Microsoft Defender ist deaktiviert? Warnung prüfen und beheben

Windows meldet, Microsoft Defender Antivirus sei deaktiviert, während Windows-Sicherheit einen aktiven Schutz anzeigt? Prüfe zuerst den tatsächlichen Betriebszustand. Eine Warnung allein reicht weder zur Entwarnung noch als Beleg für ausgefallenen Virenschutz. Diese Anleitung zeigt die Diagnose unter Windows 11, die Unterscheidung zwischen Anzeigefehler und echter Abschaltung sowie die anschließende Kontrolle.

Recherche-Stand: 20. September 2026. Die Schritte beziehen sich auf Windows 11; verwaltete Firmenrechner können abweichende Vorgaben haben.

Aktuell: Microsoft bestätigt falsche Defender-Warnungen

Microsoft dokumentiert seit dem 28. August 2026 einen Fehler, bei dem die Benachrichtigung Microsoft Defender Antivirus is turned off erscheint, obwohl Defender funktioniert. Die Meldung kann beim Start und später erneut auftreten. Als Korrektur nennt Microsoft das Defender-Update 4.18.26080.4 vom 17. September 2026. Der Eintrag umfasst unter anderem Windows 11 23H2, 24H2, 25H2 und 26H1 sowie weitere Windows-Versionen.

Für diesen speziellen Fehler nennt Microsoft keinen einzelnen auslösenden Windows-Build und keinen festen Fehlercode. Deshalb sollte man die Meldung nicht pauschal einem bestimmten kumulativen Windows-Update zuschreiben. Maßgeblich sind Defender-Version und Schutzstatus. Quelle: Windows Release Health, Eintrag zu falschen Defender-Benachrichtigungen.

1. Schnelltest: Welcher Virenschutz ist tatsächlich aktiv?

Öffne über das Startmenü Windows-Sicherheit → Viren- & Bedrohungsschutz. Prüfe den angezeigten Schutzanbieter; die Anbieterübersicht erreichst du über „Anbieter verwalten“, je nach Oberfläche auch über die Einstellungen von Windows-Sicherheit. Notiere, ob Microsoft Defender oder ein anderes Produkt den Schutz übernimmt. Microsoft beschreibt diese Prüfung in der Übersicht zu Defender Antivirus unter Windows.

Ist ein anderer Virenscanner installiert, kann ein deaktivierter Defender unter Windows 11 beabsichtigt sein. Je nach Gerätekonfiguration arbeitet Defender auch im passiven Modus. Dieser ist nicht gleichbedeutend mit aktivem Defender-Echtzeitschutz. Prüfe dann den Zustand des primären Schutzprodukts. Erzwinge auf einem Firmenrechner keine zweite aktive Antivirenlösung. Die Zusammenhänge erläutert Microsoft unter Kompatibilität mit anderen Sicherheitsprodukten.

2. Schutzstatus und Defender-Version mit PowerShell auslesen

Starte Windows PowerShell als Administrator und führe diese reine Statusabfrage aus:

Get-MpComputerStatus |
    Select-Object AMProductVersion, AMRunningMode, AMServiceEnabled,
        AntivirusEnabled, RealTimeProtectionEnabled,
        AntivirusSignatureVersion, AntivirusSignatureLastUpdated |
    Format-List

Die Felder bedeuten:

Wenn Defender dein primärer Virenschutz ist, erwartest du normalerweise Normal und bei den drei Aktivierungsfeldern True. Stimmen diese Angaben mit Windows-Sicherheit überein, spricht das gegen einen tatsächlich abgeschalteten Defender. Die Abfrage ist jedoch keine Bescheinigung, dass der Rechner frei von Schadsoftware ist. Dokumentation: Get-MpComputerStatus.

3. Lösung beim bestätigten Anzeigefehler: Plattform aktualisieren

Zeigen beide Prüfungen aktiven Schutz, kontrolliere die installierte Plattformversion. Öffne Einstellungen → Windows Update → Nach Updates suchen und installiere angebotene Defender-Aktualisierungen. Starte den Rechner anschließend neu und wiederhole die Statusabfrage.

Wichtig ist die Unterscheidung zwischen Plattformupdate und Signaturupdate: Die Plattform enthält das Programm, die Sicherheitsinformationen dienen der Erkennung von Bedrohungen. Ein aktuelles Signaturdatum belegt daher nicht, dass die benötigte Plattformkorrektur installiert ist. Microsoft führt Plattformupdates unter KB4052623 und Sicherheitsinformationen unter KB2267602. Die Produktversion sollte die oben genannte korrigierte Version oder einen neueren regulär bereitgestellten Stand erreichen.

Auf verwalteten Geräten muss die Administration gegebenenfalls die Verteilung über WSUS oder Configuration Manager prüfen. Plattformupdates werden gestaffelt verteilt. Umgehe dafür keine Unternehmensrichtlinien. Quelle: Defender-Plattform- und Sicherheitsupdates.

4. Signaturen auffrischen und Funktion prüfen

Ist Defender als aktiver Schutz vorgesehen, kannst du zusätzlich in der administrativen Windows PowerShell seine Sicherheitsinformationen aktualisieren:

Update-MpSignature

Der Befehl nutzt die konfigurierten Updatequellen. Er ist kein Ersatz für die Plattformaktualisierung. Schlägt er fehl, notiere den vollständigen Fehlertext; in verwalteten Umgebungen ist auch die vorgegebene Updatequelle zu prüfen. Quelle: Update-MpSignature.

Starte danach einen Schnellscan:

Start-MpScan -ScanType QuickScan

Kontrolliere anschließend das Ergebnis in Windows-Sicherheit. Ein erfolgreich abgeschlossener Schnellscan ist ein zusätzlicher Funktionstest, untersucht aber nicht alle Dateien und ersetzt bei konkretem Infektionsverdacht keine weitergehende Untersuchung. Dokumentation: Start-MpScan.

5. Defender ist wirklich aus oder die Warnung bleibt bestehen

Wenn kein anderer aktiver Schutzanbieter vorhanden ist und Defender tatsächlich deaktiviert erscheint, behandle das nicht als den beschriebenen Anzeigefehler. Prüfe zunächst, ob der Echtzeitschutz in Windows-Sicherheit eingeschaltet werden kann. Werden Einstellungen durch deine Organisation verwaltet, gehört die weitere Prüfung zur zuständigen Administration.

Zur Diagnose öffnest du mit Windows + R die Ereignisanzeige:

eventvwr.msc

Gehe zu Anwendungs- und Dienstprotokolle → Microsoft → Windows → Windows Defender → Operational beziehungsweise „Betriebsbereit“. Vergleiche die Ereignisse mit dem Zeitpunkt der Warnung:

• 5001: Der Echtzeitschutz wurde deaktiviert.
• 5007: Die Defender-Konfiguration hat sich geändert. Lies alten und neuen Wert; die Ereignis-ID allein beweist keinen Angriff.
• 5008: Die Antimalware-Engine ist unerwartet ausgefallen.

Diese Ereignisse sind Diagnosehinweise, keine eindeutigen Signaturen des aktuellen Benachrichtigungsfehlers. Ein alter Eintrag erklärt nicht automatisch den heutigen Zustand. Microsoft dokumentiert die Bedeutung unter Defender-Ereignis-IDs und Fehlercodes.

Vermeide pauschale Registry-Resets, das Löschen von Defender-Verzeichnissen oder das Abschalten des Manipulationsschutzes, nur um eine Meldung loszuwerden. Für die weitere Analyse sind genaue Warnung, Uhrzeit, Windows-Version, Defender-Produktversion, Schutzanbieter und relevante Ereignisdetails hilfreicher. Entferne persönliche Daten, bevor du Diagnoseausgaben öffentlich teilst.

Kontrolle und Fazit

Prüfe nach der Aktualisierung und dem Neustart drei Dinge: Ist der vorgesehene Virenschutz aktiv? Funktioniert eine Prüfung? Kommt die Warnung erneut? Bleibt ein Widerspruch zwischen Meldung und Schutzstatus bestehen, dokumentiere ihn für die weitere Diagnose.

Die sinnvolle Reihenfolge lautet: Schutzanbieter feststellen, Defender-Status auslesen, passende Aktualisierung installieren und das Ergebnis kontrollieren. So lässt sich eine falsche Warnung eingrenzen, ohne eine echte Schutzlücke vorschnell abzutun.