Windows 10 und 11 Defender dauerhaft deaktivieren

Der Windows 10 & 11 Defender bietet einen netten Grundschutz vor Viren aller Art, aber wie jeder Virenscanner kostet er Performance oder wird von IT-Sicherheitsexperten häufig kritisiert und als "Schlangenöl" bezeichnet.

Man bekommt auch den Eindruck, dass mit jeder neuen Windows Version es komplizierter wird, den hauseigenen Windows 10 & 11 Defender dauerhaft zu deaktivieren.

Dieser Beitrag ist wieder eine Art Gedächtnisstütze, da früher zur Deaktivierung ein simpler Eintrag in die Registry reichte. Heutzutage reaktiviert sich der Defender (seit Windows 10 Version 20H2) nach kurzer Zeit wieder von selbst, wenn man vergisst bestimmte Optionen ebenfalls auszuschalten.

Update Mai 2025: Ergänzungen zu Windows 11.

---

Es sei darauf hingewiesen, dass die Deaktivierung des Echtzeitschutzes gesunden Menschenverstand voraussetzt.
Anwender, die wahllos auf alle E-Mailanhänge klicken oder jedem Phishing-Link folgen, sind wohl mit aktiviertem Echtzeitschutz besser bedient.

Die möglichen Lösungsansätze, um den Defender unter Windows 10 und 11 zu deaktivieren, haben sich über die Jahre immer wieder verändert. Die Möglichkeit, den Defender über die Registry zu deaktivieren, findet man häufig immer noch. Das ist aber mittlerweile die unzuverlässigste Methode, da sie einfach nicht mehr funktioniert.

Aus Gründen der Vollständigkeit sind hier nochmal alle getesteten Möglichkeiten aufgelistet (von "funktionierend" bis "nur noch historischer Wert").

---

1. Deaktivierung über "no-defender" bzw. "defendnot" (empfohlene Methode)

Das Programm "no-defender" bzw. sein Nachfolger "defendnot" des Entwicklers "es3n1n" sind aktuell die besten Möglichkeit den Microsoft Defender dauerhaft zu deaktivieren! Er hat die unter Verschluss gehaltenen Schnittstellen des Windows Security Centers (WSC-API) reverse-engineered mit denen die verschiedenen Antivirenhersteller ihre jeweilige Software ins System einklinken.

Damit ist es möglich, Windows einfach eine bereits installierte Antivirensoftware vorzugaukeln. und der Windows Defender deaktiviert sich anschließend von selbst, um nicht mit anderen Antivirenprogrammen zu kollidieren. An seine Stelle tritt dann "no-defender" bzw. "defendnot" - es handelt sich dabei nicht um eine Virenschutzsoftware, sondern nur eine Art Platzhalterprogramm ohne echte Funktion.

Die Verwendung des Tools erfordert Administrationsrechte, sowie die vorherige Deaktivierung des "Manipulationsschutzes" (unter "Einstellungen" -> "Windows Sicherheit" -> "Viren- & Bedrohungsschutz").

Tool "defendnot" (neu):

Im Github-Repository unter https://github.com/es3n1n/defendnot gibt es die aktuelle Version des Tools ganz ohne Binärdateien von Antivirenherstellern. In der Vorversion waren diese noch notwendig, um die Schnittstelle entsprechend anzusprechen. Durch weiteres Reverse-Engineering sind diese Dateien mittlerweile nicht mehr notwendig und das komplette Programm liegt auch als C++ Quelltext vor.

Das Tool gibt es zum Download als 32-bit, 64-bit und ARM64 Version.

^{Bild: defendnot in Aktion unter Windows 11}

Tool "no-defender" (veraltet):

Das komplette Github-Repository des Vorgänger-Tools unter https://github.com/es3n1n/no-defender wurde mittlerweile aufgrund eines DMCA-Takedowns offline genommen und alle geforkten Projekte gelöscht, aber unter den folgenden Adressen gibt es noch ein Backup der Dateien:

• https://web.archive.org/web/*/https://github.com/es3n1n/no-defender/* (Version 1.1.0 Binaries, Version 1.0.1 Quelltext)
• https://github.com/Wisest-Maiar/no-defender/releases/tag/v1.0.0  (Version 1.0.0 nur Binaries)
• https://github.com/Alpa7000/no-defender-binary (Version 1.1.0 nur Binaries)
• https://duma.starxg.com/no-defender/ (Version 1.1.0 nur Binaries, x64 + x86)

Screenshot nach der Installation von "no-defender":
(Man sollte auch die Option "regelmäßige Überprüfung" auf "aus" setzen, sonst scannt der Defender im Hintergrund gegebenenfalls trotzdem weiter.)

^{Bild: der "no-defender" nach der Installation unter Windows 11 als "Nicht-Virenscanner"}

 

Die nachfolgenden Optionen wurden der Vollständigkeit halber aufgelistet, sind aber alle nicht mehr zuverlässig oder werden nicht mehr weitergepflegt.

---

 

2. Deaktivierung über Registry (funktioniert nicht immer)

Je nach Releasestand des jeweiligen Windows 10 oder 11 Systems kann die Deaktivierung des Defenders noch über die Registry funktionieren. In neueren Versionen ist das oft nicht mehr der Fall.

Windows 10:

Mit folgende Schritten kann man aktuell den Echtzeitschutz Defender unter Windows 10 ausschalten und verhindern, dass er sich selbstständig nach einiger Zeit wieder reaktiviert. Diese nachfolgende Vorgehensweise funktioniert nicht mehr mit Windows 11 (siehe weiter unten):

1. "Windows Einstellungen" öffnen, z.B. mit den Shortcut-Tasten WIN+I.
2. "Update & Sicherheit" -> "Windows Sicherheit" aufrufen.
3. "Viren & Bedrohungsschutz" -> "Einstellungen für Viren & Bedrohungsschutz" aufrufen.
4. "Manipulationsschutz" deaktivieren.
5. "Automatische Übermittlung von Beispielen" deaktivieren.
6. "Cloudbasierter Schutz" deaktivieren.
7. "Echtzeitschutz" deaktivieren.
8. In der Windows Registry (regedit.exe) folgende Einträge hinzufügen, damit der Echtzeitschutz auch dauerhaft deaktiviert bleibt:
   
   

   Windows Registry Editor Version 5.00
   
   [HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender]
   "DisableAntiSpyware"=dword:00000001
   
   [HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender\Real-Time Protection]
   "DisableRealtimeMonitoring"=dword:00000001

9. Jetzt erst ist der Echtzeitschutz beim Defender nach einem Neustart ausgegraut und deaktiviert.

 

Windows 11

Mit Windows 11 funktionieren oben genannte Registry-Einträge nicht mehr zuverlässig, da hier weitere Hürden aufgestellt wurden, um den Defender zu deaktivieren.

Folgende Methode könne noch funktionieren:

1. In den abgesicherten Modus wechseln
   
   1. Windows-Taste + R drücken
   2. msconfig eingeben und Enter drücken
   3. Den Reiter Starten auswählen
   4. Unter Startoptionen den Haken bei “Abgesicherter Start“ setzen
   5. Auf Ok drücken und den darauffolgenden Dialog mit "Neu starten" bestätigen
      
      
2. Im abgesicherten Modus folgende Registry-Einträge setzen
   1. regedit eingeben und Enter drücken
   2. zum Pfad HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Service navigieren
   3. bei den folgenden Ordnern den Eintrag von "Start" auf "4" ändern:
      (damit wird der Start dieser Services auf "deaktiviert" gesetzt)
      1. Sense
      2. WdBoot
      3. WdFilter
      4. WdNisDrv
      5. WdNisSvc
      6. WinDefend
         
         
3. In den normalen Modus zurück wechseln
   
   1. Windows-Taste + R drücken
   2. msconfig eingeben und Enter drücken
   3. Den Reiter Starten auswählen
   4. Unter Startoptionen den Haken bei “Abgesicherter Start“ entfernen
   5. Auf Ok drücken und den darauffolgenden Dialog mit "Neu starten" bestätigen

 

Öffnet man nach dem Neustart die Windows 11 Einstellungen unter "Viren- und Bedrohungsschutz", erscheint nur noch die Meldung "Der Bedrohungsdienst wurde beendet. Starten Sie ihn jetzt neu.". Wenn man den Button darunter drückt, passiert aber nichts.
Möchte man den Windows Defender wieder aktivieren, kann man die Änderung problemlos rückgängig machen. Dazu die Registry-Einträge wieder auf die ursprünglichen Werte zurückstellen:

Registry-Pfad	Wert für den Eintrag "Start"
HKLM\SYSTEM\CurrentControlSet\Services\Sense\Start	3
HKLM\SYSTEM\CurrentControlSet\Services\WdBoot\Start	0
HKLM\SYSTEM\CurrentControlSet\Services\WdFilter\Start	0
HKLM\SYSTEM\CurrentControlSet\Services\WdNisDrv\Start	3
HKLM\SYSTEM\CurrentControlSet\Services\WdNisSvc\Start	3
HKLM\SYSTEM\CurrentControlSet\Services\WinDefend\Start	2

 

3. Deaktivierung über "Toggledefender" (veraltet) 

Mit ToggleDefender gibt es eine weitere Möglichkeit, den Defender dauerhaft zum Schweigen zu bringen.
Allerdings hat das Tool (bei mir) den unschönen Nebeneffekt, dass es damit nun länger dauert, wenn man (alte) unsignierte .EXE Dateien öffnet.

 

4. Deaktivierung über "Microsoft-Defender-RTP-stop" (veraltet)

Es gibt auch noch die alternative Option, ihn über die "Aufgabenplanung" anhand von Ereignissen immer wieder zu deaktivieren: https://github.com/duttyend/Microsoft-Defender-RTP-stop