Speicherintegrität ab Oktober:
was zu prüfen ist

Was ist die Speicherintegrität (HVCI)?

Die Speicherintegrität, auch HVCI (hypervisor-protected code integrity) genannt, ist ein Schutz des Windows-Kernels. Sie stützt sich auf die virtualisierungsbasierte Sicherheit (VBS): Der Windows-Hypervisor schafft eine isolierte Umgebung, die davon ausgeht, dass der Kernel kompromittiert sein könnte, und führt darin die Prüfung der Codeintegrität aus. Jeder Treiber und jede Kernel-Komponente wird vor dem Laden geprüft; Speicherseiten werden erst nach der Prüfung ausführbar, und ausführbare Seiten sind nie beschreibbar.

In der Praxis macht sie es einer Schadsoftware, selbst nach dem Ausnutzen einer Schwachstelle, deutlich schwerer, nicht vertrauenswürdige Treiber zu laden oder den Kernel-Code zu verändern. Auf derselben Grundlage baut Microsoft weitere Schutzfunktionen auf, etwa Hotpatch-Updates. Auf den Computern finden Sie sie unter Windows-Sicherheit, Gerätesicherheit, Details zur Kernisolierung.

Was ändert sich ab Oktober 2026?

Bisher war die Speicherintegrität nur auf Neuinstallationen von Windows 11 mit kompatibler Hardware und auf Secured-core-Geräten automatisch aktiv; auf Computern, die von früheren Versionen aktualisiert wurden, blieb sie oft ausgeschaltet. Am 1. September 2026 hat Microsoft angekündigt, dass die Qualitätsupdates von Windows sie ab Oktober 2026 auf geeigneten Geräten aktivieren und bei Bedarf auch die virtualisierungsbasierte Sicherheit einschalten.

• Vor der Aktivierung bewertet Windows das Gerät: Hardwarefähigkeiten, Kompatibilität und Leistung.
• Bereits getroffene Entscheidungen bleiben gültig: Wo die Speicherintegrität von einem Administrator oder Benutzer deaktiviert wurde, ändert die Verteilung nichts.
• Wo sie sich nicht von selbst aktiviert, können Sie sie jederzeit mit den Verwaltungswerkzeugen von Windows einschalten.

Auf welchen Computern wird sie aktiviert?

Für die Voraussetzungen verweist die Ankündigung auf die Microsoft-Dokumentation zur Aktivierung der Speicherintegrität, die die Mindesthardware für die automatische Aktivierung auflistet:

Auf älteren Prozessoren, denen bestimmte dedizierte Hardwarefunktionen fehlen, arbeitet die Speicherintegrität per Emulation, und Microsoft weist darauf hin, dass die Leistungseinbußen größer ausfallen. Das ist einer der Gründe, warum Windows das Gerät vor der Aktivierung bewertet.

Was kann schiefgehen?

Der heikle Punkt sind die Treiber. Microsoft weist darauf hin, dass einige Anwendungen und Gerätetreiber nicht mit der Speicherintegrität kompatibel sind: Sie können ihren Dienst einstellen und in seltenen Fällen einen Fehler beim Start verursachen, sowohl nach als auch während der Aktivierung. In einem Unternehmen sind die typischen Kandidaten die Treiber weniger aktueller Peripheriegeräte: Scanner, Lesegeräte, Capture-Karten, Labor- oder Produktionsgeräte, veraltete Virtualisierungs- oder Fernsteuerungssoftware.

Bei virtuellen Hyper-V-Maschinen gibt es zwei dokumentierte Inkompatibilitäten: Virtuelle Fibre-Channel-Adapter und Pass-through-Datenträger mit der Option AllowFullSCSICommandSet erfordern, dass die Maschine von der virtualisierungsbasierten Sicherheit ausgenommen wird.

Wie prüfe ich, ob sie aktiv ist und Treiber blockiert?

Den Status eines Computers lesen Sie über die WMI-Klasse Win32_DeviceGuard aus, in einer PowerShell-Sitzung als Administrator:

$dg = Get-CimInstance -ClassName Win32_DeviceGuard -Namespace root\Microsoft\Windows\DeviceGuard
[pscustomobject]@{
  VBS               = $dg.VirtualizationBasedSecurityStatus   # 2 = aktiviert und wird ausgeführt
  MemoryIntegrityOn = $dg.SecurityServicesRunning -contains 2 # True = HVCI wird ausgeführt
}

Von der Speicherintegrität blockierte Treiber landen im Ereignisprotokoll CodeIntegrity, in der Regel mit dem Ereignis 3087. Dieser Befehl listet sie auf:

Get-WinEvent -LogName 'Microsoft-Windows-CodeIntegrity/Operational' -MaxEvents 500 |
  Where-Object Id -eq 3087 |
  Select-Object TimeCreated, Message

Ohne PowerShell: Die Systemübersicht der Systeminformationen (msinfo32) zeigt ganz unten die laufenden Dienste der virtualisierungsbasierten Sicherheit, und die Seite Kernisolierung in Windows-Sicherheit zeigt den Status an und listet die inkompatiblen Treiber auf.

Wie steuere ich sie im Unternehmen mit Intune oder Gruppenrichtlinien?

Dem Update die Entscheidung Computer für Computer zu überlassen, ist keine gute Strategie: Besser einmal entscheiden und dann durchsetzen. Die von Microsoft dokumentierten Einstellungen:

• In der Regel ohne UEFI-Sperre. Mit UEFI-Sperre lässt sich der Schutz weder aus der Ferne noch per Richtlinie abschalten: Zum Deaktivieren muss man ins BIOS. Microsoft empfiehlt dies nur für alle, die die Deaktivierung ausdrücklich verhindern wollen.
• Zuerst eine Testgruppe. Microsoft empfiehlt, sie auf einer Gruppe von Testcomputern zu aktivieren, bevor sie auf alle ausgeweitet wird.
• Ausdrückliche und befristete Ausnahmen. Hat ein Gerät einen unverzichtbaren, inkompatiblen Treiber, ist der richtige Weg, den Treiber zu aktualisieren; gibt es kein Update, dann eine Richtlinie, die die Speicherintegrität nur auf diesem Gerät deaktiviert, mit schriftlicher Begründung und einem Überprüfungsdatum.

reg add "HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard\Scenarios\HypervisorEnforcedCodeIntegrity" /v "Enabled" /t REG_DWORD /d 0 /f

Was rund um den Patchday am 13. Oktober zu tun ist

• Den aktuellen Status von Speicherintegrität und VBS auf den Firmencomputern erfassen, mit dem obigen Befehl oder einem Bericht des Verwaltungswerkzeugs.
• Peripheriegeräte mit veralteten oder speziellen Treibern auflisten und mit den Herstellern die Kompatibilität mit der Speicherintegrität klären.
• Die Oktober-Updates zuerst an eine Testgruppe verteilen, die diese Peripheriegeräte einschließt.
• Nach dem Update nach Ereignissen 3087 und nach Meldungen der Benutzer über nicht mehr funktionierende Geräte suchen.
• Die Entscheidung mit einer Richtlinie in Intune oder per Gruppenrichtlinie festschreiben und die Ausnahmen dokumentieren: Für Unternehmen, die unter NIS2 fallen, gehört das zu den nachweisbaren Maßnahmen zum Schutz der Geräte.

So arbeiten wir

Bei der Geräteverwaltung im Modern Workplace sind Sicherheitseinstellungen wie die Speicherintegrität Intune-Richtlinien und keine Entscheidungen, die dem einzelnen Computer überlassen werden: Wir testen sie zuerst in einer Pilotgruppe, verteilen sie an alle und dokumentieren die Ausnahmen. Es ist derselbe Ansatz, den wir für die passwortlose Anmeldung mit FIDO2 und Intune und für Windows ohne NTLM beschrieben haben.