Gruppenrichtlinien-SucheGruppenrichtlinien
Deutsch

Virtualisierungsbasierte Sicherheit aktivieren: Registrierungswert EnableVirtualizationBasedSecurity und 7 weitereComputerHKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard

Richtlinien-ID
VirtualizationBasedSecurity
Bereich
Computerkonfiguration
Unterstützt unter
Mindestens Windows Server 2016, Windows 10
Quelle
Administrative Templates (.admx) for Windows 11 2026 Update (26H2) (Version 1.0)
Kategorie
System › Device Guard

Registrierung

EnableVirtualizationBasedSecurity

REG_DWORDComputer
HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard Aktueller Schlüssel
Wert bei Aktivierung
1
Wert bei Deaktivierung
0
Mit .reg · CMD · PowerShell anwenden
.reg
Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard]

; Optionen (nur eine verwenden)
; Aktiviert
"EnableVirtualizationBasedSecurity"=dword:00000001
; Deaktiviert
"EnableVirtualizationBasedSecurity"=dword:00000000
CMD
:: Optionen (nur eine verwenden)

:: Aktiviert
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "EnableVirtualizationBasedSecurity" /t REG_DWORD /d 1 /f
:: Deaktiviert
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "EnableVirtualizationBasedSecurity" /t REG_DWORD /d 0 /f
PowerShell
# Gemeinsam: Schlüssel erstellen
New-Item -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Force | Out-Null

# Optionen (nur eine verwenden)
# Aktiviert
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'EnableVirtualizationBasedSecurity' -PropertyType DWord -Value 1 -Force | Out-Null
# Deaktiviert
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'EnableVirtualizationBasedSecurity' -PropertyType DWord -Value 0 -Force | Out-Null

RequirePlatformSecurityFeatures

REG_DWORDComputer
HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard Aktueller Schlüssel
Wert bei Aktivierung
Hängt vom Wert der Option ab
Element
Plattform-Sicherheitsstufe auswählen:
Optionen
EintragGespeicherter Wert
Sicherer Start1
Sicherer Start und DMA-Schutz3
Mit .reg · CMD · PowerShell anwenden
.reg
Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard]

; Optionen (nur eine verwenden)
; Sicherer Start
"RequirePlatformSecurityFeatures"=dword:00000001
; Sicherer Start und DMA-Schutz
"RequirePlatformSecurityFeatures"=dword:00000003
CMD
:: Optionen (nur eine verwenden)

:: Sicherer Start
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "RequirePlatformSecurityFeatures" /t REG_DWORD /d 1 /f
:: Sicherer Start und DMA-Schutz
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "RequirePlatformSecurityFeatures" /t REG_DWORD /d 3 /f
PowerShell
# Gemeinsam: Schlüssel erstellen
New-Item -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Force | Out-Null

# Optionen (nur eine verwenden)
# Sicherer Start
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'RequirePlatformSecurityFeatures' -PropertyType DWord -Value 1 -Force | Out-Null
# Sicherer Start und DMA-Schutz
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'RequirePlatformSecurityFeatures' -PropertyType DWord -Value 3 -Force | Out-Null

HypervisorEnforcedCodeIntegrity

REG_DWORDComputer
HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard Aktueller Schlüssel
Wert bei Aktivierung
Hängt vom Wert der Option ab
Element
Virtualisierungsbasierter Schutz der Codeintegrität:
Optionen
EintragGespeicherter Wert
Deaktiviert0
Mit UEFI-Sperre aktiviert1
Ohne Sperre aktiviert2
Nicht konfiguriert3
Mit .reg · CMD · PowerShell anwenden
.reg
Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard]

; Optionen (nur eine verwenden)
; Deaktiviert
"HypervisorEnforcedCodeIntegrity"=dword:00000000
; Mit UEFI-Sperre aktiviert
"HypervisorEnforcedCodeIntegrity"=dword:00000001
; Ohne Sperre aktiviert
"HypervisorEnforcedCodeIntegrity"=dword:00000002
; Nicht konfiguriert
"HypervisorEnforcedCodeIntegrity"=dword:00000003
CMD
:: Optionen (nur eine verwenden)

:: Deaktiviert
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "HypervisorEnforcedCodeIntegrity" /t REG_DWORD /d 0 /f
:: Mit UEFI-Sperre aktiviert
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "HypervisorEnforcedCodeIntegrity" /t REG_DWORD /d 1 /f
:: Ohne Sperre aktiviert
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "HypervisorEnforcedCodeIntegrity" /t REG_DWORD /d 2 /f
:: Nicht konfiguriert
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "HypervisorEnforcedCodeIntegrity" /t REG_DWORD /d 3 /f
PowerShell
# Gemeinsam: Schlüssel erstellen
New-Item -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Force | Out-Null

# Optionen (nur eine verwenden)
# Deaktiviert
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'HypervisorEnforcedCodeIntegrity' -PropertyType DWord -Value 0 -Force | Out-Null
# Mit UEFI-Sperre aktiviert
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'HypervisorEnforcedCodeIntegrity' -PropertyType DWord -Value 1 -Force | Out-Null
# Ohne Sperre aktiviert
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'HypervisorEnforcedCodeIntegrity' -PropertyType DWord -Value 2 -Force | Out-Null
# Nicht konfiguriert
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'HypervisorEnforcedCodeIntegrity' -PropertyType DWord -Value 3 -Force | Out-Null

HVCIMATRequired

REG_DWORDComputer
HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard Aktueller Schlüssel
Angekreuzt
1
Nicht angekreuzt
0
Element
UEFI-Speicherattributtabelle erforderlich
Werttyp
REG_DWORD
Mit .reg · CMD · PowerShell anwenden
.reg
Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard]

; Optionen (nur eine verwenden)
; Angekreuzt
"HVCIMATRequired"=dword:00000001
; Nicht angekreuzt
"HVCIMATRequired"=dword:00000000
CMD
:: Optionen (nur eine verwenden)

:: Angekreuzt
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "HVCIMATRequired" /t REG_DWORD /d 1 /f
:: Nicht angekreuzt
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "HVCIMATRequired" /t REG_DWORD /d 0 /f
PowerShell
# Gemeinsam: Schlüssel erstellen
New-Item -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Force | Out-Null

# Optionen (nur eine verwenden)
# Angekreuzt
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'HVCIMATRequired' -PropertyType DWord -Value 1 -Force | Out-Null
# Nicht angekreuzt
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'HVCIMATRequired' -PropertyType DWord -Value 0 -Force | Out-Null

LsaCfgFlags

REG_DWORDComputer
HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard Aktueller Schlüssel
Wert bei Aktivierung
Hängt vom Wert der Option ab
Element
Credential Guard-Konfiguration:
Optionen
EintragGespeicherter Wert
Deaktiviert0
Mit UEFI-Sperre aktiviert1
Ohne Sperre aktiviert2
Nicht konfiguriert3
Mit .reg · CMD · PowerShell anwenden
.reg
Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard]

; Optionen (nur eine verwenden)
; Deaktiviert
"LsaCfgFlags"=dword:00000000
; Mit UEFI-Sperre aktiviert
"LsaCfgFlags"=dword:00000001
; Ohne Sperre aktiviert
"LsaCfgFlags"=dword:00000002
; Nicht konfiguriert
"LsaCfgFlags"=dword:00000003
CMD
:: Optionen (nur eine verwenden)

:: Deaktiviert
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "LsaCfgFlags" /t REG_DWORD /d 0 /f
:: Mit UEFI-Sperre aktiviert
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "LsaCfgFlags" /t REG_DWORD /d 1 /f
:: Ohne Sperre aktiviert
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "LsaCfgFlags" /t REG_DWORD /d 2 /f
:: Nicht konfiguriert
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "LsaCfgFlags" /t REG_DWORD /d 3 /f
PowerShell
# Gemeinsam: Schlüssel erstellen
New-Item -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Force | Out-Null

# Optionen (nur eine verwenden)
# Deaktiviert
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'LsaCfgFlags' -PropertyType DWord -Value 0 -Force | Out-Null
# Mit UEFI-Sperre aktiviert
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'LsaCfgFlags' -PropertyType DWord -Value 1 -Force | Out-Null
# Ohne Sperre aktiviert
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'LsaCfgFlags' -PropertyType DWord -Value 2 -Force | Out-Null
# Nicht konfiguriert
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'LsaCfgFlags' -PropertyType DWord -Value 3 -Force | Out-Null

MachineIdentityIsolation

REG_DWORDComputer
HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard Aktueller Schlüssel
Wert bei Aktivierung
Hängt vom Wert der Option ab
Element
Konfiguration der Computeridentitätsisolation:
Optionen
EintragGespeicherter Wert
Deaktiviert0
Im Überwachungsmodus aktiviert1
Aktiviert im Erzwingungsmodus2
Nicht konfiguriert3
Mit .reg · CMD · PowerShell anwenden
.reg
Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard]

; Optionen (nur eine verwenden)
; Deaktiviert
"MachineIdentityIsolation"=dword:00000000
; Im Überwachungsmodus aktiviert
"MachineIdentityIsolation"=dword:00000001
; Aktiviert im Erzwingungsmodus
"MachineIdentityIsolation"=dword:00000002
; Nicht konfiguriert
"MachineIdentityIsolation"=dword:00000003
CMD
:: Optionen (nur eine verwenden)

:: Deaktiviert
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "MachineIdentityIsolation" /t REG_DWORD /d 0 /f
:: Im Überwachungsmodus aktiviert
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "MachineIdentityIsolation" /t REG_DWORD /d 1 /f
:: Aktiviert im Erzwingungsmodus
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "MachineIdentityIsolation" /t REG_DWORD /d 2 /f
:: Nicht konfiguriert
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "MachineIdentityIsolation" /t REG_DWORD /d 3 /f
PowerShell
# Gemeinsam: Schlüssel erstellen
New-Item -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Force | Out-Null

# Optionen (nur eine verwenden)
# Deaktiviert
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'MachineIdentityIsolation' -PropertyType DWord -Value 0 -Force | Out-Null
# Im Überwachungsmodus aktiviert
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'MachineIdentityIsolation' -PropertyType DWord -Value 1 -Force | Out-Null
# Aktiviert im Erzwingungsmodus
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'MachineIdentityIsolation' -PropertyType DWord -Value 2 -Force | Out-Null
# Nicht konfiguriert
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'MachineIdentityIsolation' -PropertyType DWord -Value 3 -Force | Out-Null

ConfigureSystemGuardLaunch

REG_DWORDComputer
HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard Aktueller Schlüssel
Wert bei Aktivierung
Hängt vom Wert der Option ab
Element
Sichere Startkonfiguration:
Optionen
EintragGespeicherter Wert
Nicht konfiguriert0
Aktiviert1
Deaktiviert2
Mit .reg · CMD · PowerShell anwenden
.reg
Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard]

; Optionen (nur eine verwenden)
; Nicht konfiguriert
"ConfigureSystemGuardLaunch"=dword:00000000
; Aktiviert
"ConfigureSystemGuardLaunch"=dword:00000001
; Deaktiviert
"ConfigureSystemGuardLaunch"=dword:00000002
CMD
:: Optionen (nur eine verwenden)

:: Nicht konfiguriert
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "ConfigureSystemGuardLaunch" /t REG_DWORD /d 0 /f
:: Aktiviert
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "ConfigureSystemGuardLaunch" /t REG_DWORD /d 1 /f
:: Deaktiviert
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "ConfigureSystemGuardLaunch" /t REG_DWORD /d 2 /f
PowerShell
# Gemeinsam: Schlüssel erstellen
New-Item -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Force | Out-Null

# Optionen (nur eine verwenden)
# Nicht konfiguriert
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'ConfigureSystemGuardLaunch' -PropertyType DWord -Value 0 -Force | Out-Null
# Aktiviert
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'ConfigureSystemGuardLaunch' -PropertyType DWord -Value 1 -Force | Out-Null
# Deaktiviert
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'ConfigureSystemGuardLaunch' -PropertyType DWord -Value 2 -Force | Out-Null

ConfigureKernelShadowStacksLaunch

REG_DWORDComputer
HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard Aktueller Schlüssel
Wert bei Aktivierung
Hängt vom Wert der Option ab
Element
Hardware-erzwungener Stack-Schutz im Kernel-Modus:
Optionen
EintragGespeicherter Wert
Nicht konfiguriert0
Aktiviert im Erzwingungsmodus1
Im Überwachungsmodus aktiviert2
Deaktiviert3
Mit .reg · CMD · PowerShell anwenden
.reg
Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard]

; Optionen (nur eine verwenden)
; Nicht konfiguriert
"ConfigureKernelShadowStacksLaunch"=dword:00000000
; Aktiviert im Erzwingungsmodus
"ConfigureKernelShadowStacksLaunch"=dword:00000001
; Im Überwachungsmodus aktiviert
"ConfigureKernelShadowStacksLaunch"=dword:00000002
; Deaktiviert
"ConfigureKernelShadowStacksLaunch"=dword:00000003
CMD
:: Optionen (nur eine verwenden)

:: Nicht konfiguriert
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "ConfigureKernelShadowStacksLaunch" /t REG_DWORD /d 0 /f
:: Aktiviert im Erzwingungsmodus
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "ConfigureKernelShadowStacksLaunch" /t REG_DWORD /d 1 /f
:: Im Überwachungsmodus aktiviert
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "ConfigureKernelShadowStacksLaunch" /t REG_DWORD /d 2 /f
:: Deaktiviert
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "ConfigureKernelShadowStacksLaunch" /t REG_DWORD /d 3 /f
PowerShell
# Gemeinsam: Schlüssel erstellen
New-Item -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Force | Out-Null

# Optionen (nur eine verwenden)
# Nicht konfiguriert
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'ConfigureKernelShadowStacksLaunch' -PropertyType DWord -Value 0 -Force | Out-Null
# Aktiviert im Erzwingungsmodus
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'ConfigureKernelShadowStacksLaunch' -PropertyType DWord -Value 1 -Force | Out-Null
# Im Überwachungsmodus aktiviert
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'ConfigureKernelShadowStacksLaunch' -PropertyType DWord -Value 2 -Force | Out-Null
# Deaktiviert
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'ConfigureKernelShadowStacksLaunch' -PropertyType DWord -Value 3 -Force | Out-Null