Windows 11: Microsoft verschärft Sicherheit durch mehr Speicherintegrität

Microsoft weitet die standardmäßige Aktivierung der Speicherintegrität (Memory Integrity) unter Windows 11 aus. Ab Oktober soll die Sicherheitsfunktion auf einer größeren Zahl kompatibler PCs standardmäßig aktiviert werden. Das kündigt Microsoft in einem aktuellen Beitrag im eigenen Windows IT Pro Blog an.

Bei Memory Integrity handelt es sich um eine zentrale Funktion der Windows-Sicherheitsarchitektur. Technisch basiert sie auf Hypervisor-protected Code Integrity (HVCI) und nutzt Virtualization-Based Security (VBS), um besonders kritische Bereiche des Betriebssystems gegen Manipulationen abzusichern.

HVCI sorgt vereinfacht gesagt dafür, dass die Integrität von Kernel-Code in einer vom normalen Windows-Betriebssystem abgeschirmten Umgebung überprüft und geschützt wird. Dadurch soll verhindert werden, dass Schadsoftware eigenen Code in besonders privilegierte Bereiche des Systems einschleust.

Der Ansatz ist insbesondere bei Angriffen interessant, bei denen Schadsoftware bereits weitreichende Rechte auf einem System besitzt. Selbst bei einer Kompromittierung des Kernels soll die zusätzliche Isolation verhindern, dass bestimmte geschützte Komponenten ohne Weiteres manipuliert werden können. Damit erhöht Memory Integrity das Sicherheitsniveau von Windows 11 erheblich. Gleichzeitig ist die Funktion allerdings nicht völlig kostenlos zu haben.

VBS und HVCI benötigen zusätzliche Rechenleistung und können insbesondere auf älteren Prozessoren messbare Auswirkungen haben. Moderne CPUs verfügen über Hardware-Unterstützung für Virtualisierung und entsprechende Sicherheitsfunktionen, wodurch der zusätzliche Aufwand deutlich geringer ausfallen kann. Auf älterer Hardware kann der Unterschied dagegen stärker ins Gewicht fallen. Das betrifft insbesondere Anwender, die ihren PC für Spiele oder rechenintensive Produktivitätsanwendungen optimiert haben. Genau deshalb haben einige Enthusiasten Memory Integrity in der Vergangenheit bewusst deaktiviert.

Microsoft versucht mit dem schrittweisen Rollout offenbar, Sicherheit und Kompatibilität miteinander in Einklang zu bringen. Die nun angekündigte Ausweitung bedeutet nicht zwangsläufig, dass jeder PC mit Windows 11 ab Oktober betroffen sein wird. Welche Geräte die Funktion standardmäßig erhalten, hängt von den jeweiligen Voraussetzungen ab.

Für Nutzer, die Memory Integrity bereits manuell abgeschaltet haben, ist eine wichtige Frage noch nicht vollständig geklärt: Microsoft hat zwar die Ausweitung der standardmäßigen Aktivierung angekündigt, aber nicht für jede denkbare Gerätekonfiguration detailliert beschrieben, wie mit zuvor geänderten Einstellungen verfahren wird. Nach den derzeit vorliegenden Informationen ist nicht davon auszugehen, dass bei Anwendern, die Memory Integrity bereits bewusst deaktiviert haben, die Funktion einfach ungefragt wieder eingeschaltet wird. Für Enthusiasten dürfte dies eine entscheidende Unterscheidung sein.

Die Ausweitung passt zu Microsofts allgemeiner Strategie, die Sicherheitsbasis von Windows 11 weiter anzuheben. Statt zusätzliche Schutzmechanismen nur optional anzubieten, sollen wichtige Sicherheitsfunktionen zunehmend standardmäßig aktiviert sein.

Für Nutzer neuerer PCs dürfte die Umstellung im Alltag kaum auffallen. Gerade bei aktuellen Prozessoren von AMD, Intel und Qualcomm sind die für VBS erforderlichen Virtualisierungs- und Sicherheitsfunktionen wesentlich besser integriert. Bei älteren Systemen bleibt dagegen der bekannte Zielkonflikt bestehen: mehr Schutz gegen Kernel-Angriffe auf der einen Seite, potenziell etwas weniger Leistung auf der anderen Seite.

Für PC-Enthusiasten dürfte deshalb vor allem interessant werden, welche Hardware Microsoft ab Oktober tatsächlich in die breitere Aktivierung einbezieht und wie groß die Auswirkungen in realen Anwendungen und Spielen ausfallen. Ein pauschaler Leistungsnachteil für alle Windows-11-PCs lässt sich aus der Ausweitung jedenfalls nicht ableiten.

Quelle: Microsoft Windows IT Pro Blog