Wird der PC schneller, wenn man Speicherintegrität (HVCI) ausschaltet? — Bedeutung, Vorgehen und Entscheidung

Man hört, „wenn man Speicherintegrität ausschaltet, wird der PC schneller“, aber wenn Windows-Sicherheit eine Warnung zeigt, zögert man mit der Änderung. Dieser Artikel trennt zwei Fragen: „Kann es schneller werden?“ und „Ist es auf meinem PC vertretbar, sie auszuschalten?“

Gegenstand ist der Schalter Speicherintegrität unter Gerätesicherheit > Kernisolierung in Windows-Sicherheit. Speicherintegrität ist eine Funktion, die den Kern von Windows vor Angriffen schützt, die über Treiber kommen; sie ist keine Einstellung, die nur dazu da ist, die Leistung zu senken. Zugleich gibt Microsoft selbst an, dass sie auf Gaming-Geräten in manchen Szenarien und Konfigurationen die Leistung beeinflussen kann.¹

Wir beginnen mit dem Fazit und einer Lesehilfe nach Zweck, und erklären dann den Mechanismus, wie man die Leistung vergleicht, die Entscheidungskriterien, wie man vor und nach der Änderung prüft, und die Schritte zum Aus- und Wiedereinschalten. Wer tiefer in den Mechanismus gehen will, siehe den Serienartikel „Die Tiefen der Windows-Virtualisierung (Teil 2) — Speicher, den selbst der Kernel nicht sieht: Wie VBS, HVCI und Credential Guard funktionieren“. Dieser Artikel ist der einführende Einstieg dazu.

Voraussetzungen dieses Artikels

1. Zuerst das Fazit

Es gibt Konfigurationen, die schneller werden, wenn man sie ausschaltet. Aber nicht jeder PC wird schneller, und ein Leistungsunterschied allein entscheidet nicht, ob das Ausschalten vertretbar ist.

Speicherintegrität (HVCI) führt die Signaturprüfung der in den Kernel (den Kern des Betriebssystems) geladenen Treiber in einer vom Hypervisor geschaffenen isolierten Umgebung aus. Indem nur Speicherseiten ausführbar werden, die die Prüfung bestehen, und indem Schreiben auf ausführbare Seiten niemals erlaubt wird, macht sie es schwerer, den PC über einen Treiber zu übernehmen.²³

Die Achse der Entscheidung ist „wofür wird dieser PC genutzt?“ Wenn Sie messen und einen Unterschied finden, dieser Unterschied für die Nutzung des PCs zählt, Sie keine Spiele spielen, deren Anti-Cheat HVCI im Fehler nennt, und der PC keine Unternehmenswerte oder sensible Informationen verarbeitet, dann ist das Ausschalten eine Option. Andernfalls ist es praxisnäher, sie anzulassen und eine andere Ursache zu suchen.

Das Fazit und wo Sie weiterlesen

Auch wenn Sie nur die Schritte wollen: Lesen Sie die Entscheidungskriterien in Kapitel 5 und die Prüfmethode in Kapitel 6, bevor Sie zu Kapitel 7 gehen. Der Vorgang, der sie ausschaltet, ist kurz, aber Neustart und Prüfung gehören zur selben Arbeit. Ist der Schalter ausgegraut und nicht bedienbar, umgehen Sie eine Administrator-Einstellung oder eine UEFI-Sperre nicht auf eigene Faust.

In der Abbildung kennzeichnet eine durchgezogene Linie eine stets geltende Beziehung und eine gestrichelte Linie eine bedingte (die Bedingungen stehen bei jeder Beziehung auf der Detailseite). Die vollständige Liste der Beziehungen (28 insgesamt, mit Beleg und Sicherheitsgrad) und die Definitionen der wichtigsten Konzepte sind auf der Detailseite der Wissenskarte (auf Japanisch) zusammengestellt. Daten: JSON-LD / Turtle

2. Die vier Begriffe trennen, die durcheinandergeraten

Zuerst trennen wir die Namen auf dem Einstellungsbildschirm von den Namen der Mechanismen dahinter. Was wir hier ausschalten, ist „Speicherintegrität“, nicht all das Folgende.

2.1 Speicherintegrität (HVCI)

Das ist der Name des Schalters auf dem Bildschirm Kernisolierung in Windows-Sicherheit. Offiziell heißt sie hypervisor-protected code integrity (HVCI), und Microsofts Dokumentation behandelt „Speicherintegrität“ und „HVCI“ als dieselbe Sache.² Wenn dieser Artikel „ausschalten“ sagt, meint er das.

2.2 Kernisolierung

Das ist der Name eines Bildschirms in Windows-Sicherheit. Er gruppiert die Sicherheitsfunktionen, die „Windows-Kernprozesse im Speicher isolieren, um vor Schadsoftware zu schützen“, und Speicherintegrität ist ein Schalter darauf.³

Der Bildschirm kann auch andere Einträge listen, etwa hardwaregestützten Kernelmodus-Stapelschutz. Man sieht oft die Formulierung „Kernisolierung ausschalten“, aber der Bildschirm als Ganzes hat keinen Schalter; was tatsächlich umgelegt wird, ist der Schalter Speicherintegrität.

2.3 Virtualisierungsbasierte Sicherheit (VBS)

Das ist der Mechanismus, auf dem Speicherintegrität sitzt. Er nutzt den Windows-Hypervisor, um eine isolierte Umgebung zu schaffen, die geschützt bleibt, selbst wenn der OS-Kernel übernommen wird, und bringt dort Sicherheitsfunktionen unter.⁵

Speicherintegrität ist eine der Funktionen, die auf VBS sitzen; Credential Guard (Schutz von Domänenanmeldeinformationen) und andere sitzen ebenfalls dort. Das Ausschalten von Speicherintegrität hält VBS selbst nicht unbedingt an (Kapitel 6).

2.4 Virtual Machine Platform (VMP) und Hyper-V

Das ist ein Eintrag unter „Windows-Features aktivieren oder deaktivieren“ und die Grundlage, um leichte virtuelle Maschinen wie WSL 2 zu betreiben.⁶ In Microsofts Hinweis zur Spieleleistung steht sie neben Speicherintegrität als Faktor der Leistungsauswirkung.¹ Es ist ein eigener Schalter und eine eigene Funktion, getrennt von Speicherintegrität.

Beachten Sie, dass Windows-Sandbox nicht über VMP, sondern über ein eigenes optionales Feature namens „Windows-Sandbox“ aktiviert wird; sie hängt nicht von VMP ab, läuft aber auf demselben Windows-Hypervisor.⁷

flowchart TB
    accTitle: Wie die vier Begriffe zusammenhängen
    accDescr: Zeigt die Enthaltenseinsbeziehung, in der virtualisierungsbasierte Sicherheit (VBS) und Virtual Machine Platform auf dem Windows-Hypervisor sitzen, Speicherintegrität und Credential Guard auf VBS sitzen und der Bildschirm Kernisolierung in Windows-Sicherheit den Schalter Speicherintegrität anzeigt
    hv["Windows-Hypervisor"]
    vbs["Virtualisierungsbasierte Sicherheit (VBS)"]
    vmp["Virtual Machine Platform"]
    hvci["Speicherintegrität (HVCI)"]
    cg["Credential Guard u. a."]
    ui["Bildschirm Kernisolierung (zeigt den Schalter)"]
    hv --> vbs
    hv --> vmp
    vbs --> hvci
    vbs --> cg
    ui -.->|"spiegelt die Einstellung"| hvci

Abbildung 1: „Kernisolierung“ ist der Name eines Bildschirms, „Speicherintegrität“ ist ein Schalter darauf, VBS ist ihre Grundlage, und VMP ist eine getrennte Funktion, die auf demselben Hypervisor sitzt.

Mit anderen Worten: Was Leute mit „es wird schneller, wenn man sie ausschaltet“ meinen, sind eigentlich zwei Funktionen, die auf dem Hypervisor sitzen (Speicherintegrität und VMP), und der Schalter auf dem Einstellungsbildschirm schaltet nur die erstere aus.

3. Was Speicherintegrität tut

Dieses Kapitel geht in der Reihenfolge was sie schützt → warum sie die Leistung beeinflusst → ob sie auf Ihrem PC überhaupt läuft. Wenn Sie zuerst den erwarteten Leistungsunterschied wissen wollen, können Sie mit der Tabelle in Kapitel 4 beginnen.

3.1 Den Treiber-Kontrollpunkt aus dem Kernel herauslegen

Windows hat seit jeher einen Mechanismus (Codeintegrität), der prüft, ob in den Kernel geladene Treiber ordnungsgemäß signiert sind. Das Problem ist, dass der Code, der diese Prüfung ausführt, selbst im Kernel liegt. Ein Angreifer, der den Kernel übernommen hat, kann die Prüfung selbst ersetzen.

Speicherintegrität führt diese Prüfung in der isolierten Umgebung von VBS aus.² Die isolierte Umgebung wird vom Hypervisor bewacht, sodass selbst ein Angreifer, der den Kernel übernommen hat, die Prüfung nicht erreicht. Zusätzlich legt sie dem Kernelspeicher die folgenden zwei Regeln auf.²

• Eine Kernelspeicherseite wird erst ausführbar, nachdem sie die Prüfung besteht.
• Eine ausführbare Seite wird niemals beschreibbar.

flowchart TB
    accTitle: Treiberladen, während Speicherintegrität aktiviert ist
    accDescr: Eine Treiberladeanforderung erhält eine Signaturprüfung in der isolierten Umgebung von VBS; besteht sie, wird sie als ausführbare, nicht beschreibbare Seite zugelassen, und scheitert sie, wird das Laden blockiert und im CodeIntegrity-Operational-Protokoll festgehalten
    req["Treiberladeanforderung"] --> chk{"Die Signatur in der isolierten Umgebung prüfen"}
    chk -->|"Bestanden"| ok["Zugelassen als ausführbar, nicht beschreibbar"]
    chk -->|"Gescheitert"| ng["Laden blockiert"]
    ng --> log["Im CodeIntegrity-Protokoll festgehalten (3087)"]

Abbildung 2: Weil der Kontrollpunkt außerhalb des Kernels liegt, lässt Sie die Übernahme des Kernels den Kontrollpunkt nicht ersetzen.

Mit diesen Regeln kann selbst dann, wenn eine Schwachstelle einem Angreifer erlaubt, Kernelspeicher umzuschreiben, der umgeschriebene Inhalt nicht zur Ausführung gebracht werden: Eine beschreibbare Seite kann nicht ausgeführt werden, und eine ausführbare Seite kann nicht beschrieben werden.² Die Beschreibung in Windows-Sicherheit, „macht es Schadprogrammen schwerer, Ihren PC mithilfe von Treibern auf niedriger Ebene zu kapern“,³ meint genau das.

3.2 Warum sie die Leistung beeinflusst

Schutz hat Verarbeitungskosten. Hier trennen wir die Kosten, einen Hypervisor zu nutzen, von den Kosten, mit denen Speicherintegrität Ausführungsberechtigungen verwaltet.

Kosten 1: Unter Windows läuft ein Hypervisor

VBS setzt einen Hypervisor voraus, und der Hypervisor setzt eine CPU-Funktion namens SLAT (second level address translation, zweistufige Adressübersetzung) voraus.⁵ Weil das Host-Windows selbst als Partition auf dem Hypervisor läuft, wird die Speicheradressübersetzung zweistufig, und das fügt Overhead hinzu. Diese Struktur ist ausführlich in „Wo läuft Ihr Windows eigentlich?“ behandelt.

Kosten 2: Verwalten, ob Kernelspeicher ausgeführt werden darf

Speicherintegrität erzwingt die Regel „nur Seiten, die die Prüfung bestehen, sind ausführbar“ nicht im Kernel selbst, sondern über den Speicherschutz des Hypervisors. Hier macht die CPU-Generation den Unterschied.

Microsofts Dokumentation erklärt, dass Speicherintegrität auf Prozessoren mit Mode-Based Execution Control (MBEC) auf Intel Kaby Lake (7. Generation) und später oder Guest Mode Execute Trap (GMET) auf AMD Zen 2 und später besser arbeitet. Ältere Prozessoren stützen sich auf eine Emulation namens Restricted User Mode, sodass die Leistungsauswirkung größer ist.⁸

MBEC ist eine Funktion, die die Speicher-Ausführungsberechtigung in „darf im Benutzermodus ausgeführt werden“ und „darf im Kernelmodus ausgeführt werden“ teilt, sodass die Hardware sie unterscheiden kann.⁹ Speicherintegrität will nur die Kernelmodus-Ausführung einschränken, daher kann sie mit dieser Unterscheidung die Arbeit der CPU überlassen. Ohne sie übernimmt der Hypervisor die Arbeit in Software.

flowchart TB
    accTitle: Die zwei Stellen, an denen die Leistungskosten entstehen
    accDescr: Die Leistungskosten von Speicherintegrität entstehen an zwei Stellen, der zweistufigen Adressübersetzung, weil der Hypervisor darunter sitzt, und der Erzwingung der Ausführungsberechtigung für Kernelseiten auf der Hypervisor-Seite, und die Größe der letzteren hängt davon ab, ob MBEC/GMET vorhanden ist
    hvci["Speicherintegrität aktiviert"] --> c1["Hypervisor sitzt unter dem OS"]
    hvci --> c2["Hypervisor erzwingt die Ausführungsberechtigung"]
    c1 --> t1["Adressübersetzung wird zweistufig"]
    c2 --> q{"Hat die CPU MBEC / GMET?"}
    q -->|"Ja"| small["In Hardware erledigt (kleinere Auswirkung)"]
    q -->|"Nein"| big["Emulation (größere Auswirkung)"]

Abbildung 3: Die Größe von „es wird schneller, wenn man sie ausschaltet“ entscheidet vor allem der Zweig rechts.

Ob Ihre CPU MBEC/GMET hat, sehen Sie daran, ob AvailableSecurityProperties von Win32_DeviceGuard, eingeführt in Kapitel 6, die 7 enthält.⁸

3.3 Läuft sie auf Ihrem PC überhaupt?

Bevor wir zum Leistungsvergleich kommen, ist noch eine Prüfung nötig. Windows 11 bedeutet nicht automatisch, dass Speicherintegrität läuft.

Speicherintegrität ist standardmäßig aktiviert, wenn Windows 11 auf unterstützter Hardware neu installiert wird; bei einem Upgrade von Windows 10 wird sie nicht automatisch aktiviert.⁴ Die Bedingungen für die automatische Aktivierung sind wie folgt.⁴

Mit anderen Worten: Auf einem PC, der von Windows 10 aktualisiert und so weitergenutzt wurde, einem PC, der die Bedingungen nicht erfüllt, oder einem PC, der auch nur einen inkompatiblen Treiber hatte, kann sie von Anfang an aus gewesen sein. Wenn Sie in diesem Zustand das Gefühl hatten, „es wurde schneller, nachdem ich sie ausgeschaltet habe“, war etwas anderes verantwortlich. Prüfen Sie zuerst den aktuellen Zustand mit der Methode in Kapitel 6.

flowchart TB
    accTitle: Bedingungen, unter denen Speicherintegrität standardmäßig aktiviert ist
    accDescr: Bei einer Neuinstallation von Windows 11 ist sie standardmäßig aktiviert, wenn alle Bedingungen erfüllt sind, die CPU-Generation, 8 GB oder mehr Speicher, eine SSD mit 64 GB oder mehr, kompatible Treiber und in der Firmware aktivierte Virtualisierung, und sie wird bei einem Upgrade oder wenn die Bedingungen nicht erfüllt sind nicht aktiviert
    start["Windows 11 installiert"] --> how{"Neuinstallation?"}
    how -->|"Upgrade"| off1["Nicht automatisch aktiviert"]
    how -->|"Ja"| cond{"Bedingungen zu CPU, RAM, SSD, Treiber"}
    cond -->|"Erfüllt"| on["Standardmäßig aktiviert"]
    cond -->|"Nicht erfüllt"| off2["Nicht aktiviert (kann manuell aktiviert werden)"]

Abbildung 4: „Mein PC war von Anfang an aus“ ist nicht ungewöhnlich. Schauen Sie vor dem Experiment auf den aktuellen Zustand.

4. Wird es wirklich schneller? — Material für die Entscheidung

Der Punkt dieses Kapitels ist, dass eine Leistungsauswirkung möglich ist, aber kein einzelner Prozentsatz dafür angegeben werden kann, um wie viel es schneller wird. Wir lesen die offizielle Erklärung, die Erwartung je Konfiguration und die Messung auf Ihrem eigenen PC getrennt.

4.1 Was Microsoft sagt

Microsofts Supportartikel „Options to optimize gaming performance in Windows 11“ stellt fest, dass Windows 11 Virtualisierung für Speicherintegrität (HVCI) und Virtual Machine Platform (VMP) nutzt, und dass auf Gaming-Geräten in manchen Szenarien und manchen Konfigurationen eine Leistungsauswirkung entstehen kann, wenn Speicherintegrität und VMP an sind, und gibt die Schritte, um jede von ihnen auszuschalten.¹

„Es kann schneller werden“ ist also Microsofts offizielle Position. Aber sie kommt mit der Einschränkung „in manchen Szenarien und manchen Konfigurationen“, und es wird keine Zahl dafür genannt, um wie viel schneller.

4.2 Bedingungen, unter denen ein Unterschied wahrscheinlich ist, und unter denen nicht

Hier ist, was der Mechanismus in 3.2 je nach Lage sagt. Die hier geschriebene „Erwartung“ ist eine aus dem Mechanismus abgeleitete Tendenz, keine von Microsoft veröffentlichten Messungen. Für Ihren eigenen PC messen Sie mit der Methode in 4.3.

flowchart TB
    accTitle: Entscheidungsfluss, ob das Ausschalten den PC schneller macht
    accDescr: Zuerst bestätigen, ob Speicherintegrität derzeit läuft; wenn nicht, eine andere Ursache suchen; wenn ja, die Erwartung danach teilen, ob die CPU MBEC/GMET hat und ob der Engpass die CPU ist, und schließlich durch Messen unter denselben Bedingungen entscheiden
    s["Fühlt sich langsam an"] --> run{"Läuft Speicherintegrität?"}
    run -->|"Nein"| other["Eine andere Ursache suchen"]
    run -->|"Ja"| cpu{"Hat die CPU MBEC / GMET?"}
    cpu -->|"Nein"| likely["Ein Unterschied ist wahrscheinlich"]
    cpu -->|"Ja"| bn{"Ist der Engpass die CPU?"}
    bn -->|"Ja"| maybe["Ein Unterschied kann erscheinen"]
    bn -->|"Nein (GPU usw.)"| small["Unterschied voraussichtlich klein"]
    likely --> measure["Unter denselben Bedingungen messen"]
    maybe --> measure
    small --> measure

Abbildung 5: „Wird es schneller?“ entscheidet die Konfiguration des PCs. Was es am Ende klärt, ist nicht Wissen über den Mechanismus, sondern die Messung auf Ihrem eigenen PC.

4.3 Messen, nicht raten

„Es fühlt sich schneller an, seit ich sie ausgeschaltet habe“ reicht nicht, um die Wirkung der Einstellung zu beurteilen. Sie haben den PC neu gestartet, um die Einstellung zu ändern, und das allein macht ihn vorübergehend leichter.

Bevor Sie die Einstellung tatsächlich ändern, prüfen Sie in Kapitel 5, ob dies ein PC ist, auf dem das Ausschalten vertretbar ist. Wenn Sie dann vergleichen, behalten Sie die folgenden Punkte im Blick. Die Reihenfolge der Messung ist wie in Abbildung 6: „bestätigen, dass sie an ist, und messen → ausschalten und neu starten → bestätigen, dass sie aus ist, und unter denselben Bedingungen messen.“ Kapitel 6 behandelt, wie man prüft, und Kapitel 7, wie man die Einstellung ändert.

Der Zustand und die Bedingungen, die Sie beim Messen festhalten

• Bestätigen Sie, dass der Zustand sich wirklich geändert hat. Nach dem Ausschalten und Neustart nutzen Sie die Methode in Kapitel 6, um zu bestätigen, dass Speicherintegrität aus den laufenden Diensten verschwunden ist. Wenn Sie das nicht tun, vergleichen Sie möglicherweise an mit an.
• Halten Sie die Bedingungen gleich. Netzteil oder Akku, der Energiemodus, was im Hintergrund läuft, und bei einem Spiel dieselbe Szene und dieselben Qualitätsstufen. Wie man die Vergleichsbedingungen angleicht, ist in „Wie man die Geschwindigkeit verschiedener Programmversionen unter Windows korrekt vergleicht“ behandelt.

Mehrfach messen, und fragen, ob der Unterschied für die Nutzung des PCs zählt

Nutzen Sie etwas, das eine Zahl liefert: den eingebauten Benchmark eines Spiels oder die Zeit, die eine feste Aufgabe braucht. Messen Sie etwa dreimal jeweils an und aus, und vergleichen Sie die Mediane.

Was Sie ansehen, ist nicht nur, ob die Zahl gestiegen ist. Ein Anstieg der durchschnittlichen fps um 2 % ist auf dem Bildschirm nicht zu unterscheiden. Ob die minimale fps (Ruckeln) sich verbessert hat, zählt mehr für das Gefühl. Prüfen Sie, ob der Unterschied groß genug ist, um für die Nutzung des PCs zu zählen.

flowchart TB
    accTitle: Das Vorgehen beim An/Aus-Vergleich
    accDescr: Den aktuellen Zustand bestätigen und die Bedingungen festhalten, dieselbe Messung mehrmals ausführen, die Einstellung ändern und neu starten, bestätigen, dass der Zustand sich geändert hat, dieselbe Messung wiederholen und danach entscheiden, ob die Größe des Unterschieds für die Nutzung des PCs zählt
    a["Den aktuellen Zustand bestätigen (Kapitel 6)"] --> b["Die Bedingungen festhalten und 3 Mal messen"]
    b --> c["Die Einstellung ändern und neu starten"]
    c --> d["Bestätigen, dass der Zustand sich geändert hat"]
    d --> e["Unter denselben Bedingungen 3 Mal messen"]
    e --> f{"Ist der Unterschied groß genug, um zu zählen?"}
    f -->|"Ja"| g["Zur Entscheidung in Kapitel 5 gehen"]
    f -->|"Nein"| h["Wieder einschalten und eine andere Ursache suchen"]

Abbildung 6: Verwechseln Sie die Leichtigkeit direkt nach einem Neustart nicht mit der Wirkung der Einstellung. Den Zustand zu bestätigen ist die Voraussetzung fürs Messen.

Wenn es keinen Unterschied gibt, suchen Sie eine andere Ursache

Wenn kein Unterschied erschien, liegt die Ursache der Langsamkeit woanders. Zur Untersuchung, wenn der ganze PC langsam ist, siehe „WPR/WPA in der Praxis — Einstieg in die systemweite Leistungsuntersuchung für „der ganze PC ist langsam““, und wenn der Effizienzmodus des Task-Managers die Ursache sein könnte, siehe „Was ist der Windows-Effizienzmodus? - Das grüne Blattsymbol und wie Sie ihn deaktivieren“.

5. Ist das Ausschalten vertretbar? — Was Sie verlieren

„Es wird schneller“ und „es ist vertretbar, sie auszuschalten“ sind getrennte Entscheidungen. Selbst wenn Sie messen und einen Unterschied finden, ist das allein kein Grund, sie auszuschalten. Wägen Sie den Schutz, den Sie verlieren, gegen die Nutzung des PCs ab.

5.1 Was Sie verlieren

Es gibt drei Dinge, derer Sie sich bewusst sein sollten: schwächerer Schutz, eine Warnung und Software, die nicht mehr funktioniert.

Die Barriere gegen Codeeinschleusung in den Kernel ist weg

Speicherintegrität macht es schwerer, den Kernel über einen verwundbaren Treiber oder einen unsignierten Treiber zu übernehmen.² Wenn sie aus ist, ist der PC gegen diese Art von Angriff wieder ein gewöhnliches Windows.

Windows-Sicherheit zeigt eine Warnung

Ab Windows 11 22H2 zeigt Windows-Sicherheit eine Warnung, wenn Speicherintegrität aus ist, und auch auf dem Taskleistensymbol und im Infocenter erscheint eine Warnmarkierung. Die Warnung lässt sich auf dem Bildschirm Windows-Sicherheit schließen.⁸

Spiele, die HVCI verlangen, starten möglicherweise nicht mehr

Manche Anti-Cheat-Systeme (etwa Vanguard von Riot Games) nutzen unter Windows 11 HVCI (Speicherintegrität), um die Systemintegrität zu prüfen.

Riots Supportartikel fordert Sie auf, jede der im Fehler VAN: RESTRICTION aufgeführten Sicherheitsfunktionen zu aktivieren (beliebig unter TPM 2.0, Secure Boot, Speicherintegrität und IOMMU). Auf einem PC, bei dem der Fehler HVCI nennt, startet das Spiel nicht, solange sie aus ist.¹⁰

Das ist keine Bedingung, die jedem PC einheitlich auferlegt wird, aber sie für „das Spiel, das Sie beschleunigen wollen“ auszuschalten, kann ein anderes Spiel unstartbar lassen.

flowchart TB
    accTitle: Was Sie verlieren, wenn Speicherintegrität ausgeschaltet ist
    accDescr: Wenn Speicherintegrität ausgeschaltet ist, ist die Barriere gegen Codeeinschleusung in den Kernel weg, unter Windows 11 22H2 und später zeigt Windows-Sicherheit weiter eine Warnung, und Spiele, deren Anti-Cheat HVCI in seinem Fehler nennt, starten nicht mehr
    off["Speicherintegrität aus"] --> l1["Barriere gegen Kernel-Codeeinschleusung ist weg"]
    off --> l2["Windows-Sicherheit zeigt eine Warnung"]
    off --> l3["Spiele, die HVCI nennen, funktionieren nicht mehr"]

Abbildung 7: Sie verlieren drei Dinge. Entscheiden Sie, ob der Geschwindigkeitsunterschied es wert ist, erst nachdem Sie diese drei angesehen haben.

5.2 Leitlinien für die Entscheidung

flowchart TB
    accTitle: Entscheiden, ob das Ausschalten vertretbar ist
    accDescr: PCs, die mit Geschäftsdaten oder dem Büronetz zu tun haben, bleiben an, PCs, die Spiele spielen, deren Anti-Cheat HVCI im Fehler nennt, bleiben an, nur eine dedizierte Maschine, auf der die Messung einen Unterschied zeigte, ist Kandidat für aus, und alles andere bleibt an und sucht eine andere Ursache
    q1{"Mit Geschäftsdaten oder dem Büronetz befasst?"} -->|"Ja"| keep1["Anlassen (eine andere Ursache suchen)"]
    q1 -->|"Nein"| q2{"Spiele spielen, die HVCI nennen?"}
    q2 -->|"Ja"| keep2["Anlassen"]
    q2 -->|"Nein"| q3{"Hat die Messung einen Unterschied gezeigt?"}
    q3 -->|"Ja"| off["Aus ist eine Option (wieder einschalten, wenn sich die Nutzung ändert)"]
    q3 -->|"Nein"| keep3["Anlassen"]

Abbildung 8: Nur ein PC, der den letzten Zweig erreicht, ist Kandidat für das Ausschalten.

6. Prüfen, ob sie aus ist

Ab hier bereiten wir den Vorgang vor. Lernen Sie zuerst die Prüfmethode, und nutzen Sie dieselbe Methode vor und nach der Änderung. Es ist wichtig, nicht schon daraus „sie war an“ oder „sie ist jetzt aus“ zu schließen, dass Sie auf den Schalter geschaut haben.

6.1 Der Schalter zeigt die Einstellung, nicht den Laufzustand

Der Schalter auf dem Bildschirm Kernisolierung in Windows-Sicherheit zeigt den Wert der Einstellung. Direkt nach dem Aktivieren, während auf einen Neustart gewartet wird, oder während Speicherintegrität wegen eines Kompatibilitätsproblems beim Start nicht starten konnte, kann der Schalter trotzdem an aussehen. Prüfen Sie den Laufzustand auf einem der folgenden zwei Wege.⁴

Auf dem Bildschirm prüfen: msinfo32 (Systeminformationen)

1. Führen Sie msinfo32 über Win + R aus.
2. Schauen Sie auf den Abschnitt „Virtualisierungsbasierte Sicherheit“ nahe dem unteren Ende der „Systemübersicht“.
3. Enthält „Ausgeführte Dienste“ den Eintrag „Hypervisor enforced Code Integrity“, läuft Speicherintegrität.⁸

Anhand der Zahl prüfen: PowerShell

Führen Sie Folgendes in einem als Administrator geöffneten PowerShell-Fenster aus.⁸

Get-CimInstance -Namespace root/Microsoft/Windows/DeviceGuard `
    -ClassName Win32_DeviceGuard |
    Select-Object VirtualizationBasedSecurityStatus,
                  SecurityServicesConfigured,
                  SecurityServicesRunning,
                  AvailableSecurityProperties

Lesen Sie die Ausgabe wie folgt.⁸

Nach dem Ausschalten und Neustart ist es gelungen, wenn 2 aus SecurityServicesRunning verschwunden ist. Enthält auch SecurityServicesConfigured keine 2 mehr, ist sie auch in den Einstellungen aus. Lesen Sie den Zustand von VBS insgesamt und den Laufzustand von Speicherintegrität getrennt.

flowchart TB
    accTitle: Der Ablauf zur Prüfung, ob Speicherintegrität läuft
    accDescr: Win32_DeviceGuard abfragen; enthält SecurityServicesRunning 2, läuft Speicherintegrität, und wenn nicht, läuft sie nicht. Hat SecurityServicesConfigured auf der Einstellungsseite 2, läuft sie aber nicht, einen ausstehenden Neustart oder ein Kompatibilitätsproblem beim Start vermuten
    q0["Win32_DeviceGuard abfragen"] --> r{"Enthält SecurityServicesRunning 2?"}
    r -->|"Ja"| on["Speicherintegrität läuft"]
    r -->|"Nein"| c{"Enthält Configured 2?"}
    c -->|"Ja"| wait["Ausstehender Neustart oder Kompatibilitätsproblem beim Start"]
    c -->|"Nein"| off["In Einstellungen und Betrieb aus"]

Abbildung 9: Schauen Sie auf Running, nicht auf Configured. Lesen Sie die Einstellung und den Betrieb getrennt.

6.2 Konfigurationen, in denen der Hypervisor nach dem Ausschalten bleibt

Nur Speicherintegrität anzuhalten hält die Grundlage nicht unbedingt an

Speicherintegrität ist eine der Funktionen, die auf VBS sitzen. Was Sie ausgeschaltet haben, ist allein Speicherintegrität; ob VBS aktiviert ist, wird durch eine getrennte Einstellung verwaltet (EnableVirtualizationBasedSecurity). Microsofts Dokumentation beschreibt ausdrücklich eine Konfiguration, die „nur VBS aktiviert (ohne Speicherintegrität)“. ⁸

Wenn Sie außerdem Hyper-V, WSL 2, Windows-Sandbox oder Virtual Machine Platform nutzen, startet der Hypervisor ihretwegen weiter.⁶

Von den zwei Kosten, die wir in 3.2 gesehen haben, bleibt in diesem Fall die „Hypervisor sitzt unter dem OS“ auch nach dem Ausschalten. Steht „Virtualisierungsbasierte Sicherheit“ in msinfo32 nach dem Ausschalten von Speicherintegrität noch auf „Wird ausgeführt“, ist die Grundlage noch da.

flowchart TB
    accTitle: Was bleibt, nachdem Speicherintegrität ausgeschaltet ist
    accDescr: Auch wenn der Schalter Speicherintegrität ausgeschaltet ist, läuft der Hypervisor weiter und die Kosten der zweistufigen Adressübersetzung bleiben, wenn eine der Einstellungen zur VBS-Aktivierung, Hyper-V, WSL 2, Windows-Sandbox oder Virtual Machine Platform aktiviert ist
    off["Speicherintegrität aus"] --> q{"Nutzt noch etwas den Hypervisor?"}
    q -->|"VBS-Einstellung, Credential Guard"| stay1["Hypervisor bleibt"]
    q -->|"Hyper-V, WSL 2, Sandbox, VMP"| stay2["Hypervisor bleibt"]
    q -->|"Nichts"| gone["Die Grundlage kann ebenfalls anhalten"]
    stay1 --> cost["Kosten der zweistufigen Adressübersetzung bleiben"]
    stay2 --> cost

Abbildung 10: Der Schalter schaltet nur Speicherintegrität aus. Wenn andere Funktionen den Hypervisor brauchen, bleibt die Grundlage, wie sie ist.

Die ganze Grundlage anzuhalten liegt außerhalb des Bereichs dieses Artikels

Es gibt Einstellungen, die VBS selbst deaktivieren, und Konfigurationen, die den Hypervisor nicht starten, aber sie nehmen jede Funktion auf VBS, einschließlich Credential Guard, sowie Hyper-V, WSL 2 und Windows-Sandbox. Das ist eine weit größere Änderung als „Speicherintegrität ausschalten“, und es ist nicht dasselbe. Dieser Artikel behandelt diese Schritte nicht. Wenn Sie diese Entscheidung mit einem Verständnis des Mechanismus treffen wollen, lesen Sie zuerst Teil 1 und 2 der Serie.

7. Wie man sie ausschaltet

Normalerweise bedienen Sie vom Bildschirm Windows-Sicherheit in 7.1. Abschnitt 7.2 behandelt, was zu prüfen ist, wenn er nicht bedienbar ist, und 7.3 ist eine Alternative für Umgebungen, in denen der Bildschirm nicht genutzt werden kann. VMP in 7.4 ist eine getrennte Funktion, also kein Schritt, den Sie der Reihe nach ausführen, um Speicherintegrität auszuschalten.

7.1 Über Windows-Sicherheit (das Standardvorgehen)

Ausschalten: Die Einstellung ändern, neu starten und prüfen

1. Öffnen Sie „Windows-Sicherheit“ über Start.
2. Wählen Sie „Gerätesicherheit“ im linken Menü.
3. Öffnen Sie „Details zur Kernisolierung“ unter „Kernisolierung“.
4. Schalten Sie den Schalter „Speicherintegrität“ aus. Erscheint die Administratorbestätigung (UAC), lassen Sie sie zu.
5. Starten Sie den PC neu. Die Änderung greift erst nach dem Neustart.¹
6. Bestätigen Sie nach dem Neustart mit der Methode in 6.1, dass sie aus ist.

Wieder einschalten: Denselben Bildschirm nutzen

Zum Wiederherstellen schalten Sie den Schalter auf demselben Bildschirm ein und starten Sie neu. Beim Einschalten kann eine Suche nach inkompatiblen Treibern laufen. Erscheint eine Liste, erzwingen Sie es nicht; behandeln Sie sie in der in Kapitel 8 angegebenen Reihenfolge.

Wenn Sie vergleichen, bestätigen Sie den Laufzustand vor und nach der Änderung und messen Sie dann mit der Methode in 4.3. Zählt der Unterschied nicht für die Nutzung des PCs, schalten Sie sie wieder ein und suchen Sie eine andere Ursache.

flowchart TB
    accTitle: Schritte zum Ausschalten von Speicherintegrität über Windows-Sicherheit
    accDescr: Von Gerätesicherheit in Windows-Sicherheit Details zur Kernisolierung öffnen, den Schalter Speicherintegrität ausschalten, neu starten und mit msinfo32 oder Win32_DeviceGuard bestätigen, dass sie aus ist
    s1["Windows-Sicherheit öffnen"] --> s2["Gerätesicherheit"]
    s2 --> s3["Details zur Kernisolierung"]
    s3 --> s4["Speicherintegrität aus"]
    s4 --> s5["Neu starten"]
    s5 --> s6["Mit der Methode in Kapitel 6 prüfen"]

Abbildung 11: Das Vorgehen selbst ist kurz. Die Teile, die übersprungen werden, sind die letzten zwei (Neustart und Prüfung).

7.2 Wenn der Schalter ausgegraut ist und sich nicht anfassen lässt

Auf einem Firmen- oder Schul-PC umgehen Sie das nicht selbst; fragen Sie den Administrator. Wenn der Schalter ausgegraut und nicht bedienbar ist, gehören zu den Gründen die folgenden.

Durch Richtlinie oder die Registrierung gesperrt

Ist der Schalter ausgegraut und steht dort „Diese Einstellung wird von Ihrem Administrator verwaltet“, ist die Einstellung des PCs durch Gruppenrichtlinie, Intune oder Ähnliches gesperrt, oder der Bildschirm wurde über die Registrierung deaktiviert.⁸ Auf einem Firmen- oder Schul-PC ist das die Absicht des Administrators.

Mit einer UEFI-Sperre aktiviert

Auf einem PC, der mit „Mit UEFI-Sperre aktiviert“ unter der Gruppenrichtlinieneinstellung „Virtualisierungsbasierte Sicherheit aktivieren“ bereitgestellt wurde, ist die Einstellung in einer UEFI-(Firmware-)Variable gespeichert, sodass Speicherintegrität nicht remote oder über eine Richtlinienaktualisierung ausgeschaltet werden kann.⁸

Sie rückgängig zu machen erfordert, die Richtlinien- oder Registrierungseinstellung zu entfernen und dann, dass eine Person vor diesem PC die Schritte ausführt, um die in UEFI gespeicherte Konfiguration zu löschen. Die Dokumentation zu Credential Guard, die dieselbe UEFI-Sperre nutzt, zeigt das Vorgehen: die EFI-Variable mit bcdedit unter Administratorrechten löschen und die beim Neustart gezeigte Bestätigungsaufforderung physisch annehmen.¹¹

Allein Secure Boot im UEFI-Menü zu deaktivieren löscht die gespeicherte Konfiguration nicht. Es kann Sie auch nach dem BitLocker-Wiederherstellungsschlüssel fragen. Diese Einstellung existiert gerade deshalb, damit sie nicht beiläufig ausgeschaltet werden kann, also ist sie wiederum Domäne des Administrators.

flowchart TB
    accTitle: Die Ursache isolieren, wenn der Schalter ausgegraut ist
    accDescr: Ist der Schalter ausgegraut, wird er entweder von einem Administrator verwaltet (Richtlinie oder Registrierung) oder steht unter einer UEFI-Sperre (die das Löschen der in UEFI gespeicherten Konfiguration vor dem PC erfordert); in beiden Fällen nicht selbst umgehen, sondern den Administrator konsultieren
    gray["Schalter ist ausgegraut"] --> why{"Welcher Grund wird angezeigt?"}
    why -->|"Von Ihrem Administrator verwaltet"| pol["Durch Richtlinie oder die Registrierung gesperrt"]
    why -->|"UEFI-Sperre"| lock["Erfordert das Löschen der UEFI-Konfiguration vor dem PC"]
    pol --> ask["Den Administrator konsultieren"]
    lock --> ask

Abbildung 12: Grau ist keine Fehlfunktion; es ist das Zeichen, dass jemand sie absichtlich gesperrt hat.

7.3 Über die Registrierung einstellen (wenn der Bildschirm nicht genutzt werden kann)

Diese Methode ist eine Alternative für Umgebungen, in denen der Bildschirm Windows-Sicherheit nicht genutzt werden kann, oder wenn Sie sie aus einem Skript setzen wollen. Sie ist kein Weg, eine Administrator-Einstellung zu umgehen. Und beim Wiedereinschalten nutzen Sie den Bildschirm in 7.1.

Der Wert und der Befehl zum Ausschalten

Die Einstellungswerte, die Microsoft zum Aktivieren und Deaktivieren von Speicherintegrität dokumentiert, sind wie folgt.⁸

Führen Sie Folgendes in einem als Administrator geöffneten Terminal aus und starten Sie dann neu.

reg add "HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard\Scenarios\HypervisorEnforcedCodeIntegrity" /v Enabled /t REG_DWORD /d 0 /f

Das ist derselbe Vorgang, den Microsoft als Verfahren angibt, um aus der Wiederherstellungsumgebung (Windows RE) einen PC wiederherzustellen, der nach der Aktivierung von Speicherintegrität nicht mehr startet.⁸

Warum Sie beim Wiedereinschalten nicht 1 in die Registrierung schreiben

Beim Wiederherstellen schreiben Sie nicht 1 zurück in die Registrierung; schalten Sie sie über den Bildschirm Windows-Sicherheit in 7.1 ein. Wenn Sie sie vom Bildschirm einschalten, läuft zuerst die Suche nach inkompatiblen Treibern, und falls welche gefunden werden, wird eine Liste angezeigt (Kapitel 8).³

Wenn Sie 1 in der Registrierung schreiben, wird Speicherintegrität beim nächsten Start verlangt, ohne durch diese Suche zu gehen. Bleibt ein inkompatibler Treiber, laden Sie genau den Startfehler ein, vor dem Kapitel 8 warnt. Sie über Richtlinie oder die Registrierung zu aktivieren ist nur akzeptabel, nachdem Sie in der Liste der inkompatiblen Treiber und im CodeIntegrity-Protokoll bestätigt haben, dass es kein Problem gibt.

Wenn die Änderung keine Wirkung hat oder zurückgesetzt wird

Auf einem PC, auf dem Locked unter demselben Schlüssel 1 ist (UEFI-Sperre), hat das Ändern dieses Werts keine Wirkung.⁸ Und auf einem PC, der durch die Richtlinie einer Organisation verwaltet wird, setzt die Einstellung sich zurück, wenn die Richtlinie das nächste Mal angewendet wird. Die Registrierung ist „ein Ersatz für den Bildschirm“, nicht „ein Mittel, die Einstellung des Administrators zu überstimmen“.

flowchart TB
    accTitle: Bedingungen, unter denen die Registrierungseinstellung keine Wirkung hat
    accDescr: Auch wenn Enabled unter HypervisorEnforcedCodeIntegrity auf 0 gesetzt wird, hat es keine Wirkung, wenn Locked unter demselben Schlüssel 1 ist (UEFI-Sperre), und auf einem PC, der durch die Richtlinie einer Organisation verwaltet wird, setzt die Einstellung sich bei der nächsten Richtlinienanwendung zurück. Wieder einschalten vom Bildschirm Windows-Sicherheit, nicht von der Registrierung
    reg["Enabled auf 0 setzen und neu starten"] --> lk{"Ist Locked 1 (UEFI-Sperre)?"}
    lk -->|"Ja"| no1["Keine Wirkung (Freigabe auf der UEFI-Seite erforderlich)"]
    lk -->|"Nein"| pol{"Durch Richtlinie verwaltet?"}
    pol -->|"Ja"| no2["Setzt sich bei der nächsten Richtlinienanwendung zurück"]
    pol -->|"Nein"| ok["Ausgeschaltet (in Kapitel 6 prüfen)"]
    ok -.-> back["Vom Bildschirm wieder einschalten (die Suche läuft)"]

Abbildung 13: Der Registrierungswert schreibt dieselbe Einstellung wie der Bildschirm; er kann nicht über der Sperre oder der Richtlinie stehen.

7.4 Virtual Machine Platform (VMP) ist ein getrenntes Vorgehen

Microsofts Hinweis zur Spieleleistung listet auch VMP, aber sie ist eine von Speicherintegrität getrennte Funktion. Sie müssen VMP nicht ebenfalls entfernen, um Speicherintegrität auszuschalten.

Prüfen Sie, welche Funktionen Sie nutzen, bevor Sie sie entfernen

VMP ist Voraussetzung für WSL 2.⁶ Wenn Sie sie auf einem PC entfernen, der WSL 2 nutzt, oder Docker Desktop auf WSL 2, hören diese auf zu funktionieren.

Windows-Sandbox wird über ein eigenes optionales Feature statt über VMP aktiviert, funktioniert also nach dem Entfernen von VMP weiter.⁷ Aber weil Sandbox ebenfalls auf demselben Hypervisor läuft, ist sie, solange Sie sie weiter nutzen, einer der Faktoren „die Grundlage bleibt“, die wir in 6.2 gesehen haben.

Das Kriterium ist „entfernen, wenn Sie sie nicht nutzen“, nicht „entfernen, weil es schneller wird.“

Der Vorgang, wenn VMP nicht genutzt wird

VMP wird nicht in Windows-Sicherheit, sondern unter „Windows-Features“ ausgeschaltet.¹

1. Suchen Sie „Windows-Features“ über Start und öffnen Sie „Windows-Features aktivieren oder deaktivieren“.
2. Deaktivieren Sie das Kontrollkästchen „Virtual Machine Platform“ und drücken Sie „OK“.
3. Starten Sie neu.

flowchart TB
    accTitle: Ist es vertretbar, Virtual Machine Platform zu entfernen?
    accDescr: Wenn Sie Funktionen nutzen, die von Virtual Machine Platform abhängen, etwa WSL 2 oder Docker Desktop (WSL-2-Backend), entfernen Sie sie nicht; nur wenn sie nicht genutzt werden, ist sie Kandidat für die Entfernung. Windows-Sandbox ist ein eigenes Feature, funktioniert also nach dem Entfernen von VMP, nutzt aber denselben Hypervisor, sodass die Grundlage bleibt
    vmp["VMP entfernen wollen"] --> use{"WSL 2 oder Docker Desktop nutzen?"}
    use -->|"Ja"| keep["Nicht entfernen (sie hören auf zu funktionieren)"]
    use -->|"Nein"| ok["Kandidat für die Entfernung (über Windows-Features)"]
    ok --> reboot["Neu starten und prüfen"]
    ok -.-> sb["Sandbox ist ein eigenes Feature (Grundlage bleibt)"]

Abbildung 14: Ob VMP entfernt wird, entscheidet „nutzen Sie diese Funktion“, nicht die Geschwindigkeit.

8. Wieder einschalten — Umgang mit „inkompatiblen Treibern“

Dieses Kapitel trennt den Fall, in dem Sie sie selbst nicht wieder einschalten können, von dem Fall, in dem sie sich auf einem PC, auf dem sie automatisch aktiviert worden war, irgendwann selbst ausgeschaltet hat. In beiden Fällen prüfen Sie die Treiberliste und das Protokoll, bevor Sie handeln.

8.1 Wenn Sie sie nicht wieder einschalten können, prüfen Sie die Treiber

Wenn Sie Speicherintegrität auf einem PC, auf dem sie aus war, wieder einschalten wollen, kann Ihnen gesagt werden, es gebe „inkompatible Treiber“, und Sie können sie nicht einschalten. Windows-Sicherheit durchsucht die Treiber, wenn Sie den Schalter einschalten, und wenn irgendein Treiber die Regeln von Speicherintegrität (3.1) nicht erfüllt, zeigt sie eine Liste.³

Die Reihenfolge der Behandlung ist wie folgt.

1. Identifizieren Sie die Treiber in der Liste. Unter „Inkompatible Treiber überprüfen“ auf dem Bildschirm Kernisolierung schauen Sie auf die Treiberdateinamen und ihre Herausgeber.
2. Ersetzen Sie sie durch aktualisierte Treiber. Wie Microsoft rät, prüfen Sie, ob der Gerätehersteller einen aktualisierten Treiber bereitstellt.³ Er kann auch unter „Optionale Updates“ in Windows Update verfügbar sein.
3. Gehört der Treiber zu einem Gerät, das Sie nicht mehr nutzen, löschen Sie ihn. Treiber für Peripheriegeräte, die vor langer Zeit angeschlossen waren, oder für Dienstprogramme, die nie vollständig deinstalliert wurden, bleiben oft zurück.
4. Bestätigen Sie im Protokoll, welcher Treiber blockiert wurde. Blockaden durch Speicherintegrität werden in der Ereignisanzeige unter Applications and Services Logs\Microsoft\Windows\CodeIntegrity\Operational festgehalten, mit Ereignis-ID 3087 als der typischen.⁴

Schalten Sie sie nicht zwangsweise ein, während inkompatible Treiber bleiben. Microsoft warnt, dass mit Speicherintegrität inkompatible Treiber Geräte oder Software außer Betrieb setzen können und in seltenen Fällen zu einem Startfehler (Bluescreen) führen.⁸ Wenn der PC tatsächlich den Start verweigert, gibt es ein Verfahren, den Start wiederherzustellen, indem der Registrierungswert in 7.3 aus der Wiederherstellungsumgebung auf 0 gesetzt wird.⁸

flowchart TB
    accTitle: Den Fall behandeln, in dem sie nicht wieder eingeschaltet werden kann
    accDescr: Die Treiber in der Liste der inkompatiblen Treiber identifizieren, sie ersetzen, wenn der Hersteller eine aktualisierte Version hat, sie löschen, wenn das Gerät nicht mehr genutzt wird, und wenn keines von beiden möglich ist, nicht erzwingen, aus lassen und den Hersteller nach einer kompatiblen Version fragen
    fail["Kann nicht eingeschaltet werden"] --> list["Die Liste der inkompatiblen Treiber ansehen"]
    list --> upd{"Hat der Hersteller eine Aktualisierung?"}
    upd -->|"Ja"| fix["Ersetzen und einschalten"]
    upd -->|"Nein"| used{"Ist das Gerät in Nutzung?"}
    used -->|"Nicht in Nutzung"| rm["Den Treiber löschen und einschalten"]
    used -->|"In Nutzung"| wait["Nicht erzwingen; den Hersteller fragen"]

Abbildung 15: Die richtige Lösung ist eine Treiberaktualisierung. Sie zwangsweise einzuschalten ist den Preis eines PCs, der nicht startet, nicht wert.

8.2 Die Sicherung, die sie automatisch ausschaltet, hat Bedingungen

Ein Mechanismus, der auf PCs beschränkt ist, auf denen sie automatisch aktiviert wurde

Ein PC, auf dem Windows Speicherintegrität automatisch aktiviert hat (die Standardaktivierung in 3.3 oder ein PC, auf dem der Hersteller sie im Auslieferungsabbild aktiviert hat), kann eine Sicherung tragen, die Speicherintegrität automatisch wieder ausschaltet, wenn direkt nach der Aktivierung beim Start ein Absturz auftritt.

Microsofts Dokumentation beschreibt diese Sicherung so, dass sie arbeitet, wenn die Registrierungswerte WasEnabledBy und EnabledBootId gesetzt sind, nur für die drei Starts nach der Aktivierung aktiv ist und eine Konfiguration ist, die Hersteller im Auslieferungsabbild setzen.⁴

Dieses Verhalten ist nicht für den Fall dokumentiert, in dem Sie sie selbst vom Bildschirm Kernisolierung eingeschaltet haben. Beim manuellen Wiedereinschalten verlassen Sie sich nicht auf diese Sicherung; räumen Sie zuerst mit den Schritten in 8.1 inkompatible Treiber aus.

Selbst wenn sie sich automatisch ausgeschaltet hat, ist die Ursache nicht geklärt

Das Phänomen „direkt nach einer Neuinstallation war sie irgendwann aus“ kann das Ergebnis sein, dass diese Sicherung gegriffen hat. Aber was sie festhält, ist nur die Tatsache, dass „der Start direkt nach der Aktivierung fehlgeschlagen ist“. Es steht nicht fest, dass die Ursache ein inkompatibler Treiber war. Ein Startfehler aus einem unzusammenhängenden Grund in diesem Zeitraum erzeugt dasselbe Ergebnis.

Microsofts Dokumentation erklärt auch, dass die Einstellung wiederhergestellt wird, wenn die Startfehler nach dem Ausschalten von Speicherintegrität andauern, mit der Begründung, Speicherintegrität sei nicht die Ursache gewesen.⁴

Ein inkompatibler Treiber ist eine wahrscheinliche Ursache, holen Sie sich also zuerst Bestätigung aus der Liste der inkompatiblen Treiber und dem CodeIntegrity-Protokoll. Wird etwas gefunden, behandeln Sie es mit den Schritten in 8.1; wird nichts gefunden, untersuchen Sie die Ursache des Startfehlers woanders.

flowchart TB
    accTitle: Die Sicherung, die sie auf PCs, auf denen sie automatisch aktiviert wurde, automatisch ausschaltet
    accDescr: Auf einem PC, auf dem Windows sie automatisch aktiviert hat (WasEnabledBy und EnabledBootId sind gesetzt), kann Speicherintegrität sich automatisch wieder ausschalten, wenn innerhalb von drei Starts nach der Aktivierung ein Absturz beim Start auftritt. Wenn sie manuell eingeschaltet wurde, ist dieses Verhalten nicht dokumentiert, verlassen Sie sich also nicht auf die Sicherung. Selbst wenn sie sich automatisch ausgeschaltet hat, ist das eine Aufzeichnung eines Startfehlers und keine geklärte Ursache, holen Sie sich also Bestätigung aus der Liste der inkompatiblen Treiber und dem CodeIntegrity-Protokoll, behandeln Sie einen Treffer durch Aktualisieren oder Löschen, und untersuchen Sie sonst eine andere Ursache
    en["Speicherintegrität wird aktiviert"] --> how{"Automatisch aktiviert (WasEnabledBy)?"}
    how -->|"Manuell eingeschaltet"| manual["Sicherung ist nicht dokumentiert"]
    how -->|"Automatisch"| boot{"Absturz innerhalb von 3 Starts?"}
    boot -->|"Nein"| fine["Bleibt aktiviert und läuft"]
    boot -->|"Ja"| auto["Schaltet sich automatisch wieder aus"]
    auto --> chk{"Treffer in der Liste oder im Protokoll?"}
    chk -->|"Ja"| fix["Durch Aktualisieren oder Löschen behandeln"]
    chk -->|"Nein"| other["Eine andere Ursache untersuchen"]

Abbildung 16: Die Sicherung greift nur auf PCs, auf denen sie automatisch aktiviert wurde; beim manuellen Einschalten kann man sich nicht auf sie verlassen. Selbst wenn sie greift, ist sie ein Signal und keine Diagnose, holen Sie sich also Bestätigung aus der Liste und dem Protokoll, bevor Sie etwas beheben.

9. Häufige Missverständnisse

Schließlich prüfen wir die Punkte, die vor und nach dem Ändern der Einstellung leicht durcheinandergeraten.

9.1 „Ich habe Kernisolierung ausgeschaltet“

Kernisolierung ist der Name eines Bildschirms; was Sie tatsächlich ausgeschaltet haben, ist der Schalter Speicherintegrität (Kapitel 2). Die anderen Einträge auf demselben Bildschirm und VBS selbst werden nicht ausgeschaltet.

9.2 „Ausschalten macht es immer schneller“

Es kann schneller werden, wenn Speicherintegrität tatsächlich läuft, die CPU der Engpass ist und besonders wenn der CPU MBEC/GMET fehlt (Kapitel 4). GPU-gebundene Spiele und Langsamkeit mit einer anderen Ursache ändern sich nicht.

9.3 „Den Schalter auszulegen ist das Ende davon“

Sie greift erst nach dem Neustart, und nach dem Neustart muss der Laufzustand noch getrennt geprüft werden (Kapitel 6). Umgekehrt setzt der Schalter sich auf einem durch Richtlinie oder eine UEFI-Sperre gesperrten PC zurück, selbst wenn Sie ihn anfassen.

9.4 „Ausschalten hat keine anderen Wirkungen“

Die Barriere gegen Codeeinschleusung in den Kernel ist weg, Windows-Sicherheit zeigt weiter eine Warnung, und Spiele, deren Anti-Cheat HVCI im Fehler nennt, starten nicht mehr (Kapitel 5).

9.5 „Ausschalten hält auch den Hypervisor an“

Speicherintegrität ist eine Funktion auf VBS; wenn eine der VBS-Einstellung, Credential Guard, Hyper-V, WSL 2, Windows-Sandbox oder VMP aktiviert ist, läuft der Hypervisor weiter (6.2).

flowchart TB
    accTitle: Missverständnisse und was tatsächlich geschieht
    accDescr: Das Missverständnis, Kernisolierung sei ausgeschaltet worden, entspricht der Tatsache, dass es der Schalter Speicherintegrität war; das Missverständnis, es werde immer schneller, entspricht, dass es von der Konfiguration abhängt; das Missverständnis, der Schalter sei das Ende, entspricht, dass ein Neustart und eine Prüfung erforderlich sind; und das Missverständnis, der Hypervisor halte ebenfalls an, entspricht, dass er für andere Funktionen bleibt
    m1["Kernisolierung ausgeschaltet"] --> r1["Was ausgeschaltet wurde, ist der Schalter Speicherintegrität"]
    m2["Wird immer schneller"] --> r2["Hängt von der Konfiguration ab. Messen und entscheiden"]
    m3["Der Schalter ist das Ende"] --> r3["Ein Neustart und eine Laufzustandsprüfung sind erforderlich"]
    m4["Der Hypervisor hält ebenfalls an"] --> r4["Er bleibt, wenn andere Funktionen ihn brauchen"]

Abbildung 17: Die meisten Missverständnisse kommen daher, „den Namen des Bildschirms“ mit „dem Namen des Mechanismus“ zu vermischen.

10. Zusammenfassung

Speicherintegrität (HVCI) ist ein Mechanismus, der den Kontrollpunkt für Treiber, die in den Kernel eintreten, in eine isolierte Umgebung außerhalb des Kernels verlegt. Diese Verlegung hat einen Preis, einen Hypervisor darunter zu legen und den Hypervisor die Ausführungsberechtigung erzwingen zu lassen, und je nach Konfiguration beeinflusst sie die Leistung.

Die Entscheidung lässt sich in den folgenden drei Stufen leichter ordnen.

1. Prüfen Sie die Nutzung und was Sie verlieren. Kandidat für aus ist eine dedizierte Maschine, die nichts mit Geschäftsdaten oder dem Büronetz zu tun hat und keine Spiele spielt, deren Anti-Cheat HVCI nennt. Geschwindigkeit allein entscheidet es nicht.
2. Bestätigen Sie den Laufzustand, dann messen Sie unter denselben Bedingungen. Nutzen Sie msinfo32 oder Win32_DeviceGuard, um zu bestätigen, dass der Zustand sich vor und nach der Änderung geändert hat. Ein Unterschied ist am wahrscheinlichsten auf älteren CPUs ohne MBEC/GMET und in CPU-gebundenen Spielen, und unwahrscheinlich in GPU-gebundenen Spielen und der Alltagsnutzung. Messen Sie mehrmals und sehen Sie, ob der Unterschied für die Nutzung des PCs zählt.
3. Entscheiden Sie anhand des Unterschieds und der Nutzung, ob Sie sie behalten oder wiederherstellen. Aus ist eine Option, wenn die Messung einen Unterschied zeigt. Auf einem PC, der Hyper-V, WSL 2, Sandbox oder VMP nutzt, bleibt die Grundlage und der erwartete Unterschied ist unwahrscheinlich. Zählt der Unterschied nicht für die Nutzung des PCs, schalten Sie sie wieder ein und nehmen Sie es wieder auf, wenn sich die Nutzung ändert. Wenn sie nicht wieder eingeschaltet werden kann, ist die richtige Lösung eine Treiberaktualisierung; schalten Sie sie nicht zwangsweise ein.

„Es wird schneller, wenn man sie ausschaltet“ ist keine Lüge. Aber erst mit drei Bedingungen, „auf Ihrem eigenen PC“, „gemessen“ und „wissend, was Sie verlieren“, wird es Material für eine Entscheidung.

Weiterführende Artikel

• Die Tiefen der Windows-Virtualisierung (Teil 2) — Speicher, den selbst der Kernel nicht sieht: Wie VBS, HVCI und Credential Guard funktionieren
• Die Tiefen der Windows-Virtualisierung (Teil 1) — Wo läuft Ihr Windows eigentlich? Hypervisor und Partitionen
• Die Tiefen der Windows-Virtualisierung (Teil 3) — Virtuelle Maschinen, die in Sekunden starten: Warum WSL2, Windows Sandbox und Container so leicht sind
• Was ist der Windows-Effizienzmodus? - Das grüne Blattsymbol und wie Sie ihn deaktivieren
• Wie man die Geschwindigkeit verschiedener Programmversionen unter Windows korrekt vergleicht. Von der Angleichung der Umgebung, etwa des Energiemodus, bis zu den Grenzen
• WPR/WPA in der Praxis — Einstieg in die systemweite Leistungsuntersuchung für „der ganze PC ist langsam“
• Windows-Prozessorzeitplanung – Hintergrunddienste und P-/E-Kerne

Zugehörige Beratungsfelder

KomuraSoft LLC übernimmt Kompatibilitätsuntersuchungen zwischen Windows-Anwendungen und Sicherheitsfunktionen (Speicherintegrität, VBS, App Control), die Analyse treiberbedingter Defekte und Leistungsuntersuchungen, die die Ursache von „der PC oder die App ist langsam“ durch Messung eingrenzen. Kommen Sie zu uns ab dem Punkt, an dem „das Ausschalten hat es nicht schneller gemacht“.

• Fehleruntersuchung und Ursachenanalyse
• Technische Beratung & Design-Review
• Windows-Anwendungsentwicklung
• Kontakt

Quellen

Verwandte Artikel

Aktuelle Artikel mit denselben Schlagwörtern führen zu verwandten Themen weiter.

Verwandte Themen

Diese Seiten ordnen den Artikel in einen größeren Leistungs- und Entscheidungskontext ein.

Häufige Fragen

Fragen, die in Beratungen zu diesem Artikelthema häufig gestellt werden.

Was ist Speicherintegrität (HVCI)?

Es ist die Funktion unter Gerätesicherheit > Kernisolierung in Windows-Sicherheit, offiziell hypervisor-protected code integrity (HVCI). Sie führt die Signaturprüfung der in den Kernel (den Kern des Betriebssystems) geladenen Treiber in einer vom Hypervisor geschaffenen isolierten Umgebung aus, macht nur Seiten ausführbar, die die Prüfung bestehen, und erlaubt niemals Schreiben auf ausführbare Seiten. Ihr Zweck ist, es Schadprogrammen schwerer zu machen, den PC über Treiber auf niedriger Ebene zu übernehmen.

Wird der PC wirklich schneller, wenn man Speicherintegrität ausschaltet?

Manche Konfigurationen werden schneller, andere ändern sich kaum. Microsoft gibt an, dass auf Gaming-Geräten in manchen Szenarien und Konfigurationen Speicherintegrität und Virtual Machine Platform die Leistung beeinflussen können. Die Auswirkung ist am wahrscheinlichsten auf älteren CPUs ohne Mode-Based Execution Control (bei Intel ab der 7. Generation) oder Guest Mode Execute Trap (bei AMD ab Zen 2), weil die Funktion dort emuliert wird und die Leistungskosten steigen. Bei GPU-gebundenen Spielen oder wenn die Langsamkeit von Speichermangel, Datenträger, Wärme oder dem Energiemodus kommt, ändert das Ausschalten nichts. Zuverlässig entscheiden Sie, indem Sie auf Ihrem eigenen PC unter denselben Bedingungen messen.

Wie schalte ich Speicherintegrität aus?

Öffnen Sie Windows-Sicherheit, gehen Sie zu Gerätesicherheit > Details zur Kernisolierung, schalten Sie den Schalter Speicherintegrität aus und starten Sie den PC neu. Die Einstellung greift erst nach dem Neustart. Ist der Schalter ausgegraut und steht dort „Diese Einstellung wird von Ihrem Administrator verwaltet“, ist sie durch die Richtlinie Ihrer Organisation gesperrt; ändern Sie sie nicht selbst, fragen Sie den Administrator.

Ich habe sie ausgeschaltet, warum wird es nicht schneller?

Bestätigen Sie zuerst, dass sie wirklich aus ist, über den Abschnitt „Virtualisierungsbasierte Sicherheit“ von msinfo32 (Systeminformationen) oder die Klasse Win32_DeviceGuard in PowerShell. Sie kann noch an sein, weil Sie nicht neu gestartet haben oder eine Richtlinie sie zurückgesetzt hat. Nutzen Sie außerdem Hyper-V, WSL 2, Windows-Sandbox oder Virtual Machine Platform, läuft der Hypervisor selbst weiter, auch nachdem Speicherintegrität ausgeschaltet ist. Und war Speicherintegrität von vornherein nicht die Ursache der Langsamkeit, macht das Ausschalten nichts schneller.

Was tun, wenn ich Speicherintegrität nicht wieder einschalten kann (es heißt, es gibt inkompatible Treiber)?

Prüfen Sie die Liste der inkompatiblen Treiber auf dem Bildschirm Kernisolierung in Windows-Sicherheit; die richtige Lösung ist, sie durch aktualisierte Treiber des Geräteherstellers zu ersetzen. Gehört der Treiber zu einem Gerät, das Sie nicht mehr nutzen, können Sie ihn löschen. Welcher Treiber blockiert wurde, lässt sich auch im CodeIntegrity-Operational-Protokoll der Ereignisanzeige bestätigen (Ereignis-ID 3087 ist die typische). Sie zwangsweise einzuschalten, während inkompatible Treiber bleiben, wird auch von Microsoft nicht unterstützt, und der PC kann den Start verweigern.

Ich habe sie für ein Spiel ausgeschaltet, und jetzt startet ein anderes Spiel nicht.

Manche Anti-Cheat-Systeme (etwa Vanguard von Riot Games) nutzen unter Windows 11 Speicherintegrität (HVCI), um die Systemintegrität zu prüfen, und auf einem PC, bei dem ein Fehler VAN: RESTRICTION HVCI nennt, startet das Spiel nicht, solange sie aus ist. Das gilt nicht einheitlich für jeden Windows-11-PC; es hängt davon ab, was der Fehler auflistet. Trifft es zu, schalten Sie Speicherintegrität wieder ein und starten Sie neu. Ob Sie sie ausschalten, entscheiden Sie, indem Sie sowohl das Spiel ansehen, das Sie beschleunigen wollen, als auch das Spiel, das HVCI verlangt.

Autorenprofil

Profilseite des Artikelautors.

Go Komura

Geschäftsführer von KomuraSoft LLC

Spezialisiert auf Windows-Softwareentwicklung, technische Beratung und Fehleranalyse, insbesondere bei bestehenden Systemen und schwer reproduzierbaren Störungen.