Was ist virtualisierungsbasierte Sicherheit (VBS) in Windows?

Virtualisierungsbasierte Sicherheit ist die neueste der Windows-Sicherheitsfunktionen, die für Spiele eine Rolle spielen, und die am wenigsten verstandene. Anders als Secure Boot oder das TPM kann sie dich FPS kosten, und deshalb streiten Gamer seit Jahren darüber, ob man sie ausschalten sollte. Inzwischen verlangen Anti-Cheats sie, und das dreht diesen Streit um.

Was VBS ist

Moderne Prozessoren haben Hardware-Unterstützung für Virtualisierung, also die Technik, mit der ein PC mehrere Betriebssysteme nebeneinander laufen lassen kann. Windows nutzt dieselbe Technik für die Sicherheit.

Ist VBS an, startet Windows einen kleinen Hypervisor unter sich selbst und nutzt ihn, um einen isolierten Speicherbereich zu schaffen. Der normale Windows-Kernel läuft außerhalb dieses Bereichs und kann darin nichts lesen oder ändern. Sicherheitsfunktionen, die geschützt werden müssen, sogar vor einem kompromittierten Kernel, laufen darin.

Auf vielen neuen Windows-11-PCs ist VBS ab Werk eingeschaltet.

Was die Speicherintegrität macht

Die Speicherintegrität, auch HVCI (hypervisorgeschützte Codeintegrität) genannt, ist die VBS-Funktion, die für Spiele am wichtigsten ist. Sie prüft jeden Treiber, bevor er im Kernel laufen darf, und zwar aus dem geschützten Bereich heraus, sodass ein kompromittierter Kernel die Prüfung nicht abschalten kann. Unsignierte Treiber und Treiber auf Microsofts Liste bekannter anfälliger Treiber werden abgelehnt.

Das betrifft Cheats direkt. Viele Cheats haben darauf gesetzt, eigene Kernel-Treiber zu laden, um dieselben Zugriffsrechte zu bekommen wie ein Kernel-Level-Anti-Cheat, oder einen legitimen Treiber mit einer Sicherheitslücke zu missbrauchen. Die Speicherintegrität blockiert beide Wege, und genau deshalb haben Anti-Cheats angefangen, sie zu verlangen.

Wer VBS verlangt

FACEIT verknüpft VBS mit der IOMMU, der Speicher-Firewall, die DMA-Karten daran hindert, den Spielspeicher zu lesen, weil Windows die IOMMU erst mit VBS zuverlässig nutzen kann.

VBS und Gaming-Performance

Einen Hypervisor unter Windows laufen zu lassen, kostet etwas. Microsoft hat eingeräumt, dass die Speicherintegrität und die VM-Plattform in manchen Konfigurationen die Gaming-Leistung verringern, und sagt, dass Gamer, die maximale Leistung wollen, sie beim Spielen ausschalten und danach wieder einschalten können. Dabei nehmen sie in Kauf, dass der PC weniger geschützt ist, solange beides aus ist.

Wie viel es kostet, hängt stark von Prozessor, Spiel und Einstellungen ab. Auf vielen modernen Systemen ist der Unterschied klein.

Inzwischen gibt es allerdings einen Haken: Wer VBS für mehr FPS ausschaltet, kann sich von Plattformen aussperren, die es verlangen. Prüf, was dein Spiel oder deine Plattform braucht, bevor du irgendetwas änderst.

So prüfst und änderst du es

Prüfen: Drück Windows + R, gib msinfo32 ein und drück Enter. Die Zeile Virtualisierungsbasierte Sicherheit in der Systemübersicht zeigt „Wird ausgeführt“ oder „Nicht aktiviert“.

Speicherintegrität: Öffne die Windows-Sicherheit, geh zu Gerätesicherheit, wähl Details zur Kernisolierung und nutze den Schalter für die Speicherintegrität. Windows verlangt einen Neustart.

VM-Plattform: Such im Startmenü nach „Windows-Features aktivieren oder deaktivieren“ und setz oder entferne den Haken bei VM-Plattform.

Lässt sich der Schalter für die Speicherintegrität nicht einschalten, listet Windows die inkompatiblen Treiber auf. Meist sind das alte Hardware-Tools, und wenn du sie aktualisierst oder deinstallierst, ist die Blockade weg.

VBS und deine Spiele

Bei VBS tauschst du ein wenig Leistung gegen Schutz, und die richtige Antwort hängt davon ab, was du spielst. Wenn eine Plattform wie FACEIT es verlangt, lass es an. Wenn du in einem Spiel, das es nicht verlangt, auf FPS aus bist, erlaubt Microsofts eigene Empfehlung, es beim Spielen auszuschalten. Wenn du unsicher bist, was ein Spiel oder ein Build braucht, frag den Support, bevor du Sicherheitseinstellungen änderst, statt einem Forenbeitrag zu folgen.