Wie lässt sich zuverlässig feststellen, ob Microsoft Defender Antivirus und Trend Micro Worry-Free gleichzeitig aktiv sind? In einer mit Microsoft Intune und Windows Autopilot verwalteten Umgebung wurde genau diese Frage relevant, nachdem mehrere Anwender erhebliche Performanceprobleme auf ihren Windows-Geräten meldeten.

Dieser Beitrag beschreibt die Problemanalyse, die Auswertung der Intune-Richtlinien, die Entwicklung eines zentralen Detection-Skripts und die überraschende Erkenntnis, dass nicht jeder laufende Defender-Prozess automatisch einen zweiten aktiven Virenscanner bedeutet.

Alle Namen von Kunden, Personen, Geräten, Gruppen und Mandanten wurden für diesen Beitrag anonymisiert.

Ausgangslage: Zwei Sicherheitsprodukte und Performanceprobleme

Auf mehreren Windows-11-Geräten wurden unter anderem folgende Symptome gemeldet:

  • lange Anmeldezeiten
  • verzögerter Aufbau des Desktops
  • langsame Programmstarts
  • zeitweise hohe CPU- und Datenträgerauslastung
  • eine insgesamt träge Benutzeroberfläche

Auf den betroffenen Geräten waren gleichzeitig mehrere Sicherheitskomponenten vorhanden:

  • Trend Micro Worry-Free beziehungsweise Trend Micro Security Agent
  • Microsoft Defender Antivirus
  • Microsoft Defender for Endpoint
  • Intune Security Baselines
  • Attack Surface Reduction Rules
  • Windows SmartScreen
  • Virtualization Based Security und HVCI

Die naheliegende Vermutung lautete:

Zwei aktive Antivirus-Engines prüfen dieselben Dateien und Prozesse und verursachen dadurch die Performanceprobleme.

Diese Vermutung war technisch plausibel, musste aber anhand des effektiven Laufzeitstatus überprüft werden.

image-10-1024x683 Microsoft Defender & Trend Micro im Intune-Zeitalter
Architekturübersicht „Trend Micro als primärer Virenschutz und Microsoft Defender for Endpoint im EDR Block Mode“
Architektur der untersuchten Koexistenz: Trend Micro übernimmt den primären Virenschutz, während Microsoft Defender for Endpoint als EDR-Komponente aktiv bleibt.

Warum installierte Produkte allein nichts beweisen

Ein häufiger Diagnosefehler besteht darin, nur nach installierten Programmen, laufenden Diensten oder Prozessen zu suchen.

Auf einem betroffenen Gerät können beispielsweise gleichzeitig folgende Komponenten sichtbar sein:

WinDefend
MsMpEng.exe
MsSense.exe
Ntrtscan.exe
TmCCSF.exe
TMBMSRV.exe

Diese Prozesse haben jedoch unterschiedliche Aufgaben:

  • Ntrtscan.exe gehört zum Trend-Micro-Echtzeitschutz.
  • TmCCSF.exe gehört zum Trend Micro Common Client Solution Framework.
  • TMBMSRV.exe gehört zu Trend-Micro-Schutzfunktionen.
  • MsMpEng.exe gehört zur Microsoft-Defender-Antimalwareplattform.
  • MsSense.exe ist der Sensor von Microsoft Defender for Endpoint.

Insbesondere MsSense.exe ist nicht mit einem aktiven Defender-Antivirusscan gleichzusetzen. Der Prozess gehört zur EDR-Komponente und kann weiterlaufen, während eine Drittanbieterlösung den primären Virenschutz übernimmt.

Die entscheidenden Defender-Statuswerte

Für eine belastbare Bewertung sind vor allem die Werte aus Get-MpComputerStatus relevant:

Get-MpComputerStatus |
    Select-Object `
        AMRunningMode,
        AntivirusEnabled,
        RealTimeProtectionEnabled,
        BehaviorMonitorEnabled,
        IoavProtectionEnabled,
        OnAccessProtectionEnabled,
        IsTamperProtected

Besonders wichtig ist AMRunningMode. Typische Werte sind:

Normal
Passive Mode
EDR Block Mode

Zusätzlich müssen die effektiven Laufzeitwerte geprüft werden:

  • RealTimeProtectionEnabled
  • BehaviorMonitorEnabled
  • IoavProtectionEnabled
  • OnAccessProtectionEnabled

Ein laufender Defender-Dienst oder ein vorhandener MsMpEng.exe-Prozess ist für sich genommen kein Nachweis eines aktiven Defender-Echtzeitscans.

Registrierte Antivirusprodukte prüfen

Über den Windows-Security-Center-Namespace lässt sich feststellen, welche Antivirusprodukte bei Windows registriert sind:

Get-CimInstance `
    -Namespace 'root\SecurityCenter2' `
    -ClassName 'AntiVirusProduct' |
Select-Object `
    displayName,
    productState,
    pathToSignedProductExe,
    pathToSignedReportingExe

In der untersuchten Umgebung wurden Trend Micro und Windows Defender angezeigt. Auch dies beweist jedoch keinen parallelen Echtzeitscan. Das Windows Security Center zeigt registrierte Sicherheitsprodukte, nicht automatisch deren vollständigen Laufzeitmodus.

Auswertung der Intune-Richtlinien

Vor der Clientanalyse wurden die relevanten Intune-Richtlinien über Microsoft Graph exportiert. Dabei wurden unter anderem folgende Bereiche geprüft:

  • Settings Catalog
  • Endpoint Security
  • Security Baselines
  • Microsoft Defender for Endpoint
  • Attack Surface Reduction
  • klassische Gerätekonfigurationsprofile
  • Administrative Templates
  • Richtlinienzuweisungen und Ausschlussgruppen

Im Tenant existierte eine explizite Richtlinie zum Abschalten von Microsoft Defender Antivirus für den Einsatz von Trend Micro. Gleichzeitig waren weiterhin eine Defender-for-Endpoint-Baseline, eine EDR-Richtlinie und umfangreiche ASR-Konfigurationen vorhanden.

Allein anhand der Richtlinien ließ sich jedoch nicht sicher bestimmen, welcher Betriebszustand auf den Clients tatsächlich wirksam war. Ausschlaggebend blieb deshalb die Laufzeitprüfung.

Warum Intune Remediations verwendet wurden

Eine manuelle Prüfung einzelner Geräte hätte nur Momentaufnahmen geliefert. Benötigt wurde eine zentrale, wiederholbare und exportierbare Analyse.

Die gewählte Lösung war eine Intune Remediation mit einem reinen Detection-Skript. Das Skript:

  • läuft im SYSTEM-Kontext
  • verändert keine Einstellungen
  • prüft den effektiven Defender-Modus
  • erkennt Trend Micro über das Windows Security Center
  • prüft Defender-Dienste und den MDE-Sensor
  • erfasst konfigurierte ASR-Regeln
  • liefert eine kompakte JSON-Ausgabe
  • klassifiziert auffällige und erwartete Zustände
image-12-1024x681 Microsoft Defender & Trend Micro im Intune-Zeitalter
Analyse-Workflow von der Problemmeldung über Intune Remediations bis zur zentralen Bewertung
Der Analyseablauf: Problem identifizieren, Statusdaten zentral erfassen, effektive Laufzeitwerte auswerten und Geräte nachvollziehbar klassifizieren.

Bewertung der ermittelten Zustände

CRITICAL-DualAV

Dieser Zustand wird gemeldet, wenn Trend Micro registriert ist, Defender-Echtzeitschutz aktiv ist und mindestens eine weitere Defender-Echtzeitkomponente aktiv arbeitet.

WARNING-DefenderActive

Diese Warnung wird ausgegeben, wenn Trend Micro registriert ist und Defender einen aktiven Echtzeitschutz meldet.

INFO-EDRBlockMode

Dies ist der erwartete Koexistenzzustand:

  • Trend Micro ist registriert.
  • Defender meldet EDR Block Mode.
  • Defender-Echtzeitschutz ist ausgeschaltet.
  • Behavior Monitoring ist ausgeschaltet.
  • IOAV Protection ist ausgeschaltet.
  • On-Access Protection ist ausgeschaltet.
  • der Microsoft-Defender-for-Endpoint-Sensor läuft.

INFO-EDRBlockModeIncomplete

Der grundlegende EDR-Koexistenzzustand wurde erkannt, einzelne Nebenstatuswerte fehlen jedoch. Fehlende Werte werden nicht automatisch als aktiver Schutz oder Konflikt interpretiert.

WARNING-EDRSensorNotRunning

Defender meldet EDR Block Mode, aber der zugehörige Sense-Dienst läuft nicht.

WARNING-NoTrendMicro

Trend Micro wurde im Windows Security Center nicht erkannt.

WARNING-NoAVRegistered

Windows meldet überhaupt kein registriertes Antivirusprodukt.

Konfiguration der Remediation in Intune

Für das Detection-Skript wurden folgende Einstellungen verwendet:

Run this script using the logged-on credentials: No
Enforce script signature check: nach Kundenstandard
Run script in 64-bit PowerShell: Yes
Remediation script: keines

Das Detection-Skript ist vollständig read-only. Geräte mit einem erwarteten Zustand liefern Exit 0. Auffällige oder nicht belastbar prüfbare Geräte liefern Exit 1.

Ergebnis der zentralen Auswertung

Nach der Ausführung auf zehn anonymisierten Geräten ergab sich folgendes Ergebnis:

INFO-EDRBlockMode: 10
Warnungen:          0
Kritisch:           0
Abfragefehler:      0

Auf allen untersuchten Geräten wurden die gleichen Kernwerte ermittelt:

Trend Micro erkannt:           Ja
AMRunningMode:                 EDR Block Mode
Defender Echtzeitschutz:       Aus
Behavior Monitoring:           Aus
IOAV Protection:               Aus
On-Access Protection:          Aus
Microsoft EDR Sensor:          Aktiv
Unbekannte Statuswerte:        Keine

Damit konnte der ursprüngliche Verdacht eines klassischen Doppel-AV-Betriebs nicht bestätigt werden.

image-13-1024x683 Microsoft Defender & Trend Micro im Intune-Zeitalter
Auswertungsübersicht mit zehn Geräten, zehnmal INFO-EDRBlockMode und null Warnungen
Das Ergebnis der zentralen Auswertung: Alle untersuchten Geräte meldeten einen konsistenten EDR-Block-Modus ohne aktiven Defender-Echtzeitscan.

Die ASR-Abweichung eines Geräts

Bei der Auswertung fiel eine Abweichung bei den Attack Surface Reduction Rules auf.

Die meisten Geräte meldeten:

17 konfigurierte ASR-Regeln
15 Regeln mit der Aktion Block
0 Regeln im Warnmodus
0 Regeln im Auditmodus

Ein Gerät meldete dagegen:

15 konfigurierte ASR-Regeln
15 Regeln mit der Aktion Block
0 Regeln im Warnmodus
0 Regeln im Auditmodus

Die Abweichung bedeutet nicht automatisch, dass zwei wichtige Blockregeln fehlen. Auf den Vergleichsgeräten waren zwei zusätzliche Regel-IDs vorhanden, deren Aktionswerte in der verwendeten Auswertung weder als Block, Warnung noch als Audit gezählt wurden.

Die Abweichung war daher zunächst ein Thema der Richtlinienkonsistenz und kein Nachweis für einen Defender-/Trend-Micro-Konflikt.

Performanceeinfluss trotz sauberer Koexistenz

Auch ohne klassischen Doppel-AV-Betrieb können mehrere Sicherheitskomponenten gleichzeitig Performance benötigen:

  • Trend-Micro-Echtzeitschutz
  • Trend-Micro-Verhaltensüberwachung
  • Trend-Micro-Ransomware-Schutz
  • Microsoft Defender for Endpoint Sensor
  • Security Baselines
  • ASR-Konfigurationen
  • Tamper Protection
  • Virtualization Based Security
  • Hypervisor Enforced Code Integrity
  • SmartScreen

Die Auswertung belegt, dass Defender Antivirus nicht parallel in Echtzeit scannt. Sie schließt jedoch nicht aus, dass EDR, Trend-Micro-Komponenten, Filtertreiber, Autostartprogramme oder weitere Härtungsfunktionen einen messbaren Einfluss auf Start- und Anmeldezeiten haben.

Sinnvolle weitere Analyseschritte

Nachdem ein Doppel-AV-Betrieb ausgeschlossen wurde, sollten insbesondere folgende Bereiche geprüft werden:

  • Startzeiteinfluss einzelner Prozesse
  • CPU-Auslastung über längere Zeiträume
  • Datenträgerwarteschlangen
  • Dateisystem-Minitreiber und Filtertreiber
  • Trend-Micro-Agentversion
  • Microsoft-Defender-for-Endpoint-Sensorversion
  • Autostartanwendungen
  • Anmeldeskripte
  • OneDrive-Synchronisierung
  • Windows-Update- und Installationsphasen
  • auffällige ASR-Ereignisse
  • Anwendungs- und Systemereignisprotokolle
  • Absturzabbilder bei Stopfehlern

Typische Fehlinterpretationen

„MsMpEng läuft, also scannt Defender aktiv“

Das ist nicht zwingend korrekt. Entscheidend sind AMRunningMode und die effektiven Schutzstatuswerte.

„Windows zeigt zwei Antivirusprodukte, also laufen beide aktiv“

Das Windows Security Center zeigt registrierte Produkte. Daraus lässt sich nicht automatisch deren vollständiger Laufzeitmodus ableiten.

„Eine ASR-Regel steht auf Block, deshalb blockiert Defender Trend Micro“

Eine konfigurierte ASR-Regel beweist keinen konkreten Blockierungsvorgang. Dafür müssen passende Ereignisse, Regel-IDs und betroffene Prozesse untersucht werden.

„DisableRealtimeMonitoring ist False, also ist Echtzeitschutz aktiv“

DisableRealtimeMonitoring=False beschreibt eine Konfigurationspräferenz. Der effektive Zustand wird durch RealTimeProtectionEnabled und AMRunningMode abgebildet.

Lessons Learned

  1. Installierte Sicherheitsprodukte sind keine ausreichende Grundlage für eine Konfliktanalyse.
  2. Laufende Defender-Dienste beweisen keinen aktiven Defender-Echtzeitscan.
  3. MsSense.exe gehört zum EDR-Sensor und ist nicht mit einem zweiten aktiven Antivirus gleichzusetzen.
  4. Der effektive Laufzeitstatus ist wichtiger als einzelne Richtlinienwerte.
  5. Intune Remediations eignen sich sehr gut für reproduzierbare und zentrale Zustandsanalysen.
  6. Fehlende Statuswerte müssen von ausdrücklich aktiven Schutzkomponenten unterschieden werden.
  7. ASR-Konfigurationen sollten nicht ohne Ereignisdaten als konkrete Konfliktursache bewertet werden.
  8. Trend Micro und Microsoft Defender for Endpoint können technisch sauber koexistieren.

Fazit

Die Untersuchung begann mit dem Verdacht, dass Microsoft Defender und Trend Micro gleichzeitig als aktive Virenscanner arbeiten und dadurch erhebliche Performanceprobleme verursachen.

Die zentral erhobenen Laufzeitdaten zeigten jedoch ein anderes Bild:

Trend Micro:
Primäre Antiviruslösung

Microsoft Defender Antivirus:
Kein aktiver Echtzeitschutz

Microsoft Defender for Endpoint:
EDR Block Mode aktiv

Auf allen zehn ausgewerteten Geräten war der Defender-Echtzeitschutz ausgeschaltet. Auch Behavior Monitoring, IOAV Protection und On-Access Protection waren nicht aktiv. Gleichzeitig lief der Microsoft-Defender-for-Endpoint-Sensor erwartungsgemäß weiter.

Damit konnte ein klassischer Doppel-AV-Betrieb für die untersuchten Geräte ausgeschlossen werden.

Der wichtigste Erfolg war jedoch nicht nur das technische Ergebnis. Durch das PowerShell-Detection-Skript entstand ein wiederverwendbares Diagnosewerkzeug, das den Koexistenzzustand regelmäßig, zentral und nachvollziehbar über Microsoft Intune bewertet.

Die gemeldeten Performanceprobleme mussten anschließend in anderen Bereichen weiter untersucht werden. Dazu gehörten insbesondere EDR- und Trend-Micro-Startlast, Autostartprogramme, Treiber, Geräteperformance, Windows-Updates und weitere Sicherheitsfunktionen.

Nicht die Anzahl sichtbarer Sicherheitsprodukte entscheidet, sondern deren effektiver Laufzeitstatus.

Über den Autor

Oliver Sommer

Senior System Consultant mit Schwerpunkt auf Microsoft-Infrastrukturen, Windows Server, Hyper-V, Failover Clustering, Storage Spaces Direct, Microsoft Intune, Azure und PowerShell-Automatisierung.

Alle technischen Bezeichnungen der ursprünglichen Kundenumgebung wurden anonymisiert. Die gezeigten Befehle sind Beispiele und müssen vor dem Einsatz in einer produktiven Umgebung geprüft werden.
Dieser Beitrag wurde unter Verwendung von KI-Tools erstellt und redaktionell geprüft.