SECURITY_PRODUCT_STATE_ON: Was der Defender-Fehler bedeutet und wie du ihn behebst

„SECURITY_PRODUCT_STATE_ON“ ist kein Absturz, sondern ein Eintrag in der Ereignisanzeige (Ereignis-ID 16, Quelle WinDefend). Windows meldet damit, dass es den Schutzstatus des Defenders nicht ans Sicherheitscenter durchreichen konnte — fast immer, weil ein zweites Antivirenprogramm den Platz belegt. Zeigt die Windows-Sicherheit weiterhin „Aktiv“, ist die Meldung harmlos. Bleibt der Schutz dagegen aus, helfen die Schritte weiter unten.

Ist der Fehler überhaupt ein Problem?

Bevor du irgendetwas reparierst, klär die wichtigste Frage: Läuft der Defender trotz der Meldung? Öffne dazu Windows-Sicherheit (Startmenü → „Windows-Sicherheit“) und sieh dir Viren- & Bedrohungsschutz an.

• Steht dort ein grüner Haken und „Aktiv“ und sind die Schutzupdates aktuell, ist der Log-Eintrag kosmetisch. Du kannst ihn ignorieren — er entsteht oft nach jedem Neustart, ohne dass etwas kaputt ist.
• Ein echtes Problem liegt vor, wenn der Status auf „Deaktiviert“ hängt, die Meldung „Der Bedrohungsdienst wurde beendet“ erscheint, oder MsMpEng.exe dauerhaft hohe CPU-Last erzeugt, weil Windows den Status im Sekundentakt vergeblich neu setzt.

Den Eintrag selbst findest du in der Ereignisanzeige (Windows-Taste + R → eventvwr) unter Anwendungs- und Dienstprotokolle → Microsoft → Windows → Windows Defender. Quelle WinDefend, Ereignis-ID 16 — genau diese Kombination beschreibt unseren Fehler.

Defender-Fehler Schritt für Schritt beheben

Arbeite die Schritte in dieser Reihenfolge ab und prüfe nach jedem, ob der Status auf „Aktiv“ springt. Die häufigste Ursache steht bewusst zuerst.

1. Drittanbieter-Virenschutz entfernen oder bereinigen. Avira, Avast, McAfee, Norton & Co. belegen den Schutz-Slot im Sicherheitscenter und drängen den Defender in den passiven Modus. Geh auf Einstellungen → Apps → Installierte Apps, deinstalliere das Programm und starte neu. Reste lassen sich oft nur mit dem offiziellen Removal-Tool des Herstellers loswerden — eine normale Deinstallation hinterlässt häufig einen registrierten „Geister“-Schutz, der den Konflikt weiter auslöst.
2. Die nötigen Dienste prüfen. Der Defender hängt an mehreren Diensten. Öffne PowerShell als Administrator (Rechtsklick aufs Startmenü → „Terminal (Administrator)“) und gib ein: Get-Service WinDefend, WdNisSvc, wscsvc, SecurityHealthService. Stehen alle auf Running, ist hier alles in Ordnung. wscsvc ist das Sicherheitscenter, SecurityHealthService die Windows-Sicherheit-Oberfläche — fehlt einer, liegt das eigentliche Problem tiefer (siehe weiter unten).
3. Die Windows-Sicherheit-App zurücksetzen. Unter Einstellungen → Apps → Installierte Apps die App „Windows-Sicherheit“ suchen, über das Drei-Punkte-Menü → Erweiterte Optionen → Zurücksetzen. Das wirft nur die App-Oberfläche neu, nicht den Schutz selbst — gut bei leeren oder eingefrorenen Status-Anzeigen.
4. Schutzupdates manuell ziehen. In der PowerShell (Administrator): & "C:\Program Files\Windows Defender\MpCmdRun.exe" -SignatureUpdate. Alternativ in der Windows-Sicherheit unter Viren- & Bedrohungsschutz → Schutzupdates → Nach Updates suchen. Veraltete Definitionen lassen den Defender seinen Status absichtlich nicht auf „Aktiv“ setzen.
5. Systemdateien reparieren. Nacheinander in der Administrator-PowerShell: DISM /Online /Cleanup-Image /RestoreHealth, danach sfc /scannow. Das ersetzt beschädigte Defender- und Sicherheitscenter-Komponenten durch saubere Versionen.
6. Windows aktualisieren. Einstellungen → Windows Update → Nach Updates suchen. Microsoft liefert Defizite an der Plattform regelmäßig per Update nach — ein hängender Status verschwindet damit oft von allein.

Wenn der Eintrag trotzdem bleibt — die selteneren Ursachen

Schlägt der Status nach den Standardschritten weiter fehl, lohnt der Blick auf diese drei Sonderfälle:

• Verklemmte COM-/DCOM-Rechte. Parallel zu Ereignis-ID 16 tauchen oft DistributedCOM-Einträge (Ereignis-ID 10016) zu Windows.SecurityCenter.WscBrokerManager und WscDataProtection auf. Microsoft stuft diese 10016-Meldungen ausdrücklich als gewollt und ignorierbar ein — bastle nicht ohne Not an den Berechtigungen herum, das schadet meist mehr, als es nützt.
• Stecken gebliebene Registrierung nach AV-Deinstallation. Hat ein altes Antivirus seinen Eintrag im Sicherheitscenter nicht sauber abgemeldet, glaubt Windows weiter an einen aktiven Drittanbieter. Hier hilft ein Neustart des Dienstes wscsvc oder, sicherer, das Removal-Tool des betreffenden Herstellers.
• Bekannte Update-Stolperfallen 2025/2026. Im November 2025 blieben bei einem Teil der Nutzer die Defender-Definitionen stehen; das Sicherheitsupdate KB5089549 (Mai 2026) scheiterte auf Geräten mit knapp belegter EFI-Systempartition mit Fehler 0x800f0922. Wer kürzlich Update-Ärger hatte, prüft erst den Update-Verlauf, bevor er am Defender selbst schraubt.

Steht der Dienst WinDefend gar nicht mehr im System, wurde er womöglich durch eine frühere Infektion entfernt. Dann ist ein Offline-Scan (Windows-Sicherheit → Viren- & Bedrohungsschutz → Scanoptionen → Microsoft Defender Antivirus (Offlineüberprüfung)) der richtige nächste Schritt, bevor du die Plattform reparierst.

Hintergrund: Was SECURITY_PRODUCT_STATE_ON eigentlich bedeutet

Windows führt im sogenannten Sicherheitscenter (Windows Security Center, kurz WSC) eine Liste aller installierten Schutzprogramme. Jedes Antivirus meldet dort einen Zustand an: eingeschaltet, ausgeschaltet, pausiert oder abgelaufen. SECURITY_PRODUCT_STATE_ON ist schlicht der Zustand „eingeschaltet“, den der Defender für sich beanspruchen will.

Installierst du einen zweiten Echtzeit-Scanner, schaltet Windows den Defender automatisch passiv — zwei Programme dürfen denselben Speicher nicht gleichzeitig in Echtzeit überwachen, sonst behindern sie sich. In diesem Moment kann der Defender seinen Status nicht auf „eingeschaltet“ setzen, und genau das protokolliert die Ereignis-ID 16. Der „Fehler“ ist also oft nur die Nebenwirkung eines völlig normalen Koordinationsmechanismus, der verhindert, dass sich zwei Virenwächter gegenseitig blockieren.

Für alle, die für die Fachinformatiker-Prüfung lernen, ist das ein schönes Beispiel für das Schutzziel Verfügbarkeit: Sicherheit funktioniert nur, wenn die Schutzkomponenten verlässlich erreichbar bleiben und sich nicht gegenseitig aushebeln. Das Sicherheitscenter ist genau die Schiedsstelle, die das regelt.

Häufige Fragen

Ist SECURITY_PRODUCT_STATE_ON gefährlich?

Meist nicht. Zeigt die Windows-Sicherheit weiterhin „Aktiv“, ist die Ereignis-ID 16 nur ein kosmetischer Log-Eintrag. Gefährlich wird es erst, wenn der Schutzstatus dauerhaft auf „Deaktiviert“ hängt.

Anzeige

Wo finde ich diesen Fehler in Windows?

In der Ereignisanzeige (eventvwr) unter Anwendungs- und Dienstprotokolle, Microsoft, Windows, Windows Defender. Suche nach Quelle WinDefend und der Ereignis-ID 16.

Warum tritt der Fehler mit einem Drittanbieter-Antivirus auf?

Ein zweites Antivirenprogramm belegt den Schutz-Slot im Windows-Sicherheitscenter. Windows schaltet den Defender dann passiv, und der Versuch, seinen Status auf „eingeschaltet“ zu setzen, schlägt fehl.

Muss ich den Windows Defender neu installieren?

Nein. Der Defender ist fester Systembestandteil und lässt sich nicht klassisch neu installieren. Setze stattdessen die Windows-Sicherheit-App zurück und repariere die Systemdateien mit DISM und sfc /scannow.

Hilft ein einfacher Neustart?

Manchmal ja. Nach einem Update oder einer AV-Deinstallation registriert sich der Schutzstatus beim Neustart sauber neu. Bleibt der Eintrag, arbeite die Schritte ab dem Entfernen von Drittanbieter-Software ab.