Windows 11 sicher einstellen: Die wichtigsten Einstellungen

von

Windows 11 ist ab Werk recht gut geschützt, einige wichtige Schutzfunktionen müssen Sie aber selbst prüfen oder einschalten. Dazu gehören ein gut gesichertes Konto, aktuelle Updates, die Verschlüsselung der Festplatte, der Ransomware-Schutz und ein paar Datenschutz-Schalter. Mit dieser Anleitung gehen Sie die Punkte in etwa einer halben Stunde durch.

Kurz zusammengefasst

Schützen Sie Ihr Microsoft-Konto mit Zwei-Faktor-Anmeldung und nutzen Sie Windows Hello. Prüfen Sie in der App Windows-Sicherheit, ob überall ein grüner Haken steht, und schalten Sie den überwachten Ordnerzugriff sowie die Speicherintegrität ein. Installieren Sie Updates zeitnah. Unter Windows 11 Home heißt die Verschlüsselung Geräteverschlüsselung, unter Pro steht zusätzlich BitLocker zur Verfügung, und in beiden Fällen sollten Sie den Wiederherstellungsschlüssel sichern. Für den Alltag empfiehlt sich ein Standardkonto statt eines Administratorkontos.

Welche Grundeinstellungen sind am wichtigsten?

Die wichtigsten Stellschrauben sind Konto, Updates, Virenschutz, Verschlüsselung und Benutzerrechte. Die folgende Übersicht zeigt, wo Sie die Punkte finden. Die Bezeichnungen können je nach Windows-Version leicht abweichen, weil Microsoft die Einstellungen regelmäßig umbaut.

Einstellung Wo Sie sie finden Empfehlung
Updates Einstellungen > Windows Update Regelmäßig prüfen, Neustarts nicht lange aufschieben
Virenschutz Windows-Sicherheit > Viren- & Bedrohungsschutz Echtzeitschutz an
Ransomware-Schutz Viren- & Bedrohungsschutz > Ransomware-Schutz verwalten Überwachter Ordnerzugriff an
Speicherintegrität Windows-Sicherheit > Gerätesicherheit > Kernisolierung An, sofern keine Treiber blockiert werden
Verschlüsselung Einstellungen > Datenschutz und Sicherheit > Geräteverschlüsselung An, Wiederherstellungsschlüssel sichern
Benutzerkonto Einstellungen > Konten > Andere Benutzer Alltag mit Standardkonto
Werbe-ID Einstellungen > Datenschutz und Sicherheit > Allgemein Aus

Wie sichern Sie Ihr Windows-Konto ab?

Das Konto ist der Schlüssel zu Ihrem PC, deshalb sollte es mit einem starken Passwort und einem zweiten Faktor geschützt sein. Melden Sie sich mit einem Microsoft-Konto an, steuern Sie dessen Sicherheit über account.microsoft.com. Schalten Sie dort die Zwei-Faktor-Authentifizierung ein oder richten Sie einen Passkey ein. Unsere Anleitungen zur Zwei-Faktor-Authentifizierung und zu Passkeys zeigen, wie das funktioniert.

Für die Anmeldung am Gerät selbst ist Windows Hello bequem und sicher. Sie entsperren den PC per PIN, Fingerabdruck oder Gesichtserkennung. Die PIN gilt nur für dieses eine Gerät und taugt Angreifern aus der Ferne wenig. Unter Einstellungen, Konten und Anmeldeoptionen richten Sie Windows Hello ein. Sperren Sie den Bildschirm außerdem, sobald Sie den Platz verlassen, mit der Tastenkombination Windows-Taste und L.

Ein Microsoft-Konto hat einen weiteren Vorteil: Bei aktivierter Geräteverschlüsselung wird der Wiederherstellungsschlüssel automatisch darin hinterlegt. Mehr dazu weiter unten.

Wie prüfen Sie Windows-Sicherheit und Microsoft Defender?

Öffnen Sie die App Windows-Sicherheit über das Startmenü und kontrollieren Sie, ob bei allen Bereichen ein grüner Haken erscheint. Die App bündelt den Virenschutz Microsoft Defender, die Firewall und weitere Schutzfunktionen. Für die meisten Privatnutzer reicht dieser eingebaute Schutz aus, ein zusätzliches Antivirenprogramm ist keine Pflicht.

Viren- und Bedrohungsschutz

Unter „Viren- & Bedrohungsschutz“ und „Einstellungen verwalten“ muss der Echtzeitschutz eingeschaltet sein. Microsoft weist darauf hin, dass er sich nach einer Weile automatisch wieder aktiviert, wenn Sie ihn abschalten. Eine einzelne Datei prüfen Sie im Explorer per Rechtsklick und „Mit Microsoft Defender überprüfen“. Unter Windows 11 finden Sie den Eintrag eventuell erst nach einem Klick auf „Weitere Optionen anzeigen“. Wie Sie bei einem Verdacht vorgehen, beschreibt unser Ratgeber Computervirus erkennen.

Ransomware-Schutz

Ganz unten im Bereich „Viren- & Bedrohungsschutz“ finden Sie „Ransomware-Schutz verwalten“. Dort schalten Sie den überwachten Ordnerzugriff ein. Dann dürfen nur vertrauenswürdige Programme Dateien in geschützten Ordnern wie Dokumente oder Bilder verändern. Unbekannte Programme werden blockiert, bis Sie sie ausdrücklich zulassen. Das kann gelegentlich auch harmlose Anwendungen treffen, etwa Spiele, die Spielstände im Ordner Dokumente ablegen. Ein solches Programm geben Sie in derselben Ansicht frei. Der Schutz ersetzt kein Backup, ist aber eine sinnvolle zusätzliche Hürde.

Gerätesicherheit und Kernisolierung

Im Bereich „Gerätesicherheit“ finden Sie die Kernisolierung. Die darin enthaltene Speicherintegrität erschwert es Schadprogrammen, Treiber auf niedriger Systemebene zu missbrauchen. Schalten Sie sie ein, wenn sie nicht aktiv ist. Meldet Windows einen inkompatiblen Treiber, empfiehlt Microsoft, beim Gerätehersteller nach einem aktuellen Treiber zu suchen. Gibt es keinen, bleibt nur, das betroffene Gerät oder Programm zu entfernen oder auf die Speicherintegrität zu verzichten. In derselben Ansicht sehen Sie, ob Sicherer Start aktiv ist und ob ein Sicherheitschip (TPM) vorhanden ist.

Was leistet die Intelligente App-Steuerung?

Die Intelligente App-Steuerung (englisch Smart App Control) blockiert Programme, die schädlich, nicht vertrauenswürdig oder potenziell unerwünscht sind. Sie fragt zuerst einen Cloud-Dienst von Microsoft, ob die App bekannt und sicher ist. Kann der Dienst keine Aussage treffen, prüft Windows, ob das Programm eine gültige digitale Signatur besitzt. Fehlt sie, wird die App nicht gestartet.

Sie finden die Funktion in Windows-Sicherheit unter „App- & Browsersteuerung“. Es gibt drei Zustände: Bewertungsmodus, Ein und Aus. Im Bewertungsmodus beobachtet Windows zunächst, ob die Funktion zu Ihrer Nutzung passt, und schaltet sie dann selbst ein oder aus. Lange galt eine lästige Einschränkung: Wer die Funktion einmal ausschaltete, konnte sie nur durch eine Neuinstallation von Windows zurückholen. Laut Microsoft erlauben aktuelle Windows-Updates inzwischen das erneute Einschalten ohne Neuinstallation. Ausnahmen gibt es weiterhin, zum Beispiel wenn die Option „Optionale Diagnosedaten senden“ deaktiviert ist oder Windows im S-Modus läuft.

Wer viel ältere oder selten genutzte Software einsetzt, stößt mit der Intelligenten App-Steuerung schneller an Grenzen. Für Nutzer, die vor allem Browser, Office und Programme aus dem Microsoft Store verwenden, ist sie ein guter zusätzlicher Schutz. Im selben Bereich sollten unter „Zuverlässigkeitsbasierter Schutz“ die SmartScreen-Prüfung von Apps und Dateien, SmartScreen für Microsoft Edge und das Blockieren potenziell unerwünschter Apps eingeschaltet sein.

Warum sollten Sie Updates sofort installieren?

Updates schließen Sicherheitslücken, die Angreifer sonst ausnutzen können, und zwar oft schon wenige Tage nach Bekanntwerden. Unter Einstellungen und Windows Update sehen Sie, ob Updates anstehen und ob ein Neustart nötig ist. Verschieben Sie Neustarts nicht über Wochen, denn viele Updates wirken erst danach. Warum das so wichtig ist, erklärt unser Beitrag Software-Updates: Warum sie so wichtig sind.

Der Schalter „Erhalten Sie die neuesten Updates, sobald sie verfügbar sind“ bringt Ihnen vor allem neue Funktionen und Verbesserungen früher. Sicherheitsupdates kommen laut Microsoft unabhängig von dieser Einstellung regelmäßig wie gewohnt. Sie müssen ihn also nicht einschalten, um geschützt zu sein.

Denken Sie auch an Programme außerhalb von Windows: Browser, PDF-Reader und Treiber haben eigene Update-Mechanismen. Unter „Erweiterte Optionen“ können Sie zudem einstellen, dass Windows Update auch andere Microsoft-Produkte aktualisiert.

Wichtig

Der Support für Windows 10 ist am 14. Oktober 2025 ausgelaufen. Privatkunden, die sich für das Programm für erweiterte Sicherheitsupdates (ESU) registriert haben, erhalten laut Microsoft noch bis zum 12. Oktober 2027 kritische und wichtige Sicherheitsupdates. Ohne diese Registrierung bekommt ein Windows-10-PC keine Sicherheitsupdates mehr.

Geräteverschlüsselung oder BitLocker: Was gilt für Ihre Edition?

Welche Verschlüsselung Sie nutzen können, hängt von Ihrer Windows-Edition ab. Die Geräteverschlüsselung steht auf vielen Geräten zur Verfügung, auch unter Windows 11 Home. Die vollständige BitLocker-Laufwerkverschlüsselung mit allen Verwaltungsoptionen gibt es laut Microsoft nur in den Editionen Pro, Enterprise und Education. Welche Edition Sie haben, sehen Sie unter Einstellungen, System und Info.

Geräteverschlüsselung (auch Home)

Melden Sie sich mit einem Administratorkonto an und öffnen Sie Einstellungen, Datenschutz und Sicherheit, Geräteverschlüsselung. Dort schalten Sie die Verschlüsselung ein. Fehlt der Menüpunkt, unterstützt Ihr Gerät die Funktion nicht oder Sie sind mit einem Standardkonto angemeldet. Häufige Gründe für fehlende Unterstützung sind laut Microsoft ein deaktivierter Sicherheitschip (TPM) im BIOS oder UEFI und ein ausgeschalteter Sicherer Start.

Wer ein neues Gerät mit einem Microsoft-Konto einrichtet, hat die Geräteverschlüsselung häufig schon automatisch aktiv. Mit einem lokalen Konto passiert das nicht.

BitLocker (Pro und höher)

In den Pro-Editionen verwalten Sie BitLocker zusätzlich über die Systemsteuerung unter „System und Sicherheit“. Dort lassen sich auch weitere interne Laufwerke und USB-Datenträger verschlüsseln. Beim Einschalten fragt Windows, wo der Wiederherstellungsschlüssel gespeichert werden soll.

Den Wiederherstellungsschlüssel sichern

Der Wiederherstellungsschlüssel ist ein langer Zahlencode, den Windows abfragt, wenn es Veränderungen an der Hardware oder an der Firmware feststellt. Ohne ihn kommen Sie nicht mehr an Ihre Daten. Laut Microsoft kann er in Ihrem Microsoft-Konto liegen, auf einem Ausdruck oder als Textdatei auf einem USB-Stick. Im Microsoft-Konto finden Sie ihn über aka.ms/myrecoverykey. Prüfen Sie am besten jetzt, ob er dort hinterlegt ist, und bewahren Sie zusätzlich einen Ausdruck an einem sicheren Ort auf. Was hinter Verschlüsselung steckt, lesen Sie in Was bedeutet Verschlüsselung?

Warum sollten Sie im Alltag ein Standardkonto nutzen?

Mit einem Standardkonto kann Schadsoftware weniger anrichten, weil sie ohne Ihre ausdrückliche Bestätigung mit Administratorpasswort keine tiefgreifenden Änderungen am System vornehmen kann. Auf vielen Privat-PCs ist das erste Konto automatisch ein Administratorkonto, mit dem dann auch gesurft und gemailt wird.

So stellen Sie um:

  1. Öffnen Sie Einstellungen, Konten und „Andere Benutzer“.
  2. Klicken Sie auf „Konto hinzufügen“ und legen Sie ein zweites Konto an. Für ein Konto ohne Microsoft-Konto wählen Sie „Benutzer ohne Microsoft-Konto hinzufügen“.
  3. Öffnen Sie bei diesem Konto die Kontooptionen und wählen Sie „Kontotyp ändern“. Machen Sie es zum Administrator.
  4. Melden Sie sich mit dem neuen Administratorkonto an und stufen Sie Ihr bisheriges Konto auf demselben Weg auf „Standardbenutzer“ herab.

Im Alltag arbeiten Sie dann mit dem Standardkonto. Will ein Programm Systemänderungen vornehmen, fragt Windows nach dem Passwort des Administratorkontos. Diese Rückfrage ist ein bewusster Moment, in dem Sie prüfen können, ob die Installation wirklich von Ihnen gewollt ist. Gerade bei angeblichen Anrufen des Microsoft-Supports kann das den Unterschied machen, mehr dazu im Beitrag Tech-Support-Betrug.

Welche Datenschutz-Einstellungen sollten Sie ändern?

Unter Einstellungen und „Datenschutz und Sicherheit“ können Sie einschränken, welche Daten Windows an Microsoft sendet und wofür sie genutzt werden. Diese Schalter lohnen einen Blick:

  • Allgemein: Schalten Sie die Werbe-ID aus. Apps können Ihnen dann keine personalisierte Werbung über diese Kennung anzeigen. Auch „Verfolgen von App-Starts“ und vorgeschlagene Inhalte in den Einstellungen können Sie ausschalten.
  • Diagnose und Feedback: Deaktivieren Sie „Optionale Diagnosedaten senden“, dann überträgt Windows nur die erforderlichen Daten. Beachten Sie aber, dass diese Einstellung bei manchen Geräten das spätere Einschalten der Intelligenten App-Steuerung verhindert. Die Feedbackhäufigkeit können Sie auf „Nie“ stellen.
  • Suchberechtigungen: Hier legen Sie fest, ob die Windows-Suche Cloud-Inhalte aus Ihrem Microsoft-Konto einbezieht.
  • App-Berechtigungen: Prüfen Sie unter „Standort“, „Kamera“ und „Mikrofon“, welche Apps Zugriff haben, und entziehen Sie ihn Programmen, die ihn nicht brauchen.

Gespeicherte Aktivitätsdaten löschen Sie im Datenschutzbereich Ihres Microsoft-Kontos unter account.microsoft.com. Welche Spuren Sie generell im Netz hinterlassen, beschreibt unser Ratgeber zum digitalen Fußabdruck.

Was tun, wenn Windows schon kompromittiert ist?

Wenn Sie den Verdacht haben, dass Schadsoftware auf dem PC läuft, trennen Sie das Gerät zunächst vom Internet. Starten Sie in Windows-Sicherheit unter „Viren- & Bedrohungsschutz“ und „Scanoptionen“ eine vollständige Überprüfung oder die Offlineüberprüfung von Microsoft Defender, die den Rechner neu startet und vor dem Laden von Windows sucht. Ändern Sie danach von einem sauberen Gerät aus die Passwörter wichtiger Konten, zuerst E-Mail und Online-Banking.

Hat jemand per Fernwartung Zugriff auf Ihren Rechner bekommen, deinstallieren Sie das Fernwartungsprogramm und informieren Sie bei Bankdaten sofort Ihre Bank. Bei Erpressersoftware oder wenn Sie unsicher sind, ist ein vollständiges Zurücksetzen von Windows mit anschließendem Einspielen eines sauberen Backups der sicherste Weg.

Häufige Fragen

Brauche ich unter Windows 11 noch ein Antivirenprogramm?

Für die meisten Privatnutzer reicht Microsoft Defender aus, solange er aktiv ist und Windows aktuell bleibt. Ein zusätzliches Programm kann Komfortfunktionen bieten, ersetzt aber keine Updates und kein vorsichtiges Verhalten. Zwei Virenscanner gleichzeitig mit Echtzeitschutz sollten Sie nicht betreiben.

Funktioniert die Geräteverschlüsselung auch mit einem lokalen Konto?

Die automatische Aktivierung beim Einrichten erfolgt laut Microsoft nur mit einem Microsoft-Konto oder einem Geschäfts- oder Schulkonto. Mit einem lokalen Konto müssen Sie den Wiederherstellungsschlüssel in jedem Fall selbst sichern, da er nicht automatisch in einem Konto landet.

Bremst die Speicherintegrität meinen PC aus?

Auf aktuellen Rechnern fällt der Unterschied im Alltag meist kaum auf. Probleme entstehen eher durch alte Treiber, die mit der Funktion nicht zusammenarbeiten. Windows meldet solche Fälle und zeigt den betroffenen Treiber an.

Was passiert, wenn ich den BitLocker-Schlüssel verliere?

Fragt Windows nach dem Wiederherstellungsschlüssel und Sie finden ihn weder im Microsoft-Konto noch auf Papier oder USB-Stick, sind die Daten auf dem verschlüsselten Laufwerk in der Regel nicht mehr zugänglich. Sie können Windows dann nur neu installieren. Deshalb ist eine zweite Kopie des Schlüssels so wichtig.

Wie oft sollte ich die Einstellungen überprüfen?

Ein kurzer Blick in die App Windows-Sicherheit lohnt sich nach jedem größeren Funktionsupdate, weil Microsoft Menüs und Standards gelegentlich ändert. Ansonsten reicht es, wenn Sie auf Warnhinweise im Infobereich der Taskleiste achten.

Quellen

Weiterlesen auf Safety-IT

Das könnte dich auch interessieren