Sandboxie Plus - Funktionsweise, Entwicklungsgeschichte und Sicherheitsarchitektur im Überblick

Sandboxie Plus ermöglicht die isolierte Ausführung von Windows-Programmen, ohne dass ein kompletter virtueller Computer gestartet werden muss. Die Lösung ist dabei nicht nur für Windows Pro- und Enterprise-Editionen verfügbar, sondern läuft bereits seit Windows 7/8 auf 64-Bit-Home-Systemen. Durch die Open-Source-Lizenz (GPLv3) seit Anfang 2020 ist das Projekt transparent und wird von der Community unter der Leitung von David Xanatos weiterentwickelt. Für Anwender, die eine ressourcenschonende, feingranulare und teilweise persistente Isolation benötigen, stellt Sandboxie Plus eine attraktive Alternative zu der hardwarebasierten Windows Sandbox dar.

Technische Isolationsmechanik: Kernel-Hooks und Token-Restriktion

Sandboxie Plus arbeitet nicht als vollwertige virtuelle Maschine, sondern nutzt eine OS-Level-Virtualisierung, die auf einem eigenen Kerneltreiber SbieDrv.sys, dem Dienst SbieSvc und einer DLL-Injektion ( SbieDll ) basiert. Beim Start einer Anwendung wird ein stark eingeschränktes Windows-Zugriffstoken (Restricted Token) erzeugt. Systemaufrufe (Syscalls) werden über ntdll.dll abgefangen, sodass Dateisystem- und Registry-Zugriffe in isolierte Ordner umgeleitet werden. Auf diese Weise bleibt das Host-System unverändert, während alle Änderungen nur innerhalb der Sandbox-Umgebung sichtbar sind.

• Treiber- und Hook-basierte OS-Virtualisierung (SbieDrv, SbieSvc, SbieDll)
• Prozesse starten mit Restricted Tokens
• Syscall-Hooking über ntdll.dll
• Umleitung von Datei- und Registry-Zugriffen in separate Sandbox-Ordner

Entwicklungsgeschichte von Sandboxie: Von der Urversion 2004 zum Open-Source-Fork 2020

Die erste Version von Sandboxie wurde am 26. Juni 2004 veröffentlicht. Nach mehreren Eigentümerwechseln stellte Sophos im April 2020 den Quellcode unter die GPLv3-Lizenz und übergab das Projekt an die Community. Am 8. April 2020 erfolgte die offizielle Open-Source-Freigabe, und bereits am 9. April 2020 forkte Entwickler David Xanatos das Projekt zu dem heutigen "Sandboxie Plus". Der Fork brachte eine moderne Qt-basierte Benutzeroberfläche, neue Box-Typen (z. B. Security-Hardened, Application Compartment) und eine erweiterte Snapshot-Verwaltung.

• 26. Juni 2004 - Erstveröffentlichung der Urversion
• April 2020 - Quellcode unter GPLv3 gestellt (Sophos)
• 8. April 2020 - Open-Source-Freigabe
• 9. April 2020 - Fork durch David Xanatos, Beginn von Sandboxie Plus
• 2024 - aktuelle Version 1.18.5, 19 500 GitHub-Stars

Unterschiede zwischen Sandboxie Classic und Sandboxie Plus

Beide Varianten nutzen dieselbe Kerneltreiber-Basis, unterscheiden sich jedoch in der Benutzeroberfläche und den zusätzlichen Features. Sandboxie Classic behält die alte MFC-Oberfläche bei, während Sandboxie Plus auf einem modernen Qt-GUI aufbaut. Plus bietet exklusive Funktionen wie erweiterte Box-Typen, integrierte Snapshot-Verwaltung und gehärtete Syscall-Filter, die in Classic nur manuell über Konfigurationsdateien nutzbar sind.

• Classic: MFC-basierte UI, Grundfunktionalität
• Plus: Qt-basierte UI, Snapshot-Management, zusätzliche Sicherheitsmodi

Abgrenzung zur Windows Sandbox von Microsoft

Die Windows Sandbox ist eine Hyper-V-basierte Hardware-Virtualisierung, die ein separates Mini-Windows startet und beim Schließen alle Daten unwiderruflich verwirft. Sie ist nur in den Windows-Pro- und Enterprise-Editionen verfügbar. Sandboxie Plus teilt hingegen den Kernel mit dem Hostsystem, verbraucht deutlich weniger Arbeitsspeicher und erlaubt das selektive Beibehalten oder Wiederherstellen von Daten über mehrere Sitzungen hinweg. Dadurch ist Sandboxie Plus bereits auf Windows Home ab Windows 7/8 (64-Bit) einsetzbar.

• Windows Sandbox: Hyper-V, benötigt Pro/Enterprise, keine Persistenz, hoher Ressourcenverbrauch
• Sandboxie Plus: Kernel-basiert, funktioniert auf Home, niedriger RAM/CPU-Verbrauch, optionale Persistenz

Praxisbeispiele und Anwendungsfälle

Der Download von Sandboxie Plus (Version 1.18.5, 64-Bit, 23,71 MB) ermöglicht das Erstellen isolierter Umgebungen für verschiedene Szenarien:

• Testen potenziell unsicherer Software ohne Risiko für das Wirtsystem
• Surfen im Internet mit einem isolierten Browser, um schädlichen Code vom System fernzuhalten
• Paralleles Betreiben mehrerer Instanzen derselben Anwendung
• Portable Nutzung durch Entpacken ohne klassische Installation

Während der Installation kann ein Hinweis des Microsoft-Smart-Defender erscheinen, der durch Klick auf "Weitere Informationen" und "Trotzdem ausführen" bestätigt werden.

Grenzen und Risiken der OS-basierten Isolation

Hierbei beschränkt sich Sandboxie Plus nicht darauf, Dateizugriffe umzulenken. Auch Anfragen an die Registry können abgefangen und umgeleitet werden. Dies soll sicherstellen, dass das Betriebssystem nicht von dem in der Sandbox ausgeführten Programm manipuliert werden kann. Dabei können sogar bestimmte Verzeichnisse und Registry-Schlüssel vollständig blockiert werden.

Ein eigenständiger Abschnitt, der die Grenzen beleuchtet, ist notwendig, um das Verständnis zu vervollständigen.

Keine Barriere gegen Kernel-Exploits

Da Sandboxie Plus auf dem gemeinsamen Windows-Kernel aufsetzt und Syscalls filtert, können Zero-Day-Malware mit Kernel-Exploits oder direkten Syscalls die Isolation theoretisch durchbrechen. Für das seziert-intensive Testen hochgradig aggressiver Malware bleibt daher eine vollwertige VM (z. B. Hyper-V, Proxmox, VMware) die sicherere Wahl.

Kein automatischer Datenschutz vor Windows-eigener Telemetrie

Obwohl isolierte Programme keine Wirtsdateien überschreiben, erfasst Windows selbst Spuren des Programmstarts, etwa in der Prefetch-Datenbank oder der Ereignisanzeige. Diese Informationen bleiben für forensische Analysen nachvollziehbar.

Häufig gestellte Fragen (FAQ)

Worin liegt der Unterschied zwischen Sandboxie Classic und Sandboxie Plus?
Beide nutzen dieselbe Kerneltreiber-Basis, aber Sandboxie Plus besitzt eine modernisierte Benutzeroberfläche auf Qt-Basis, Snapshot-Funktionen und zusätzliche Sicherheitsmodi (wie gehärtete Syscall-Filter), die in der Classic-Variante fehlen oder nur manuell per Konfigurationsdatei nutzbar sind.

Schützt Sandboxie Plus zuverlässig vor jeder Art von Schadsoftware?
Für alltägliche Risiken wie Adware, Browser-Downloads oder unerwünschte Installer bietet es exzellenten Schutz; hochentwickelte Schadsoftware mit Kernel-Exploits kann eine OS-basierte Isolation jedoch prinzipiell überwinden, weshalb Sandboxie kein vollwertiger Ersatz für isolierte VMs bei der Malware-Analyse ist.

Fazit

Sandboxie Plus kombiniert eine lange Historie seit 2004 mit einer modernen Open-Source-Entwicklung, die insbesondere Windows-Home-Nutzer anspricht. Die technische Isolation über Kernel-Hooks, Restricted Tokens und die Umleitung von Datei- sowie Registry-Zugriffen ermöglicht eine ressourcenschonende und teilweise persistente Umgebung, die sich deutlich von der hardwarebasierten Windows Sandbox unterscheidet. Gleichzeitig muss man die Grenzen des Ansatzes - fehlende Barriere gegen Kernel-Exploits und die fortbestehende Windows-Telemetrie - kennen. Für das sichere Testen von Freeware, das isolierte Surfen oder das parallele Ausführen mehrerer Programm-Instanzen ist Sandboxie Plus jedoch eine der flexibelsten und am weitesten verbreiteten Lösungen unter Windows.