Windows Sandbox ist als optionales Windows-Feature verfügbar und eignet sich für kurzlebige Tests, bei denen Änderungen nicht dauerhaft auf dem Host landen sollen. Nach dem Beenden der Sitzung löscht Windows den Inhalt der Umgebung wieder. Seit Windows 11 24H2 aktualisiert Microsoft die Sandbox über den Microsoft Store. Voraussetzung bleibt, dass Windows Sandbox zuvor als optionales Windows-Feature aktiviert wurde. Die modernisierte Version bringt eine überarbeitete Oberfläche und erlaubt während einer laufenden Sitzung unter anderem, Zwischenablage, Audio- und Videoeingabe sowie Ordnerfreigaben über das Menü anzupassen. Neu ist außerdem eine Kommandozeilenschnittstelle, mit der sich Sandbox-Instanzen starten, stoppen, abfragen und skriptgesteuert konfigurieren lassen.

Für den Umgang mit nicht vertrauenswürdigen Dateien sind die Standardwerte allerdings nicht optimal. Netzwerkzugriff und Zwischenablage sind zunächst aktiviert; dadurch kann eine Anwendung in der Sandbox beispielsweise auf erreichbare Netzwerkressourcen zugreifen oder Daten über die Zwischenablage austauschen. Für verdächtige Dateien zeigt Microsoft daher eine eigene .wsb-Konfiguration, die Netzwerk und vGPU abschaltet und Hostordner nur schreibgeschützt einbindet. Auch die Zwischenablage lässt sich per WSB-Datei deaktivieren, um die Angriffsfläche weiter zu reduzieren. WSB-Dateien sind einfache XML-Dateien und erlauben zusätzlich Vorgaben für Arbeitsspeicher, Drucker-, Audio- und Video-Umleitung sowie einen automatisch auszuführenden Startbefehl.

Ein minimales Beispiel für eine restriktive Testumgebung sieht etwa so aus:

<Configuration>
  <VGpu>Disable</VGpu>
  <Networking>Disable</Networking>
  <ClipboardRedirection>Disable</ClipboardRedirection>
  <MappedFolders>
    <MappedFolder>
      <HostFolder>C:\Sandbox-Test</HostFolder>
      <SandboxFolder>C:\Test</SandboxFolder>
      <ReadOnly>true</ReadOnly>
    </MappedFolder>
  </MappedFolders>
</Configuration>

Die Datei speichern Sie beispielsweise als "Sicherer-Test.wsb" und starten sie per Doppelklick. Damit erhält die Sandbox keinen Netzwerkzugriff, keine gemeinsame Zwischenablage und lediglich Lesezugriff auf den angegebenen Hostordner. Wichtig bleibt trotzdem: Windows Sandbox ist eine zusätzliche Isolationsschicht, kein Freibrief für beliebige Malware-Experimente. Hostfreigaben mit Schreibzugriff können dauerhaft verändert werden, und jede zusätzlich aktivierte Verbindung zur Außenwelt vergrößert die Angriffsfläche.