleme mithilfe von Windows Update beheben“. Windows installiert dieselbe Version neu und lässt Dateien, Programme und Einstellungen stehen. Ein aktuelles Backup gehört trotzdem davor. Weitere Diagnosewege beschreibt die Microsoft-Dokumentation zur Windows-Update-Fehlerbehebung.

Warum ausgerechnet dieser Dienst deaktiviert wird

0x80070422 ist ein allgemeiner Windows-Fehlercode mit der schlichten Bedeutung „Der Dienst ist deaktiviert“ – er gehört nicht dem Defender, sondern der Dienststeuerung von Windows. Jeder Dienst hat in der Registrierung unter seinem Schlüssel einen Wert Start: 2 steht für Automatisch, 3 für Manuell, 4 für Deaktiviert. Genau diese 4 quittiert Windows mit ERROR_SERVICE_DISABLED. Für die Fachinformatiker-Prüfung lohnt sich das Zusammenspiel dahinter: Ein Dienst startet nur, wenn seine Abhängigkeiten laufen – bei wuauserv sind das BITS und die Kryptografiedienste. Fällt ein Glied der Kette, meldet die Anwendung ganz oben den Fehler, obwohl die Ursache eine Ebene tiefer liegt.

Der Defender bezieht seine Signaturen standardmäßig über denselben Update-Kanal wie Windows selbst und weicht erst über die konfigurierte Fallback-Reihenfolge auf Microsofts Direktserver aus. Ist der Kanal blockiert und keine Ausweichquelle gesetzt, veralten die Definitionen still vor sich hin – der Rechner meldet Schutz, arbeitet aber mit Erkennungsdaten von vorgestern.

Von allein deaktiviert sich der Dienst selten. Die üblichen Auslöser sind Tuning- und Debloating-Skripte, Richtlinien in verwalteten Netzen und abgebrochene Funktionsupdates, die Dienste in einem halben Zustand hinterlassen. Wer solche Skripte einsetzt, sollte danach kurz in services.msc nachsehen, ob die drei Dienste noch startfähig sind – das erspart die nächste Runde Fehlersuche.

Menüpfade und Befehle in dieser Anleitung beziehen sich auf Windows 11 24H2 und 25H2 sowie Windows 10 22H2; unter älteren Builds heißen einzelne Menüpunkte anders. Ein Blick auf den Kalender lohnt dabei: Windows 11 24H2 erhält nur noch bis zum 13. Oktober 2026 Sicherheitsupdates, 25H2 bis zum 12. Oktober 2027. Wer noch auf 24H2 sitzt, löst mit dem Umstieg auf 25H2 oder das für Herbst 2026 angekündigte 26H2 zwei Probleme auf einmal – denn ein Defender mit frischen Signaturen auf einem Windows ohne Sicherheitsupdates ist nur der halbe Schutz.

Häufige Fragen

Was bedeutet der Fehlercode 0x80070422?

Er steht für ERROR_SERVICE_DISABLED: Ein benötigter Systemdienst – fast immer „Windows Update“ (wuauserv) – ist auf „Deaktiviert“ gestellt. Defender kann seine Signaturen deshalb nicht laden.

Welche Dienste muss ich aktivieren?

Windows Update (wuauserv), den Intelligenten Hintergrundübertragungsdienst (BITS) und die Kryptografiedienste (cryptsvc). Starttyp „Automatisch“ oder „Manuell“, aber niemals „Deaktiviert“.

Wie aktualisiere ich Defender-Signaturen ohne Windows Update?

In PowerShell als Administrator „Update-MpSignature“ ausführen oder das Offline-Paket mpam-feX64.exe von Microsofts Security-Intelligence-Seite starten. Das ist eine Sofortmaßnahme, ersetzt die Reparatur des Dienstes aber nicht.

Der Dienst springt nach dem Neustart wieder auf „Deaktiviert“. Warum?

Dann setzt eine Gruppenrichtlinie den Starttyp zurück, typisch auf Firmen- und Schulrechnern. Prüfe die aktiven Richtlinien mit „gpresult /h“ und wende dich an die zuständige IT, statt die Vorgabe zu umgehen.

Darf ich Defender einfach abschalten, um den Fehler loszuwerden?

Nein. Dann steht der Rechner ohne Virenschutz da und der deaktivierte Update-Dienst blockiert weiterhin auch die Windows-Sicherheitsupdates. Repariere stattdessen die Dienste.