Windows Defender vorübergehend deaktivieren (Anleitung 2026)

Kurz und vollständig: Öffne Windows-Sicherheit → Viren- & Bedrohungsschutz → Einstellungen verwalten und stelle den Echtzeitschutz auf Aus. Damit pausiert Windows Defender – seit Windows 10 offiziell Microsoft Defender Antivirus – nur vorübergehend: Der Schutz schaltet sich laut Microsoft-Support „nach kurzer Zeit“ von selbst wieder ein, spätestens nach dem Neustart. Für eine einzelne Installation reicht das völlig.

Wann das Pausieren sinnvoll ist – und wann nicht

Den Virenschutz auszuschalten ist die Ausnahme. Das BSI hält für Privatgeräte ein aktives Virenschutzprogramm für Pflicht und kostenlose Programme seriöser Hersteller für ausreichend, solange die Zusatzfunktionen der Kaufversionen nicht gebraucht werden. Es gibt aber Fälle, in denen ein kurzes Pausieren vertretbar ist:

• Ein Setup eines vertrauenswürdigen, aber kleinen Herstellers wird fälschlich blockiert oder sofort in Quarantäne verschoben.
• Ein Diagnose- oder Tuning-Werkzeug greift tief auf Systemprozesse zu und wird deshalb als verdächtig eingestuft.
• Eine große Dateioperation – Backup, Compiler-Lauf, Import einer virtuellen Maschine – wird durch den laufenden Scan spürbar ausgebremst.

Nicht vertretbar ist das Abschalten „auf Verdacht“, nur weil eine heruntergeladene Datei gemeldet wird. Ein Fund ist erst einmal ein Hinweis, kein Fehlalarm. Und das alles gilt für deinen eigenen PC mit Administratorrechten: Auf Firmen- oder Schulgeräten steuern zentrale Richtlinien den Schutz, dort gehört der Eingriff nicht in deine Hand.

Erst prüfen: Läuft Windows Defender überhaupt aktiv?

Bevor du etwas umstellst, klär den Betriebsmodus – sonst suchst du einen Schalter, der bei dir gar nichts mehr steuert. In einer PowerShell reicht ein Befehl:

Get-MpComputerStatus | select AMRunningMode

Microsoft nennt für ein aktives Antivirenprogramm genau drei mögliche Rückgaben: Normal, Passive oder EDR Block Mode (Defender-Kompatibilitätsdoku, Stand 21.08.2026). Kommt nichts davon zurück, ist Defender bereits deaktiviert, weil ein anderes Schutzprogramm die Rolle übernommen hat. Zwei weitere Gegenproben: Unter Viren- & Bedrohungsschutz → Wer schützt mich? → Anbieter verwalten steht, welches Produkt gerade zuständig ist, und im Task-Manager taucht der laufende Dienst als Prozess MsMpEng.exe auf.

Der Manipulationsschutz entscheidet, was überhaupt geht

Der Punkt, den ältere Anleitungen verschweigen: Seit Windows 10 Version 1903 gibt es in allen Windows-Editionen den Manipulationsschutz (englisch Tamper Protection), und für Privatgeräte ist er laut Microsoft standardmäßig eingeschaltet. Solange er läuft, sind unter anderem diese Einstellungen gesperrt (Microsoft Learn):

• Echtzeitschutz, Verhaltensüberwachung und Cloudschutz bleiben eingeschaltet.
• Signatur-Updates werden weiter geladen, gefundene Bedrohungen weiter automatisch behandelt.
• Archivdateien werden weiter gescannt, Meldungen in der Windows-Sicherheit weiter angezeigt.
• Versuche, Defender-Einstellungen über die Registry zu ändern, werden blockiert.
• In verwalteten Umgebungen lässt sich zusätzlich die Ausschlussliste nicht mehr ändern oder erweitern.

Den Status findest du unter Windows-Sicherheit → Viren- & Bedrohungsschutz → Einstellungen verwalten, dann nach unten zu Manipulationsschutz. Für das kurze Pausieren des Echtzeitschutzes musst du ihn nicht anfassen – nur wenn du dauerhaft per Richtlinie oder Skript eingreifen willst.

Echtzeitschutz vorübergehend deaktivieren – Schritt für Schritt

Das ist der empfohlene Weg für eine einmalige Installation, weil Windows den Schutz selbst wieder einschaltet und du nichts vergessen kannst.

1. Klicke auf Start und öffne Windows-Sicherheit (einfach „Windows-Sicherheit“ tippen).
2. Wähle Viren- & Bedrohungsschutz.
3. Klicke unter Einstellungen für Viren- & Bedrohungsschutz auf Einstellungen verwalten.
4. Stelle den Schalter Echtzeitschutz auf Aus und bestätige die Nachfrage der Benutzerkontensteuerung.
5. Installiere deine Software oder erledige die Aufgabe, für die du den Scanner ausgebremst hast.
6. Schalte den Echtzeitschutz danach wieder ein – oder starte den PC neu, dann passiert es automatisch.

In diesem Zustand ist ausschließlich die laufende Überwachung aus: Geöffnete und heruntergeladene Dateien werden nicht mehr geprüft, geplante Scans laufen aber weiter. Halte die Pause deshalb kurz und lade in dieser Zeit nichts aus fremden Quellen herunter – genau dieses Zeitfenster ist ungeschützt.

Warum Registry und Gruppenrichtlinie heute ins Leere laufen

Viele ältere Anleitungen empfehlen den Registry-Wert DisableAntiSpyware oder die Gruppenrichtlinie „Microsoft Defender Antivirus deaktivieren“. Beides ist überholt, und Microsoft ist in der eigenen Dokumentation ungewöhnlich deutlich: Die Schlüssel DisableAntiSpyware und DisableAntivirus waren für OEMs und IT-Abteilungen gedacht, sind „nicht für Verbrauchergeräte bestimmt“ und wurden entfernt. Auf Geräten, die an Microsoft Defender for Endpoint angebunden sind, wird das Setzen seit Antimalware-Plattformversion 4.18.2108.4 (August 2021) ignoriert; abgesichert wird der Wert zusätzlich durch den Manipulationsschutz. Praktisch bleibt der alte Trick damit nur auf Windows-10-Ständen vor Version 1903 wirksam – die sind seit Jahren ohne Sicherheitsupdates.

Bei Gruppenrichtlinien kommt eine Tücke dazu, die viel Zeit kostet: Änderungen über ein Verwaltungswerkzeug – auch über die Gruppenrichtlinie – können so aussehen, als hätten sie funktioniert, während der Manipulationsschutz sie blockiert. Der Schalter zeigt also den gewünschten Zustand, das System verhält sich aber anders.

Ob wirklich der Manipulationsschutz dazwischenkam, steht im Ereignisprotokoll. Öffne die Ereignisanzeige mit eventvwr.msc und gehe zu Anwendungs- und Dienstprotokolle → Microsoft → Windows → Windows Defender → Operational. Ereignis-ID 5013 meldet dort wörtlich: „Der Manipulationsschutz hat eine Änderung an Microsoft Defender Antivirus blockiert“ – samt Angabe, welche Einstellung betroffen war (Microsoft Learn, Ereignis-IDs).

Willst du trotzdem dauerhaft abschalten, ist die Reihenfolge zwingend: zuerst den Manipulationsschutz in der Oberfläche der Windows-Sicherheit auf Aus stellen (das geht nur dort, nicht per Skript), danach greift eine Richtlinie oder ein Befehl wie Set-MpPreference -DisableRealtimeMonitoring $true. Microsoft schreibt zu diesem Parameter selbst dazu, den Echtzeitschutz besser eingeschaltet zu lassen (Set-MpPreference-Referenz). Vor jedem Eingriff in Registry oder Richtlinien gehört ein Wiederherstellungspunkt angelegt.

Ein Weg, der in Foren immer noch kursiert, ist ausdrücklich gefährlich: die Dienste hinter dem Virenschutz stilllegen. Microsoft warnt in der Kompatibilitätsdoku direkt davor, wscsvc, SecurityHealthService, MsSense, Sense, WinDefend oder MsMpEng zu deaktivieren, zu stoppen oder zu verändern – das könne schwere Instabilität verursachen und auch die Anzeige fremder Virenscanner in der Windows-Sicherheit zerschießen.

Die bessere Alternative: einen Ausschluss setzen

Wird immer dasselbe Programm oder derselbe Ordner blockiert, musst du den Schutz gar nicht abschalten:

1. Windows-Sicherheit → Viren- & Bedrohungsschutz → Einstellungen verwalten öffnen.
2. Bis Ausschlüsse scrollen und auf Ausschlüsse hinzufügen oder entfernen klicken.
3. Über Ausschluss hinzufügen eine Datei, einen Ordner, einen Dateityp oder einen Prozess festlegen.

Zwei Einschränkungen, die kaum eine Anleitung nennt. Erstens: Ausschlüsse gelten laut Microsoft-Support für den Echtzeitscan – geplante Überprüfungen oder ein zusätzlich installiertes Schutzprogramm können dieselben Dateien trotzdem prüfen. Zweitens wird ein ausgeschlossener Ordner nicht mehr überwacht, und genau das ist ein beliebtes Versteck für Schadsoftware. Setz Ausnahmen deshalb so eng wie möglich: lieber die eine .exe als das ganze Laufwerk.

Was passiert, wenn ein anderes Antivirenprogramm installiert ist

Weit verbreitet, aber falsch ist die Aussage, Defender laufe bei einer Fremdlösung generell im „passiven Modus“ weiter. Microsoft unterscheidet genauer:

Situation	Zustand von Microsoft Defender Antivirus
Windows 10/11, Fremdprodukt aktiv, kein Defender for Endpoint, Smart App Control aus	automatisch deaktiviert
Windows 11, Fremdprodukt aktiv, Smart App Control eingeschaltet	passiver Modus
Windows Server mit Fremdprodukt	kein automatischer Wechsel – muss manuell gesetzt oder entfernt werden

Wichtig für den Alltag: Läuft die Lizenz des fremden Scanners ab oder wird er deinstalliert, aktiviert Windows den eigenen Schutz automatisch wieder. Du musst also nichts nachträglich einschalten – und solltest dich umgekehrt nicht darauf verlassen, dass ein abgelaufenes Abo weiter schützt.

Wenn es trotzdem nicht klappt

• Der Echtzeitschutz springt sofort wieder an. Das ist so gebaut. Für eine längere Ruhe hilft nur ein gezielter Ausschluss, nicht das Abschalten.
• Der Schalter ist ausgegraut oder trägt den Hinweis „wird von deiner Organisation verwaltet“. Dann steuert eine Richtlinie das Gerät – typisch bei Firmen- und Schul-Laptops. Das ist kein Fehler, sondern Vorgabe; die IT ist zuständig, nicht ein Umgehungstrick.
• Registry- oder Richtlinienänderung wird ignoriert. Fast immer ist der Manipulationsschutz noch an. Ereignis-ID 5013 im Protokoll Windows Defender/Operational bestätigt es innerhalb von Sekunden.
• Die Schalter fehlen ganz. Dann ist ein Fremdprodukt aktiv und Defender bereits deaktiviert – dein Ausschluss gehört in dessen Oberfläche, nicht in die Windows-Sicherheit.
• Das Setup scheitert weiter, obwohl der Schutz aus ist. Prüfe SmartScreen, den kontrollierten Ordnerzugriff und die Anwendungssteuerung: Sie blockieren unabhängig vom Virenscanner.

Hintergrund: Warum Microsoft den Windows Defender so abriegelt

Ein Virenschutz, den zwei Registry-Werte lahmlegen können, ist für Angreifer ein Geschenk – genau dieser Weg wurde von Schadsoftware benutzt, um den Wächter still abzuschalten, bevor der Nutzer etwas merkt. Der Manipulationsschutz dreht das Prinzip um: Änderungen sind nur noch über die bewusste Bedienung der Oberfläche möglich, nicht aus einem Skript im Hintergrund. Dass Microsoft die Legacy-Schlüssel entfernt hat, schließt dieselbe Lücke auf der anderen Seite.

Für dich heißt das: Die scheinbare Umständlichkeit ist kein Bug, sondern der Schutzmechanismus selbst. Deshalb ist die Reihenfolge in der Praxis immer dieselbe – kurz pausieren, wenn es um eine einzelne Installation geht; gezielt ausschließen, wenn dasselbe Programm dauerhaft anecken; und den Virenschutz nur dann komplett abschalten, wenn ein anderes Produkt die Aufgabe vollständig übernimmt.

Quellen

• Microsoft Learn: Protect security settings with tamper protection – geschützte Einstellungen, blockierte Richtlinienänderungen
• Microsoft Learn: DisableAntiSpyware – Entfernen der Registry-Schlüssel, Plattformversion 4.18.2108.4, Standard für Verbraucher seit Windows 10 1903
• Microsoft Learn: Defender Antivirus compatibility with other security products – aktiv/passiv/deaktiviert, AMRunningMode, Dienstwarnung
• Microsoft Learn: Ereignis-IDs von Microsoft Defender Antivirus – Ereignis-ID 5013 und Pfad in der Ereignisanzeige
• Microsoft Learn: Set-MpPreference – -DisableRealtimeMonitoring, Ausschlussparameter
• Microsoft-Support: Manipulationsschutz und Echtzeitschutz in der Windows-Sicherheit
• Microsoft-Support: Hinzufügen eines Ausschlusses zur Windows-Sicherheit
• BSI: Virenschutz und falsche Antivirensoftware

Häufige Fragen

Aktiviert sich Windows Defender nach dem Neustart wieder?

Ja. Microsoft schreibt, der Echtzeitschutz schaltet sich „nach kurzer Zeit“ von selbst wieder ein – spätestens nach einem Neustart. Das Pausieren ist bewusst nur vorübergehend.

Funktioniert das Deaktivieren über die Registry noch?

Nein. Microsoft hat die Schlüssel DisableAntiSpyware und DisableAntivirus entfernt; der Manipulationsschutz blockiert Registry-Eingriffe zusätzlich. Wirksam war der Trick zuletzt vor Windows 10 Version 1903.

Woran erkenne ich, dass der Manipulationsschutz meine Änderung blockiert hat?

An Ereignis-ID 5013 im Protokoll Anwendungs- und Dienstprotokolle → Microsoft → Windows → Windows Defender → Operational. Sie nennt auch, welche Einstellung blockiert wurde.

Muss ich den Manipulationsschutz zuerst ausschalten?

Nur für ein dauerhaftes Deaktivieren per Richtlinie oder PowerShell. Zum kurzen Pausieren des Echtzeitschutzes ist das nicht nötig.

Was passiert mit Defender, wenn ich ein anderes Antivirenprogramm installiere?

Unter Windows 10/11 wird er automatisch deaktiviert – passiv läuft er nur mit Defender for Endpoint oder bei aktivem Smart App Control. Nach Deinstallation der Fremdlösung geht er selbst wieder an.