Bei Microsoft Defender bleibt so manche Schutzfunktion nach der Installation ungenutzt und Admins müssen selbst nachschärfen. Das gilt besonders für den "Überwachten Ordnerzugriff" (Controlled Folder Access), eine eigene Schutzebene gegen das Verschlüsseln oder Manipulieren von Dateien. Standardmäßig bleibt sie oft deaktiviert.

Wer sie einschaltet, öffnet die PowerShell mit Administratorrechten und geht in drei Schritten vor: Der Befehl Set-MpPreference -DisableRealtimeMonitoring $false aktiviert zunächst den Echtzeitschutz von Defender. Anschließend schärft Set-MpPreference -MAPSReporting 2 die Erkennungsrate durch den cloudbasierten Schutz nach. Den Abschluss bildet Set-MpPreference -EnableControlledFolderAccess Enabled: Dieser Befehl schaltet den eigentlichen Ransomware-Schutz für überwachte Ordner scharf. Der Status von Controlled Folder Access steht danach auf "Enabled".

Standardmäßig überwacht Defender nur Systemordner wie Dokumente, Desktop oder Bilder. Wichtige Projektverzeichnisse, Netzlaufwerke oder Datenbankpfade bleiben dabei oft außen vor, lassen sich aber problemlos nachrüsten. Der Befehl Add-MpPreference -ControlledFolderAccessProtectedFolders 'D:\Projekte' nimmt beispielsweise einen zusätzlichen lokalen Ordner in den Schutz auf. Für ein Netzlaufwerk funktioniert das analog über den UNC-Pfad, etwa mit Add-MpPreference -ControlledFolderAccessProtectedFolders '\\Server01\Freigabe'. Mehrere Pfade lassen sich auch in einem Rutsch ergänzen, wenn sie als kommagetrennte Liste übergeben werden.

Wer den Schutz nicht auf einem einzelnen Rechner, sondern im ganzen Netzwerk ausrollen will, greift zu "Invoke-Command". Der folgende Befehl aktiviert den Controlled Folder Access gleichzeitig auf mehreren Systemen:

Invoke-Command -ComputerName "PC01","PC02","PC03" -ScriptBlock { Set-MpPreference -EnableControlledFolderAccess Enabled }

Die Liste der Zielrechner lässt sich dabei auch aus einer CSV-Datei oder direkt aus dem Active Directory ziehen, sodass sich die Konfiguration bequem auf ganze Abteilungen oder Standorte skalieren lässt. In Kombination mit einer geplanten Aufgabe oder einem Gruppenrichtlinien-Skript sorgt das dafür, dass neue Systeme den Schutz automatisch beim Einrichten erhalten.