Wie man verdächtige Programme mit der Windows Sandbox testet, ohne sich selbst zu infizieren

Informatec Digital » Ressourcen » Wie man verdächtige Programme mit der Windows Sandbox testet, ohne sich selbst zu infizieren

Das Ausführen unbekannter Programme unter Windows ist eine der häufigsten Methoden, Malware oder Adware zu installieren oder das System unbeabsichtigt zu beschädigen. Man lädt etwas „schnell“ aus dem Internet herunter, öffnet es gedankenlos und ehe man sich versieht, ist das System langsam, der Browser voller verdächtiger Erweiterungen oder es erscheinen überall Pop-up-Fenster.

Um solche Situationen zu vermeiden, bietet Microsoft in Windows 10 und Windows 11 Pro, Enterprise und Education (falls Sie von Windows 10 auf Windows 11 migrieren müssen ) eine leistungsstarke Funktion namens Windows Sandbox. Im Prinzip handelt es sich dabei um eine saubere, temporäre und austauschbare Windows-Umgebung auf Ihrem PC, ideal zum Testen verdächtiger Programme, ohne Ihr Hauptsystem zu gefährden. Sehen wir uns genauer an, was eine Sandbox ist, wie Windows Sandbox funktioniert, welche Systemvoraussetzungen gelten, wie sie aktiviert wird und wie sie sich von anderen Lösungen wie Sandboxie, VirtualBox oder Hyper-V unterscheidet.

Was ist eine Sandbox-Software und wofür wird sie verwendet?

Sandbox-Software erstellt mithilfe von Virtualisierungs- oder Systemisolationstechniken eine isolierte Umgebung innerhalb des Hauptbetriebssystems. Diese Umgebung, die als „Sandbox“ bezeichnet wird, verhält sich wie eine Blase: Alles, was darin ausgeführt wird, ist vom Rest des Systems getrennt, sodass Änderungen an Dateien oder Einstellungen keine Auswirkungen auf das „echte“ Windows haben.

In der Praxis bedeutet dies, dass wir potenziell gefährliche Anwendungen , verdächtige E-Mail-Anhänge oder Beta-Tools ausführen können, ohne befürchten zu müssen, etwas zu beschädigen. Sollte sich ein Programm als schädlich erweisen, bleibt es auf die Sandbox beschränkt, und beim Schließen oder Neustarten werden alle darin durchgeführten Aktionen vollständig verworfen.

Um dies zu erreichen, nutzen Sandbox-Lösungen typischerweise eine Abstraktionsschicht, die als virtuelle Maschine oder Filter fungiert und Systemaufrufe abfängt. Dies führt zu einem höheren Ressourcenverbrauch (CPU, RAM, Speicherplatz), da das System diese zusätzliche Umgebung simulieren oder isolieren muss. Im Gegenzug wird jedoch eine Änderung des Host-Betriebssystems vermieden, was Vor- und Nachteile mit sich bringen kann.

Dieser Ansatz ist nicht nur für diejenigen nützlich, die verdächtige Programme ohne Viren testen möchten , sondern auch für jeden Benutzer, der Anwendungen, Konfigurationen oder Skripte testen möchte, ohne Spuren von Änderungen zu hinterlassen, oder für Entwickler, die ständig saubere Szenarien reproduzieren müssen, ohne Windows jedes Mal neu installieren zu müssen.

Moderne Sandboxes sind zudem ein wichtiges Sicherheitswerkzeug sowohl im privaten als auch im beruflichen Umfeld. Sie ermöglichen die Eindämmung von Bedrohungen, die Untersuchung des Verhaltens von Schadsoftware, die Überprüfung von Installationsprogrammen aus fragwürdigen Quellen und allgemein eine deutliche Reduzierung des Risikos, dass ein Schnelltest mit einer erzwungenen Formatierung oder Datenverlust endet.

Windows Sandbox: die in Windows integrierte temporäre Umgebung

Windows Sandbox ist Microsofts Umsetzung dieses Konzepts in Windows 10 und Windows 11. Es handelt sich um eine isolierte Desktop-Umgebung, die mit der Hyper-V-Virtualisierungstechnologie arbeitet, jedoch auf eine vollständig integrierte und vereinfachte Weise: Es müssen keine virtuellen Festplatten erstellt oder ein separates Betriebssystem installiert werden, alles ist sofort einsatzbereit.

Windows Sandbox startet eine saubere Windows-Instanz , die sich wie frisch installiert verhält: Es sind nur die Standardanwendungen (wie Microsoft Edge) und Standardeinstellungen vorhanden. Es gibt keine Drittanbieterprogramme, keine Softwarereste und keine Anpassungen. Ideal, um von Grund auf zu testen, ob etwas einwandfrei funktioniert.

Der entscheidende Punkt ist, dass jedes Mal, wenn Sie das Windows Sandbox-Fenster schließen , alles, was darin geschehen ist, unwiederbringlich gelöscht wird: installierte Programme, Registry-Änderungen, heruntergeladene Dateien, Einstellungen usw. Beim nächsten Start verfügen Sie über eine komplett neue Windows-Installation, die keinerlei Daten aus vorherigen Sitzungen enthält.

Diese Funktion ist in Windows 10 Version 1903 und höher sowie in Windows 11 verfügbar , sofern Sie die Pro-, Enterprise- oder Education-Edition besitzen. In den Home-Versionen ist diese Funktion nicht offiziell enthalten; in diesem Fall müssen Sie auf externe Alternativen zurückgreifen.

Anforderungen und Voraussetzungen für die Verwendung der Windows-Sandbox

Bevor Sie diese isolierte Umgebung nutzen können, müssen Sie unbedingt überprüfen, ob Ihr Computer bestimmte Anforderungen erfüllt . Eine relativ aktuelle Windows-Version reicht nicht aus; die Systemversion, die Hardware und die BIOS/UEFI-Konfiguration spielen eine wichtige Rolle.

Als Betriebssystem benötigen Sie Windows 10 Pro oder Enterprise (Version 1903 oder höher) oder eine beliebige Pro-, Enterprise- oder Education-Edition von Windows 11 (siehe die Windows 11-Ersteinrichtung für neue Benutzer). Home-Versionen werden nicht offiziell unterstützt, da Microsoft die Windows Sandbox den „professionellen“ Versionen des Systems vorbehält.

Hinsichtlich des Prozessors ist die Mindestanforderung eine 64-Bit-CPU mit mindestens zwei Kernen und Virtualisierungsunterstützung (z. B. Intel VT-x oder AMD-V). Für ein optimales Nutzungserlebnis empfiehlt sich jedoch ein moderner Mittelklasse- oder High-End-Prozessor mit mehreren Kernen und Threads, beispielsweise ein Intel Core oder ein aktueller AMD Ryzen mit beispielsweise 6 Kernen und 12 Threads.

Der Arbeitsspeicher (RAM) ist ein weiterer entscheidender Faktor: Microsoft empfiehlt mindestens 4 GB für die Ausführung der Windows Sandbox, aber das ist nur der Anfang. Die Sandbox-Umgebung benötigt einen Teil des verfügbaren Arbeitsspeichers, und Sie müssen gleichzeitig das Hauptsystem weiter nutzen. Daher sind mindestens 8 GB für eine komfortable Nutzung ratsam, und sogar 12 GB oder mehr, wenn Sie anspruchsvolle Anwendungen in der Sandbox ausführen oder intensives Multitasking betreiben möchten.

Windows Sandbox benötigt vergleichsweise wenig Speicherplatz , da es Komponenten des Hostsystems wiederverwendet. Dennoch benötigen Sie ausreichend Festplattenspeicher für temporäre Dateien und alle Programme, die Sie in der Umgebung installieren. Bei zu geringem Speicherplatz kann es beim Erstellen und Löschen von Sitzungen zu Leistungseinbußen kommen.

Schließlich muss die Hardwarevirtualisierung im BIOS/UEFI aktiviert werden . Bei vielen Computern ist sie standardmäßig aktiviert, bei anderen müssen Sie jedoch die Firmware-Einstellungen aufrufen und Intel VT-x, Intel VT-d, AMD-V oder ähnliche Optionen aktivieren. Ohne diese Unterstützung kann Windows Sandbox Hyper-V nicht nutzen und funktioniert nicht.

So installieren und aktivieren Sie Windows Sandbox unter Windows

Sobald Ihr Computer die Voraussetzungen erfüllt, ist die Aktivierung der Windows Sandbox ganz einfach . Sie können dies über die Befehlszeile mit PowerShell oder über die klassische grafische Oberfläche „Windows-Funktionen“ tun. Beide Methoden führen zum gleichen Ergebnis.

Wenn Sie die Eingabeaufforderung bevorzugen, öffnen Sie PowerShell mit Administratorrechten . Geben Sie dazu „PowerShell“ in das Suchfeld des Startmenüs ein, klicken Sie mit der rechten Maustaste auf das Suchergebnis und wählen Sie „Als Administrator ausführen“. Erhöhte Berechtigungen sind wichtig, da dadurch eine Systemfunktion aktiviert wird.

Bei geöffnetem PowerShell-Fenster müssen Sie lediglich den folgenden Befehl ausführen , um die erforderliche Komponente zu aktivieren:

Enable-WindowsOptionalFeature -FeatureName "Containers-DisposableClientVM" -All -Online

Nach Abschluss des Vorgangs werden Sie vom System zum Neustart aufgefordert. Windows Sandbox steht erst nach dem Neustart Ihres Computers wieder zur Verfügung . Speichern Sie daher alle geöffneten Fenster und bestätigen Sie den Neustart. Auf modernen Computern dauert dieser Vorgang in der Regel nur wenige Minuten.

Wenn Sie sich mit der Kommandozeile nicht auskennen oder einfach keine Lust haben, Befehle einzugeben, können Sie Windows Sandbox über die grafische Oberfläche aktivieren . Suchen Sie im Startmenü nach „Windows-Funktionen aktivieren oder deaktivieren“ und öffnen Sie die entsprechende Option. Es öffnet sich ein Fenster mit einer langen Liste optionaler Systemkomponenten.

Scrollen Sie in dieser Liste nach unten, um je nach Ihrer Installationssprache „Windows Sandbox“ oder „Windows Isolated Space “ zu finden. Aktivieren Sie das entsprechende Kontrollkästchen, klicken Sie auf OK und lassen Sie Windows die Funktion installieren. Anschließend werden Sie aufgefordert, Ihr System neu zu starten, damit die Änderungen wirksam werden.

Erste Schritte: So nutzen Sie Windows Sandbox im Alltag

Nachdem die Funktion nun aktiviert ist, lässt sich Windows Sandbox genauso einfach öffnen wie jede andere Anwendung . Gehen Sie einfach zum Startmenü, geben Sie „Windows Sandbox“ in die Suchleiste ein und starten Sie das Ergebnis mit dem Microsoft-Symbol.

Beim ersten Start kann der Vorgang etwas länger dauern als gewöhnlich , da das System die virtuelle Umgebung konfigurieren muss. Keine Sorge, falls der Bildschirm einige Sekunden lang leer bleibt; bei nachfolgenden Starts verkürzt sich die Ladezeit deutlich, und Ihr virtueller Desktop ist in wenigen Augenblicken einsatzbereit.

Nach dem Anmelden sehen Sie einen voll funktionsfähigen Windows-Desktop , üblicherweise in englischer Sprache und nicht aktiviert (es handelt sich um eine temporäre Lizenz für diese Umgebung). Sie werden feststellen, dass nur die grundlegenden Systemanwendungen vorhanden sind; Ihre gewohnten Programme, persönlichen Daten oder Anpassungen sind nicht vorhanden. Es ist wie eine frisch installierte Windows-Umgebung.

Ein Vorteil ist, dass sich das Sandbox-Fenster automatisch an Ihre Größe anpasst: Beim Ändern der Fenstergröße wird die interne Bildschirmauflösung angepasst, und es verhält sich wie eine sehr ressourcenschonende virtuelle Maschine. Sie müssen sich nicht mit Grafiktreibern oder komplizierten Einstellungen herumschlagen.

In dieser isolierten Desktop-Umgebung können Sie im Internet surfen, Dateien herunterladen, Programme installieren und verdächtige Dokumente öffnen – fast genauso wie auf Ihrem Haupt-Windows-System. Die Umgebung verfügt über einen Netzwerkzugriff mittels einer virtuellen Schnittstelle, was das Herunterladen von Installationsprogrammen und die Durchführung schneller Überprüfungen vereinfacht. Dies bedeutet jedoch auch, dass Schadsoftware mit Netzwerkfähigkeiten extern kommunizieren kann. Daher ist es ratsam, mit Bedacht vorzugehen. Wenn Sie Bedenken hinsichtlich Ihrer Privatsphäre haben, können Sie in Windows 11 DNS over HTTPS aktivieren .

Um Dateien von Ihrem System in die Sandbox zu verschieben, können Sie die Windows-Zwischenablage verwenden . Kopieren Sie einfach eine Datei auf dem Host-System (Strg + C) und fügen Sie sie auf dem Desktop der Sandbox ein (Strg + V). Fertig! Die ausführbare Datei oder das Dokument befindet sich nun in der Sandbox und kann getestet werden. Fortgeschrittene Benutzer können auch .wsb-Konfigurationsdateien erstellen, um Ordner vom Host-System direkt in die Sandbox einzubinden. Dies erfordert jedoch etwas mehr technisches Know-how.

Wenn Sie Ihre Tests abgeschlossen haben, schließen Sie das Windows Sandbox-Fenster einfach über das „X“ in der Ecke, genau wie bei jedem anderen Programm. Es erscheint eine Warnung, die darauf hinweist, dass alle Daten in der Umgebung gelöscht werden. Nach der Bestätigung wird die virtuelle Maschine heruntergefahren und alle Änderungen, Dateien und installierten Programme werden endgültig gelöscht.

Falls Sie innerhalb der Sandbox Dateien erstellt haben, die Sie behalten möchten (z. B. ein sauberes Dokument, das von einem Programm erstellt wurde, dem Sie nicht vertrauten ), denken Sie daran, diese zurückzukopieren oder Anleitungen zur Datensicherung zu konsultieren, bevor Sie das Fenster schließen. Andernfalls gehen sie zusammen mit der temporären Umgebung verloren.

Alternativen und Vergleich: Windows Sandbox, Sandboxie und virtuelle Maschinen

Windows Sandbox ist zwar sehr praktisch, aber nicht die einzige Möglichkeit, Software unter Windows zu isolieren . Je nach Bedarf könnten Sie auch andere Tools wie Sandboxie oder eine vollständige virtuelle Maschine mit VirtualBox, VMware oder Hyper-V verwenden.

Sandboxie ist eine bewährte Lösung, die auf Betriebssystemebene arbeitet, anstatt eine vollständige Windows-Umgebung innerhalb eines anderen Betriebssystems auszuführen. Im Wesentlichen fängt sie den Zugriff von Anwendungen auf die Registrierung, das Dateisystem und andere Ressourcen ab und leitet ihn in einen isolierten Bereich um. Dadurch werden die Änderungen, die das Programm vornimmt, nicht direkt im System gespeichert, sondern in einer „Sandbox“ ausgeführt, die sich leicht bereinigen lässt.

Der Vorteil von Sandboxie liegt in seinem sehr geringen Ressourcenverbrauch , wodurch es selbst auf Windows Home-Editionen oder älteren Systemversionen genutzt werden kann. Darüber hinaus ermöglicht es die Isolation einzelner Programme (z. B. nur des Browsers oder nur eines Installationsprogramms), ohne dass ein vollständiges Betriebssystem gestartet werden muss. Außerdem können mehrere Sandboxie-Umgebungen parallel ausgeführt werden.

Vollständige virtuelle Maschinen hingegen, wie sie beispielsweise von VirtualBox, VMware oder Hyper-V bereitgestellt werden , erstellen einen unabhängigen virtuellen Computer mit eigener Festplatte, emulierter Hardware und installiertem Betriebssystem. Hier ist die Isolation noch stärker, da sich das Gastsystem wie ein separater Rechner verhält, der sogar ein völlig anderes System sein kann (eine andere Windows-Version, eine Linux-Distribution usw.).

Seine größte Stärke liegt in der Möglichkeit, den Zustand des virtuellen Systems zwischen Sitzungen zu erhalten . Sie können Programme dauerhaft installieren, komplexe Konfigurationen verwalten, Server einrichten oder Laborumgebungen mit mehreren interagierenden Maschinen erstellen. Darüber hinaus bietet es Funktionen wie Snapshots, mit denen Sie den Zustand der Maschine zu einem bestimmten Zeitpunkt einfrieren und jederzeit wiederherstellen können.

Der Nachteil besteht darin, dass virtuelle Maschinen deutlich mehr Arbeitsspeicher und Speicherplatz benötigen , da jede VM neben der Speicherreservierung beim Start mehrere Gigabyte Festplattenspeicher für das System und die Daten benötigt. Auch die Einrichtung erfordert etwas mehr Geduld: Man muss die Maschine erstellen, ein ISO-Image einbinden, das Betriebssystem installieren, es aktualisieren und sie wie einen physischen Computer warten.

Im Gegensatz dazu legt Windows Sandbox Wert auf Schnelligkeit und Einfachheit : Sie öffnen es in Sekundenschnelle, testen beliebige Dateien und Programme, und beim Schließen verschwindet alles, ohne dass Sie virtuelle Festplatten oder gespeicherte Zustände verwalten müssen. Es eignet sich ideal für schnelle Tests und Analysen verdächtiger Dateien oder Programme, die Sie nur einmal oder sehr kurz öffnen.

Hyper-V und persistente Testlabore

Wenn Sie bereits Windows 10 oder 11 Pro oder Enterprise besitzen, haben Sie auch Zugriff auf die Hyper-V-Virtualisierungsplattform , die die Grundlage für Windows Sandbox bildet, jedoch mit vielen zusätzlichen Anpassungsmöglichkeiten für fortgeschrittene Szenarien.

Mit Hyper-V können Sie eine oder mehrere vollständig angepasste virtuelle Maschinen erstellen und die CPU, den Arbeitsspeicher, den Festplattenspeicher und die virtuellen Netzwerkkarten für jede einzelne Maschine konfigurieren. Es ist sogar möglich, eine Maschine komplett vom Internet zu trennen und sie so vom Netzwerk zu isolieren – ideal für die Analyse hochgefährlicher Malware, ohne das Risiko einer Kommunikation mit der Außenwelt einzugehen.

Nachdem Sie die virtuelle Maschine erstellt haben, müssen Sie ein Betriebssystem (Windows, Linux usw.) darauf installieren. Verwenden Sie dazu ein ISO-Image oder eine vorgefertigte Systemvorlage. Nach der Installation verhält sich die VM wie ein eigenständiger PC, den Sie nach Bedarf ein- und ausschalten können. Ihre Daten und Anwendungen bleiben dabei zwischen den Sitzungen erhalten.

Eine der größten Stärken von Hyper-V ist die Möglichkeit, Prüfpunkte zu erstellen . Damit lässt sich der Zustand der virtuellen Maschine (System, Programme, Dateien und Konfiguration) zu einem bestimmten Zeitpunkt protokollieren. Anschließend können Sie Software installieren, Konfigurationen testen oder die Maschine sogar kontrolliert infizieren. Sollte etwas schiefgehen, stellen Sie einfach den Prüfpunkt wieder her und kehren zum ursprünglichen, sauberen Zustand zurück.

Diese Philosophie ähnelt der einer Sandbox, bietet aber den Vorteil, dass mehrere verschiedene Zustände gespeichert und verwaltet werden können : ein Zustand mit dem frisch installierten System, ein anderer mit bestimmten Updates, ein weiterer mit einer bestimmten Auswahl an Anwendungen usw. Allerdings belegt jeder Prüfpunkt zusätzlichen Speicherplatz, daher ist eine ausreichende Speicherkapazität empfehlenswert.

In professionellen oder fortgeschrittenen Benutzerumgebungen ist es sehr üblich, komplette virtuelle Labore mit Hyper-V einzurichten : eine Maschine mit Windows 10 ohne Netzwerkverbindung für Malware-Tests, eine weitere mit Windows Server zum Testen von Servicekonfigurationen, eine dritte mit Linux für die Entwicklung und so weiter, alle laufen auf demselben physischen Computer, sofern die Hardware dies zulässt.

Um zu beginnen, aktivieren Sie einfach Hyper-V über „Windows-Funktionen aktivieren oder deaktivieren“ , ganz ähnlich wie bei Windows Sandbox, und öffnen Sie dann die „Hyper-V Manager“-Konsole, über die Sie Ihre virtuellen Maschinen und deren Prüfpunkte erstellen und verwalten können.

Wann sollte man die Windows-Sandbox und wann andere Lösungen verwenden?

Im Alltag ist Windows Sandbox ideal für kurze Testsituationen, beispielsweise wenn Sie einen verdächtigen Anhang erhalten, ein Installationsprogramm aus einer unklaren Quelle herunterladen oder eine Anwendung ausprobieren möchten, die Sie nicht dauerhaft nutzen wollen. Sie öffnen die Sandbox, testen sie, schließen das Fenster und können sich entspannt zurücklehnen, denn Ihr Hauptsystem bleibt unberührt.

Für Anwender, die sich nicht mit komplexen Konfigurationen auseinandersetzen möchten, bietet diese Funktion eine sofortige „sichere Zone“ ohne externe Tools oder einen zweiten Computer. Insbesondere in Arbeits- oder Produktionsumgebungen stellt sie eine sehr nützliche zusätzliche Sicherheitsebene dar, um Software vor der Installation auf dem Produktivsystem zu filtern.

Wenn Ihr Ziel hingegen darin besteht, eine Testumgebung über einen längeren Zeitraum aufrechtzuerhalten , mit Programmen, die Sie zwischen Neustarts installiert halten möchten, bestimmten Konfigurationen oder sogar Testservern, dann werden Sie wahrscheinlich eher an einer klassischen virtuellen Maschine mit Hyper-V, VirtualBox oder VMware interessiert sein, bei der Sie selbst entscheiden, wann Zustände gelöscht oder wiederhergestellt werden.

Tools wie Sandboxie eignen sich ideal, wenn Sie nur bestimmte Anwendungen isolieren möchten, ohne ein komplettes System in einem anderen System auszuführen, oder wenn Sie mit Home-Editionen von Windows arbeiten, die keine Windows Sandbox enthalten. In diesem Fall kann die Isolierung des Browsers oder E-Mail-Clients die Auswirkungen vieler alltäglicher Angriffe reduzieren, ohne viele Ressourcen zu verbrauchen.

Vor diesem Hintergrund ist es ratsam , je nach Szenario verschiedene Strategien zu kombinieren: Nutzen Sie die Windows Sandbox für einmalige Tests, virtuelle Maschinen für dauerhafte Testumgebungen und ergänzen Sie diese gegebenenfalls durch Sandboxing-Tools auf Anwendungsebene wie Sandboxie. So sind Sie sowohl für schnelle, alltägliche Anwendungsfälle als auch für komplexere Entwicklungs- oder Analyseumgebungen bestens gerüstet.

Dank dieser Optionen kann jeder Benutzer von Windows Pro oder Enterprise das Risiko beim Testen verdächtiger Programme oder gefährlicher Dateien drastisch reduzieren , indem er Windows Sandbox als schnelle und einfache erste Barriere nutzt und auf Hyper-V oder Lösungen von Drittanbietern zurückgreift, wenn etwas Robusteres und Dauerhafteres erforderlich ist.

In Verbindung stehender Artikel:

Die Bedeutung der Datensicherung: Sichern Sie die Kontinuität Ihres Geschäfts