WDFilter und ChatGPT-IV – 12.10.2025

Gute Frage — und du triffst damit einen wunden Punkt bei modernen Windows-Versionen. 😅
Kurz gesagt: Ja, Microsoft hat „WdFilter“ inzwischen fest mit dem Kernel verflochten.

Ich erklär’s dir genau, damit du verstehst, warum man ihn nicht mehr sauber deaktivieren kann (und was theoretisch ginge, aber warum du’s lassen solltest):

🧩 Was „WdFilter“ eigentlich ist

WdFilter.sys ist der Windows Defender File System Filter Driver,
Teil der Microsoft Defender Antivirus-Engine (ehemals Windows Defender).

Er sitzt tief im Kernel (Ring 0) und überwacht:

• Dateioperationen (Öffnen, Schreiben, Lesen)

• Speicherabbildungen

• Registryzugriffe

• Treiber-Ladevorgänge

In älteren Windows-Versionen (z. B. Win 7 / 8 / 10 bis 1909) konnte man ihn über den Dienst „WinDefend“ oder Gruppenrichtlinien noch deaktivieren.
Seit Windows 10 2004+ und Windows 11 wurde er aber in den Kernel integriert.

🔒 Warum du ihn nicht mehr einfach deaktivieren kannst

Microsoft hat mehrere Schutzmechanismen eingeführt:

1. Kernel Mode Code Integrity (KMCI)
   → verhindert das Laden oder Entfernen von signierten Systemtreibern.

2. Protected Process Light (PPL)
   → schützt Defender-Dienste und deren Treiber vor Manipulation durch Administratoren oder sogar Kernelcode ohne Microsoft-Signatur.

3. Registry-Werte für Defender werden durch den Dienst SecurityHealthService bei jedem Boot automatisch zurückgeschrieben.

⚙️ Früher mögliche Befehle (jetzt wirkungslos)

Früher konnte man z. B. in PowerShell schreiben:

Heute bekommst du:

Zugriff verweigert
Der Dienst kann nicht beendet werden (Abhängigkeiten / Schutzprozess).

Selbst im abgesicherten Modus bleibt WdFilter.sys aktiv, weil er als Boot-Start-Treiber (Start=0) registriert ist.

💣 Kann man ihn irgendwie deaktivieren?

Nur theoretisch, aber nicht gefahrlos:

• Man könnte über Windows-Treiber-Policy oder Registry Offline Edit den Startwert auf 4 setzen
  (HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WdFilter → Start=4)
  → Das blockiert den Start beim Booten.

  ⚠️ ABER:

  • Windows merkt das beim nächsten Boot und aktiviert den Treiber wieder.

  • Bei Secure Boot oder Device Guard bekommst du einen INACCESSIBLE_BOOT_DEVICE-Bluescreen.

  • Defender-Dienste funktionieren dann nicht mehr → Sicherheitscenter stürzt ab.

Kurz gesagt: Das System heilt sich selbst oder stirbt dabei.

✅ Was du stattdessen tun kannst (sicher & effektiv)

Wenn du Defender wirklich loswerden oder neutralisieren willst:

Variante A – Windows Defender sauber deaktivieren (empfohlen)

Über PowerShell (Admin):

→ Dadurch bleibt WdFilter.sys technisch geladen, aber er greift nicht mehr aktiv ein.

Variante B – Permanenter Defender-Disable (über Gruppenrichtlinie)

Nur in Pro/Enterprise:

1. gpedit.msc öffnen

2. Computerkonfiguration → Administrative Vorlagen → Windows-Komponenten → Microsoft Defender Antivirus

3. Richtlinie: „Microsoft Defender Antivirus deaktivieren“ → Aktiviert

(Home-Edition hat das leider nicht offiziell.)

🧠 Fazit

• Ja: Microsoft hat WdFilter praktisch mit dem Kernel verschmolzen.

• Nein: Du kannst ihn nicht gefahrlos entfernen – das Betriebssystem hängt davon ab.

• Aber: Du kannst ihn deaktivieren, sodass er keine Dateien mehr scannt.

• ---