SECURITY_PRODUCT_STATE_ON: Was der Defender-Fehler bedeutet und wie du ihn behebst

„Error while updating Windows Defender status to SECURITY_PRODUCT_STATE_ON“ ist kein Absturz, sondern ein Protokolleintrag: Ereignis-ID 16 der Quelle SecurityCenter, zu finden im Windows-Protokoll Anwendung. Der Dienst Sicherheitscenter (wscsvc) konnte den Zustand von Microsoft Defender Antivirus nicht auf „eingeschaltet“ setzen — fast immer, weil ein zweites Antivirenprogramm die Rolle des aktiven Scanners übernommen hat. Zeigt die Windows-Sicherheit weiterhin „Aktiv“, ist der Eintrag kosmetisch. Bleibt der Schutz aus, helfen die Schritte weiter unten.

Ist der Fehler überhaupt ein Problem?

Bevor du irgendetwas reparierst, klär die wichtigste Frage: Läuft der Defender trotz der Meldung? Öffne dazu Windows-Sicherheit (Startmenü → „Windows-Sicherheit“) und sieh dir Viren- & Bedrohungsschutz an.

• Grüner Haken, Status „Aktiv“, aktuelle Schutzupdates — dann ist der Log-Eintrag rein kosmetisch. Er kann nach jedem Neustart auftauchen, ohne dass etwas kaputt ist.
• Ein echtes Problem liegt vor, wenn der Status auf „Deaktiviert“ hängt, die Meldung „Der Bedrohungsdienst wurde beendet“ erscheint oder MsMpEng.exe dauerhaft hohe CPU-Last erzeugt, weil Windows den Status im Sekundentakt vergeblich neu setzt.

Den harten Gegencheck macht die PowerShell. Öffne sie als Administrator (Rechtsklick aufs Startmenü → „Terminal (Administrator)“) und gib ein: Get-MpComputerStatus | select AMRunningMode. Microsoft nennt für laufenden Schutz genau drei gültige Rückgaben: Normal, Passive oder EDR Block Mode — steht dort etwas anderes oder gar nichts, ist der Schutz tatsächlich aus (Microsoft Learn, Stand August 2026).

Den Eintrag selbst findest du in der Ereignisanzeige (Windows-Taste + R → eventvwr) unter Windows-Protokolle → Anwendung. Filtere über Aktuelles Protokoll filtern nach der Ereignisquelle SecurityCenter und der Ereignis-ID 16. Der Zweig Anwendungs- und Dienstprotokolle → Microsoft → Windows → Windows Defender ist ein anderes Protokoll: Dort stehen Scan- und Definitionsereignisse des Defenders selbst, nicht die Statusmeldungen des Sicherheitscenters.

Welche Ereignis-IDs rund um den Fehler auftauchen

Wer im Log sucht, findet meist ein ganzes Bündel. Diese vier gehören zusammen und lassen sich sauber einordnen:

Ereignis-ID	Quelle	Bedeutung
15	SecurityCenter	Erfolgsmeldung — der Status wurde gesetzt („Updated … status successfully to SECURITY_PRODUCT_STATE_ON“). Manche Fremdprodukte schreiben sie im Minutentakt ins Log; Broadcom hat so ein Dauerfeuer alle fünf Minuten bei Symantec Endpoint Protection 14 als Fehler bestätigt und mit RU1 MP2 behoben.
16	SecurityCenter	Der Fehlerfall — das Statusupdate schlug fehl. Das ist der Eintrag, um den es hier geht.
3	SecurityCenter	„Windows Security Center Service was unable to establish event queries with WMI“ — der Dienst kommt an die WMI-Schnittstelle nicht heran. Tritt der Eintrag zusammen mit ID 16 auf, liegt die Ursache im Sicherheitscenter, nicht im Defender.
10016	DistributedCOM	Fehlende Aktivierungsrechte für COM-Komponenten wie WscBrokerManager. Microsoft stuft diese Meldungen ausdrücklich als „by design“ ein und rät davon ab, die DCOM-Berechtigungen anzupassen.

Die Einordnung spart Arbeit: Nur ID 16 in Kombination mit einem tatsächlich abgeschalteten Schutz ist ein Fall für die Werkzeugkiste. ID 15 und ID 10016 sind Rauschen.

SECURITY_PRODUCT_STATE_ON Schritt für Schritt beheben

Arbeite die Schritte in dieser Reihenfolge ab und prüfe nach jedem, ob der Status auf „Aktiv“ springt. Die häufigste Ursache steht bewusst zuerst.

1. Drittanbieter-Virenschutz entfernen oder bereinigen. Avira, Avast, McAfee, Norton und Co. melden sich als aktiver Schutz beim Sicherheitscenter an und verdrängen den Defender. Geh auf Einstellungen → Apps → Installierte Apps, deinstalliere das Programm und starte neu. Reste lassen sich oft nur mit dem offiziellen Removal-Tool des Herstellers loswerden — eine normale Deinstallation hinterlässt häufig einen registrierten „Geister“-Schutz, der den Konflikt weiter auslöst. Läuft danach nur noch der Defender, aktiviert Windows ihn laut Microsoft automatisch wieder.
2. Die nötigen Dienste prüfen. In der Administrator-PowerShell: Get-Service WinDefend, WdNisSvc, wscsvc, SecurityHealthService. Stehen alle auf Running, ist hier alles in Ordnung. wscsvc ist der Sicherheitscenter-Dienst, SecurityHealthService die Oberfläche der Windows-Sicherheit. Microsoft warnt ausdrücklich davor, diese Dienste zu stoppen oder umzukonfigurieren: Ist wscsvc deaktiviert, erkennt der Defender ein fremdes Antivirus gar nicht mehr und bleibt aktiv — dann laufen zwei Echtzeitscanner parallel.
3. Die Windows-Sicherheit-App zurücksetzen. Unter Einstellungen → Apps → Installierte Apps die App „Windows-Sicherheit“ suchen, dann über das Drei-Punkte-Menü → Erweiterte Optionen → Zurücksetzen. Das setzt nur die Oberfläche neu, nicht den Schutz selbst — der richtige Griff bei leeren oder eingefrorenen Statusanzeigen.
4. Schutzupdates manuell ziehen. Wechsle in der Administrator-Eingabeaufforderung nach C:\Program Files\Windows Defender und starte MpCmdRun.exe -SignatureUpdate. Die jeweils neueste Fassung des Werkzeugs liegt unter C:\ProgramData\Microsoft\Windows Defender\Platform\<Plattformversion>; von dort aus arbeitet der Befehl zuverlässiger. Veraltete Definitionen sind ein häufiger Grund dafür, dass der Schutzstatus nicht auf „eingeschaltet“ geht.
5. Hängende Definitionen zurücksetzen. Bleibt der Definitionsstand trotz Update stehen, hilft der von Microsoft dokumentierte Weg: MpCmdRun.exe -RemoveDefinitions -All setzt die Sicherheitsintelligenz auf den Auslieferungsstand zurück, danach holt MpCmdRun.exe -SignatureUpdate alles frisch. Rechne mit einigen Minuten ohne aktuelle Signaturen und trenne den Rechner in dieser Zeit besser vom Netz.
6. Systemdateien reparieren. Erst DISM /Online /Cleanup-Image /RestoreHealth, danach sfc /scannow. Diese Reihenfolge ist wichtig und steht so auch in Microsofts Anleitung zu Windows-Update-Fehlern: sfc zieht seine Ersatzdateien aus dem Komponentenspeicher, den DISM vorher repariert. Umgekehrt findet sfc Schäden, die es nicht beheben kann.
7. Windows aktualisieren. Einstellungen → Windows Update → Nach Updates suchen. Microsoft liefert Korrekturen an der Defender-Plattform regelmäßig per Update nach — ein hängender Status verschwindet damit oft von allein.

Wenn der Eintrag trotzdem bleibt — die selteneren Ursachen

Schlägt der Status nach den Standardschritten weiter fehl, lohnt der Blick auf diese Sonderfälle:

• Verklemmte COM-/DCOM-Rechte. Parallel zu Ereignis-ID 16 tauchen oft DistributedCOM-Einträge (Ereignis-ID 10016) zu Windows.SecurityCenter.WscBrokerManager und WscDataProtection auf. Microsoft beschreibt dieses Verhalten als beabsichtigt: Der Code versucht den Zugriff zuerst mit einem Parametersatz und wiederholt ihn bei Misserfolg mit einem zweiten. Die Empfehlung lautet, die Meldungen zu ignorieren statt an den Berechtigungen zu schrauben — Änderungen dort haben unerwünschte Nebenwirkungen.
• Stecken gebliebene Registrierung nach AV-Deinstallation. Hat ein altes Antivirus seinen Eintrag im Sicherheitscenter nicht sauber abgemeldet, glaubt Windows weiter an einen aktiven Drittanbieter. Hier hilft ein Neustart des Dienstes wscsvc oder, sicherer, das Removal-Tool des betreffenden Herstellers.
• Fremdprodukt schreibt im Dauertakt ins Log. Wenn die Meldungen im Minutentakt kommen, ist oft nicht Windows schuld, sondern das installierte Sicherheitsprodukt. Broadcom dokumentiert genau so einen Fall für Symantec Endpoint Protection 14: Eine Statusroutine meldete sich alle fünf Minuten beim Sicherheitscenter und flutete das Anwendungsprotokoll — behoben erst mit Version 14 RU1 MP2. Erster Schritt bei Log-Fluten ist deshalb ein Update des Fremdprodukts.
• Update-Stolperfalle mit voller EFI-Partition. Das Mai-Update KB5089549 (Windows 11 24H2, Build 26100.8457, und 25H2, Build 26200.8457) bricht bei etwa 35 bis 36 Prozent Fortschritt mit dem Fehler 0x800f0922 ab, wenn auf der EFI-Systempartition nur noch rund 10 MB oder weniger frei sind; dagegen verteilt Microsoft eine Gruppenrichtlinie für den Known Issue Rollback (Windows-FAQ, Mai 2026, ebenso Borncity). Wer kürzlich Update-Ärger hatte, prüft also erst den Update-Verlauf, bevor er am Defender selbst schraubt.

Steht der Dienst WinDefend gar nicht mehr im System, wurde er womöglich durch eine frühere Infektion entfernt. Dann ist ein Offline-Scan (Windows-Sicherheit → Viren- & Bedrohungsschutz → Scanoptionen → Microsoft Defender Antivirus (Offlineüberprüfung)) der richtige nächste Schritt, bevor du die Plattform reparierst.

Hintergrund: Was SECURITY_PRODUCT_STATE_ON eigentlich bedeutet

Windows führt im Sicherheitscenter (Windows Security Center, kurz WSC) eine Liste aller installierten Schutzprogramme. Jedes Produkt meldet dort einen Zustand an. Die Werte sind in der Windows-API festgeschrieben und kennen laut Microsofts Referenz zur Aufzählung WSC_SECURITY_PRODUCT_STATE genau vier Zustände: ON (0, Schutz eingeschaltet), OFF (1, ausgeschaltet), SNOOZED (2, vorübergehend pausiert) und EXPIRED (3, Lizenz abgelaufen). Der String im Log ist also kein Fehlercode, sondern schlicht der Zielzustand „eingeschaltet“, den der Defender für sich beanspruchen wollte.

Für alle, die für die Fachinformatiker-Prüfung lernen, ist das ein sauberes Beispiel für das Schutzziel Verfügbarkeit: Sicherheit funktioniert nur, wenn die Schutzkomponenten verlässlich erreichbar bleiben und sich nicht gegenseitig aushebeln. Das Sicherheitscenter ist die Schiedsstelle, die genau das regelt — es verhindert, dass zwei Echtzeitscanner denselben Dateizugriff gleichzeitig abfangen und sich blockieren.

Was Windows macht, wenn ein zweites Antivirus läuft

Hier hält sich ein hartnäckiger Irrtum: Der Defender wechsle bei fremder Antivirensoftware automatisch in den passiven Modus. Microsofts Kompatibilitätsdoku sagt etwas anderes — auf normalen Windows-10- und Windows-11-Geräten wird er deaktiviert, nicht passiv geschaltet:

Situation	Zustand des Defenders
Nur Microsoft Defender Antivirus installiert	Aktiver Modus
Fremd-Antivirus auf Windows 10/11, kein Defender for Endpoint	Deaktiviert (geschieht automatisch)
Fremd-Antivirus, Gerät an Defender for Endpoint angebunden	Passiver Modus
Fremd-Antivirus auf Windows 11 mit aktivierter Smart App Control	Passiver Modus
Windows Server mit Fremd-Antivirus	Kein automatischer Wechsel — manuell setzen

Praktisch heißt das: Wer ein Fremdprodukt nutzt, hat keinen zweiten Wächter im Hintergrund. Im passiven Modus liefert der Defender weiterhin Signaturupdates und Scan-Ergebnisse, aber keinen Echtzeitschutz, keinen Cloud-Schutz und keine Netzwerkschutz-Regeln. Deaktiviert scannt er gar nichts mehr. Deshalb ist die Frage nach dem Log-Eintrag am Ende eine Entscheidungsfrage: Ein Schutzprogramm muss laufen, welches, ist Geschmackssache. Das BSI zählt aktuellen Virenschutz zum Basisschutz jedes Computers und weist darauf hin, dass der mitgelieferte Windows-Schutz automatisch anspringt, sobald kein anderes Produkt installiert ist.

Und noch ein Praxishinweis zum Aufräumen: Wer ein Fremdprodukt entfernt, sollte danach einmal neu starten und den Status in der Windows-Sicherheit prüfen, statt sich auf das Log zu verlassen. Die Statusmeldungen laufen dem tatsächlichen Zustand oft ein paar Minuten hinterher — reparieren, was ohnehin schon in Ordnung ist, kostet nur Zeit.

Quellen

• Microsoft Learn: Microsoft Defender Antivirus compatibility with other security products (Stand 21.08.2026)
• Microsoft Learn: WSC_SECURITY_PRODUCT_STATE (iwscapi.h)
• Microsoft Learn: Use the command line to manage Microsoft Defender Antivirus (MpCmdRun)
• Microsoft Learn: Event ID 10016 is logged in Windows (KB 4022522)
• Microsoft Learn: Windows-Update-Fehler beheben (DISM vor sfc)
• Microsoft Q&A: Event ID 16 — Error while updating Windows Defender status (inklusive Ereignis-ID 3, WMI)
• Broadcom: Application log flooded with Event ID 15 „SECURITY_PRODUCT_STATE_ON“
• Windows-FAQ: Fehlercode 0x800f0922 beim Windows-Update — Ursache EFI-Systempartition (18.05.2026)
• Borncity: Windows-11-Update-Chaos im Mai 2026
• BSI: Basisschutz für Computer — Virenschutz

Häufige Fragen

Ist SECURITY_PRODUCT_STATE_ON gefährlich?

Meist nicht. Zeigt die Windows-Sicherheit weiterhin „Aktiv“, ist die Ereignis-ID 16 nur ein kosmetischer Log-Eintrag. Kritisch wird es erst, wenn der Schutzstatus dauerhaft auf „Deaktiviert“ hängt.

Wo finde ich diesen Fehler in Windows?

In der Ereignisanzeige (eventvwr) unter Windows-Protokolle → Anwendung. Filtere nach der Ereignisquelle SecurityCenter und der Ereignis-ID 16.

Warum tritt der Fehler mit einem Drittanbieter-Antivirus auf?

Das zweite Antivirenprogramm meldet sich als aktiver Schutz beim Sicherheitscenter an. Windows schaltet den Defender daraufhin ab, und dessen Versuch, den Status auf „eingeschaltet“ zu setzen, schlägt fehl.

Wie prüfe ich, ob der Defender wirklich läuft?

In der Administrator-PowerShell: Get-MpComputerStatus | select AMRunningMode. Normal, Passive oder EDR Block Mode bedeuten laut Microsoft laufenden Schutz — alles andere heißt: aus.

Muss ich den Windows Defender neu installieren?

Nein. Der Defender ist fester Systembestandteil. Setze stattdessen die Windows-Sicherheit-App zurück und repariere die Systemdateien mit DISM und anschließend sfc /scannow.