Microsoft Defender Fehlalarm: Ursache, Auswirkungen und Lösung mit Plattform-Update 4.18.26080.4

Im September 2026 veröffentlichte Microsoft ein kritisches Plattform-Update (Version 4.18.26080.4), das einen weit verbreiteten Fehlalarm im Windows Defender behebt. Vor dem Fix meldeten zahlreiche Windows-10-, Windows-11- und Server-Installationen fälschlich, der Virenschutz sei deaktiviert, obwohl Echtzeitschutz und Hintergrunddienste durchgehend aktiv waren. Der Artikel erklärt die technische Ursache, die Folgen für Endnutzer und Unternehmen sowie die Schritte, mit denen Administratoren und Anwender die Korrektur prüfen und umsetzen können.

Fehlalarm bei deaktiviertem Defender - Was passiert?

Nach dem Rollout der Plattform-Version 4.18.26080.3 zeigte das Windows Security Center (WSC) in der Benutzeroberfläche die Meldung "Defender Antivirus ist deaktiviert". Gleichzeitig blieb der Echtzeitschutz aktiv, und die Hintergrund-Engine prüfte Dateien weiterhin auf Bedrohungen. Der Alarm ließ sich nicht dauerhaft über die Windows-Benachrichtigungseinstellungen unterdrücken, was zu Verunsicherung bei privaten Nutzern und zu Fehlinterpretationen in Unternehmensumgebungen führte.

Technische Ursache: Race Condition zwischen WSC und Defender (Version 4.18.26080.3)

Die Fehlfunktion beruhte auf einer Timing-Problematik beim Systemstart. Beim Booten initiierte das Windows Security Center eine Callback-Abfrage an den Defender-Dienst, um den aktuellen Antivirus-Status zu ermitteln. Zu diesem Zeitpunkt war der Defender-Dienst jedoch noch nicht vollständig registriert. Das WSC speicherte den unvollständigen Status im Cache als "deaktiviert" und behielt ihn dort, bis ein neuer Abfragezyklus erfolgte - was in vielen Fällen nicht mehr geschah.

Ursache im Statusabgleich

Der fehlerhafte Ablauf lässt sich wie folgt zusammenfassen:

• Defender-Plattform-Version 4.18.26080.3 ist aktiv.
• Beim Systemstart fragt das WSC den Antivirus-Status per Callback ab.
• Der Defender-Dienst befindet sich noch in der Initialisierungsphase und liefert keinen gültigen Status.
• Das WSC speichert den erhaltenen Wert "deaktiviert" dauerhaft im Cache.
• PowerShell-Abfragen (z. B. Get-MpComputerStatus ) zeigen jedoch korrekt RealTimeProtectionEnabled = True an, weil der Dienst intern aktiv ist.

Diese Race Condition wurde von mehreren Quellen bestätigt, darunter Bleeping Computer (S1) und Patch My PC (S3).

Auswirkungen in Unternehmensumgebungen - Intune und Conditional Access

In Unternehmensnetzwerken greift Microsoft Intune nicht direkt auf den Defender-Dienst zu, sondern verwendet die Statusmeldungen des WSC für die Compliance-Prüfung. Durch die falsche Meldung wurden betroffene Geräte als "Non-Compliant" eingestuft. In Kombination mit Microsoft Entra Conditional Access führte das zu automatischen Sperren von Microsoft 365, SharePoint und Unternehmens-E-Mails, obwohl der eigentliche Virenschutz funktionierte.

• Betroffene Richtlinie: Antivirus Compliance Policy (2026).
• Intune markierte Geräte fälschlich als nicht konform.
• Conditional Access blockierte den Zugriff auf zentrale Cloud-Dienste.

Die Fehlalarme traten vor allem nach dem Rollout von Version 4.18.26080.3 auf und betrafen Windows 10, Windows 11 und zahlreiche Windows-Server-Versionen.

Microsofts Fix: Plattform-Update 4.18.26080.4

Am 17. September 2026 veröffentlichte Microsoft das Update 4.18.26080.4, das den Startablauf anpasst:

• Defender übermittelt seinen Status früher an das WSC.
• Falls der Schutz beim ersten Abruf noch nicht bereit ist, wartet das WSC begrenzt und führt anschließend einen erneuten Abgleich durch.
• Der falsche Status wird nicht mehr dauerhaft im Cache gespeichert.

Das Update gilt für:

• Windows 11 ab Version 23H2 und neuere Builds.
• Windows 10 Versionen 21H2, 22H2 sowie LTSC-Varianten.
• Windows Server 2025, 2022, 2019, 2016, 2012 und 2012 R2.

Die Verteilung erfolgt über Windows Update und die regulären Defender-Updatekanäle - ein Registry-Eingriff oder eine Neuinstallation des Virenscanners ist nicht nötig.

Praktische Verifikation per PowerShell

Um den tatsächlichen Schutzstatus unabhängig von der WSC-Anzeige zu prüfen, können Administratoren das folgende PowerShell-Cmdlet nutzen:

Get-MpComputerStatus

Wichtige Rückgabefelder sind:

• AntivirusEnabled - sollte True sein.
• RealTimeProtectionEnabled - sollte True sein (nachweislich während des Fehlalarms aktiv, Quelle S4).

Die Ausgabe bestätigt, dass der Schutz im Hintergrund funktioniert, selbst wenn das WSC fälschlich "deaktiviert" anzeigt.

Empfohlene Maßnahmen für Administratoren

• Stellen Sie sicher, dass alle Geräte auf mindestens Version 4.18.26080.4 aktualisiert sind (Prüfung über Windows-Sicherheit → Einstellungen → Info → Plattformversion).
• Starten Sie nach dem Update auf den Clients eine manuelle Gerätesynchronisation in der Intune-Unternehmensportal-App, um den korrekten Status an Intune zurückzumelden.
• Führen Sie bei weiterhin gesperrten Geräten einen erneuten PowerShell-Check durch, um den Echtzeitschutz zu verifizieren.
• Planen Sie, falls nötig, eine forcierte Intune-Re-Evaluation, um die Conditional-Access-Sperren automatisch aufzuheben.

Zeitplan und weitere Rollouts

• Bereitstellungsdatum des Fixes: 17.09.2026 (Quelle S1).
• Geplanter Broad-Rollout für die nächste Plattform-Version 4.18.26090.x: 29.09.2026 (Quelle S3).

Administratoren sollten den breiteren Rollout im Oktober im Blick behalten, um mögliche Folgeupdates zeitnah zu implementieren.

Risiken und Gegenmaßnahmen

• Verwechslungsgefahr mit echten Schutzabschaltungen: Nutzer könnten reale Warnungen über inaktive Schutzmodule fälschlicherweise als harmlosen Anzeigebug abtun. Aufklärung und Hinweis auf die PowerShell-Verifikation sind entscheidend.
• Latenz bei Intune-Compliance-Re-Evaluation: Auch nach Installation von 4.18.26080.4 kann es Stunden dauern, bis Intune den aktualisierten Status übernimmt. Ein manueller Sync reduziert diese Wartezeit.

Häufig gestellte Fragen (FAQ)

Wie kann ich prüfen, ob mein Rechner die korrigierte Defender-Version bereits nutzt?Öffnen Sie die Windows-Sicherheit, klicken Sie unten links auf das Zahnrad ("Einstellungen") und anschließend auf "Info". Unter "Antischadsoftware-Dienstversion" bzw. "Plattformversion" sollte mindestens 4.18.26080.4 stehen.War mein Computer während des Fehlalarms vor Schadsoftware geschützt?Ja. Der Defender-Hintergrunddienst und die Echtzeit-Engine arbeiteten durchgehend ohne Unterbrechung; lediglich der Statusabgleich an die Windows-Benutzeroberfläche schlug fehl.Was sollten Administratoren tun, wenn Geräte in Microsoft Intune weiterhin gesperrt sind?Nach der Aktualisierung auf Version 4.18.26080.4 sollte auf den Clients eine manuelle Gerätesynchronisation in der Unternehmensportal-App angestoßen werden, um den WSC-Status umgehend an Intune zurückzumelden.

Fazit

Der Fehlalarm "Defender ist deaktiviert" war das Ergebnis einer Race Condition zwischen dem Windows Security Center und dem Defender-Dienst in der Plattform-Version 4.18.26080.3. Durch das Update 4.18.26080.4 hat Microsoft den Startablauf korrigiert, sodass der korrekte Schutzstatus zuverlässig an das WSC übermittelt wird. Für Endnutzer bedeutet das Ende der irreführenden Warnungen; für Unternehmen ist die schnelle Aktualisierung und ein manueller Intune-Sync entscheidend, um unnötige Zugriffs-Sperren zu vermeiden. Die Kombination aus technischer Analyse, klaren Verifikationsschritten und einem konkreten Zeitplan ermöglicht Administratoren, die Integrität ihrer Sicherheitsrichtlinien wiederherzustellen und künftige Verwirrungen zu verhindern.