Speicherintegrität und Kernisolierung: Was die Funktion kostet

Was die Funktion tatsächlich tut

Speicherintegrität ist der Anwendername für HVCI — Hypervisor-protected Code Integrity — auf Basis der virtualisierungsbasierten Sicherheit. Der Hypervisor liegt unter Windows und erzwingt eine einzige Regel: Nur von Microsoft signierter und freigegebener Code darf im Kernel-Modus laufen. Diese eine Regel schließt ein komplettes Erpressungs-Drehbuch aus: einen Treiber mit gestohlener oder verwundbarer Signatur zu laden und über ihn den Kernel anzugreifen. Der Schalter liegt in der Windows-Sicherheit unter Gerätesicherheit → Kernisolierung und ist auf neuen Windows-11-Installationen mit unterstützter Hardware ab Werk aktiv.

Die ehrliche Preisliste

Der Preis setzt sich aus drei Teilen zusammen: CPU-Mehraufwand durch die Virtualisierungsschicht, ein Hypervisor vorbehaltener Anteil RAM und Reibung bei der Kompatibilität. Auf Prozessoren, die Windows 11 offiziell unterstützt, liegt der Mehraufwand bei wenigen Prozent im schlimmsten Fall, denn jede zertifizierte CPU beherrscht die Adressübersetzung zweiter Stufe. Dramatische Leistungseinbrüche klären sich fast immer in veraltete Treiber oder eine spezielle Konfiguration auf, nicht in die Funktion selbst.

• CPU-Mehraufwand: wenige Prozent im schlimmsten Fall — Windows 11 zertifiziert nur Prozessoren mit SLAT/EPT
• RAM: Für den Hypervisor wird ein Anteil des Speichers zusätzlich reserviert
• Alte Treiber: nicht oder schlecht signierte Kernel-Treiber werden gar nicht geladen — by design
• Werkzeuge mit Kernel-Anteil: ältere Versionen mancher Übertaktungs- und Monitoring-Tools fallen unter diesen Kamm und brauchen ein Update
• Im Forum berichtete Gaming-Einbrüche führen fast immer auf veraltete Treiber oder spezifische Setups zurück, nicht auf die Funktion selbst
• Ihre Wahrheit: ein Vorher/Nachher-Benchmark in Ihren eigenen Spielen, nicht der Forenpost eines Fremden

Wann Abschalten vertretbar ist — und wann nicht

Abschalten ist in genau einer Situation vertretbar: Sie haben alle betroffenen Treiber aktualisiert, auf Ihrer eigenen Maschine einen wiederholbaren Einbruch gemessen und wissen, welche Anwendung leidet. Auch dann behandeln Sie es als zeitlich begrenztes Experiment — der Schalter bleibt, wo er ist, und die Rückkehr ist immer möglich. Nicht vertretbar ist, eine Sicherheitsgrenze abzubauen, weil ein Fremder im Forum einmal drei Prozent gewonnen hat. Die Angriffe, die diese Funktion blockt — Treiber mit gestohlener Signatur, der tatsächliche Eröffnungszug moderner Erpressungs-Trojaner — kosten Menschen ihre Dateien, nicht ihre Framerate.

Fragen und Antworten

Weiterlesen