Bei einer Treibersperre solltest du zuerst den genannten Dateinamen sichern, häufig eine Datei mit der Endung .sys. Die zuverlässigsten Fundstellen sind Windows-Sicherheit, das CodeIntegrity-Ereignisprotokoll und die Treiberdetails im Geräte-Manager. Erst wenn Datei, Anbieter und zugehöriges Gerät feststehen, solltest du den Treiber aktualisieren oder entfernen. Das vorschnelle Abschalten von Speicherintegrität, Treibersperrliste oder Signaturprüfungen beseitigt zwar unter Umständen die Warnung, senkt aber den Schutz von Windows 11.
Die Meldung bedeutet nicht automatisch, dass der Treiber Schadsoftware enthält. Windows kann ihn auch wegen einer bekannten Schwachstelle, einer ungültigen oder nicht mehr akzeptierten Signatur, einer Sicherheitsrichtlinie oder technischer Unverträglichkeit zurückweisen. Entscheidend ist daher die Trennung zwischen Treiberdatei, Treiberpaket, zugehörigem Gerät und tatsächlichem Sperrgrund.
Die Meldung vor jeder Änderung vollständig erfassen
Öffne die Warnung erneut, sofern sie noch verfügbar ist, und notiere ihren exakten Wortlaut. Ein angezeigter Dateiname wie beispiel.sys ist hilfreicher als eine allgemeine Aussage über einen inkompatiblen Treiber. Halte außerdem fest, bei welcher Aktion die Meldung erschien: beim Windows-Start, beim Anschließen eines Geräts, während einer Installation oder beim Aktivieren einer Sicherheitsfunktion.
Prüfe in Windows-Sicherheit zunächst die Bereiche Gerätesicherheit und Schutzverlauf. Die verfügbaren Einträge und Bezeichnungen können von Windows-Version, Sicherheitskonfiguration und verwaltetem Gerätestatus abhängen. Wird die Warnung beim Einschalten der Speicherintegrität angezeigt, findest du unter den Details der Kernisolierung möglicherweise eine Ansicht der inkompatiblen Treiber. Dieser spezielle Fundort ist jedoch nicht bei jeder Art von Treibersperre aussagekräftig.
Ein Bildschirmfoto sollte Dateiname, Meldung und gegebenenfalls Herstellerangabe enthalten. Das schützt vor einer häufigen Verwechslung: Der Dateiname eines Treibers entspricht oft weder dem Gerätenamen noch dem Namen des Programms, das ihn installiert hat.
Die vier Diagnosewege in sinnvoller Reihenfolge
- Warnungsdetails lesen: Suche nach Dateiname, Pfad, Anbieter oder Hinweis auf eine Sicherheitsfunktion.
- Ereignisanzeige auswerten: Ermittle, ob Windows die Datei beim Laden wegen Integritäts- oder Richtlinienprüfungen zurückgewiesen hat.
- Datei einem Treiberpaket und Gerät zuordnen: Nutze Geräte-Manager, PnPUtil oder PowerShell, ohne das System zu verändern.
- Ursache bestätigen: Prüfe Signatur, Anbieter, Installationszeitpunkt und die Art der Sicherheitsblockierung, bevor du handelst.
Diese Reihenfolge verhindert, dass ein alter Treiber gelöscht wird, obwohl er zu einem weiterhin benötigten Gerät gehört. Sie hilft außerdem bei Treibern, die von Sicherungssoftware, VPN-Programmen, RGB-Steuerungen, Hardwareüberwachung oder Virtualisierungssoftware installiert wurden und deshalb nicht sofort im Geräte-Manager auffallen.
Den blockierten Dateinamen in der Ereignisanzeige finden
Die Ereignisanzeige ist besonders nützlich, wenn das Benachrichtigungsfenster verschwunden ist oder nur einen verkürzten Hinweis zeigte. Drücke Windows-Taste + R, gib eventvwr.msc ein und bestätige. Navigiere anschließend zu Anwendungs- und Dienstprotokolle > Microsoft > Windows > CodeIntegrity > Operational.
Suche zeitlich passende Warnungen und Fehler. Öffne einen Eintrag und lies sowohl die allgemeine Beschreibung als auch die Detailansicht. Je nach Ereignis können dort der vollständige Pfad, eine .sys-Datei, Signaturinformationen oder Hinweise auf eine Richtlinie stehen. Der protokollierte Wortlaut ist wichtiger als eine pauschale Deutung anhand des Ereignistyps.
Fehlt im CodeIntegrity-Protokoll ein passender Eintrag, kontrolliere unter Windows-Protokolle > System Ereignisse zum gleichen Zeitpunkt. Relevante Quellen können unter anderem auf Geräteinstallation, Kernel-PnP oder den Dienststeuerungs-Manager hinweisen. Ein Startfehler eines Treiberdienstes ist allerdings noch kein Beweis für eine Sicherheitsblockierung: Auch ein nicht angeschlossenes Gerät, eine fehlende Abhängigkeit oder ein beschädigtes Paket kann einen solchen Eintrag erzeugen.
So wertest du das Ergebnis aus
- Stehen Dateipfad und Hinweis auf Integrität oder Signatur im CodeIntegrity-Protokoll, ist eine sicherheitsbedingte Zurückweisung wahrscheinlich.
- Erscheint der Fehler nur bei Installation oder Geräteanschluss, sollte zusätzlich das Geräteinstallationsprotokoll geprüft werden.
- Wird lediglich ein Dienststartfehler protokolliert, ermittle zunächst den Dienst und seinen Dateipfad. Lösche die Datei nicht auf Verdacht.
- Fehlt rund um den Zeitpunkt jeder passende Eintrag, reproduziere die Meldung einmal kontrolliert und aktualisiere danach die Ereignisanzeige.
Von der SYS-Datei zum Anbieter und Gerät
Ein Dateiname allein beantwortet noch nicht, welches Produkt betroffen ist. Verwende zuerst auslesende Werkzeuge. Sie verändern weder Treiberpakete noch Sicherheitseinstellungen.
Installierte Fremdtreiber mit PnPUtil auflisten
Öffne Windows-Terminal oder eine Eingabeaufforderung als Administrator und führe folgenden Befehl aus:
pnputil /enum-driversDie Ausgabe nennt installierte Treiberpakete aus dem Treiberspeicher. Achte auf die Felder für den veröffentlichten Namen, den ursprünglichen Namen, den Anbieter, die Geräteklasse sowie Versions- und Datumsangaben. Der veröffentlichte Name hat gewöhnlich die Form oemNN.inf. Er ist für eine spätere Paketverwaltung wichtig, aber nicht mit der gesuchten .sys-Datei gleichzusetzen.
PnPUtil zeigt vor allem paketbezogene Angaben. Falls sich der Dateiname dadurch nicht eindeutig zuordnen lässt, nutze die folgenden Prüfungen. Entferne an dieser Stelle noch kein Paket.
Laufende und registrierte Treiber per PowerShell durchsuchen
Ist der Name der Treiberdatei bekannt, kann PowerShell die registrierten Systemtreiber nach diesem Bestandteil durchsuchen. Ersetze beispiel.sys durch den tatsächlich angezeigten Namen:
Get-CimInstance Win32_SystemDriver | Where-Object { $_.PathName -match 'beispiel\.sys' } | Format-List Name,DisplayName,State,StartMode,PathNameDieser Befehl liest Informationen aus. Eine Ausgabe nennt den internen Dienstnamen, den Anzeigenamen, den Status, den Startmodus und den registrierten Pfad. Bleibt die Ausgabe leer, kann der Treiber trotzdem als Paket vorhanden sein, ohne als passender Systemtreiber registriert oder geladen zu sein. Außerdem kann der gespeicherte Pfad anders dargestellt werden, als es die Warnung erwarten lässt.
Für eine allgemeine Übersicht eignet sich auch:
driverquery /v /fo listDie Ausgabe kann lang sein. Suche im Terminal nach dem bekannten Dateinamen oder dem vermuteten Modulnamen. Der Befehl hilft bei registrierten Treibermodulen, bildet aber nicht jedes unvollständig installierte Paket zuverlässig ab.
Das Gerät im Geräte-Manager bestätigen
Öffne den Geräte-Manager und wähle im Menü Ansicht die Anzeige ausgeblendeter Geräte. Prüfe besonders die Geräteklasse, die PnPUtil genannt hat. Öffne die Eigenschaften eines verdächtigen Geräts und kontrolliere unter Treiber die Felder Anbieter, Datum und Version. Über die Treiberdetails lässt sich erkennen, welche Dateien dem Gerät zugeordnet sind.
Stimmt die dort aufgeführte .sys-Datei mit der blockierten Datei überein, ist die Zuordnung belastbar. Taucht sie bei mehreren Geräten auf, handelt es sich möglicherweise um einen gemeinsam verwendeten Filter- oder Bustreiber. In diesem Fall darf nicht nur eines der sichtbaren Geräte als alleinige Ursache angesehen werden.
Das Geräteinstallationsprotokoll als zweite Beweisspur
Windows protokolliert Geräte- und Treiberinstallationen in einer Textdatei. Der Pfad lautet:
C:\Windows\INF\setupapi.dev.logÖffne die Datei mit einem Texteditor und suche nach dem Treiberdateinamen, dem INF-Namen aus PnPUtil oder dem Anbieter. Relevante Abschnitte enthalten Zeitstempel und können zeigen, wann ein Paket installiert, aktualisiert, ausgewählt oder abgelehnt wurde.
Die Protokolldatei enthält viele ältere Vorgänge. Ein Treffer belegt daher nur dann einen Zusammenhang mit der aktuellen Warnung, wenn Zeitpunkt, Hardwarekennung oder INF-Paket dazu passen. Suche nicht nur nach Wörtern wie Fehler, sondern lies den gesamten zugehörigen Installationsabschnitt. Einzelne Zeilen können Zwischenschritte beschreiben, obwohl der Vorgang später erfolgreich abgeschlossen wurde.
Welche Ursache hinter der Blockierung steckt
Speicherintegrität oder Schutz vor anfälligen Treibern
Windows 11 kann Treiber zurückweisen, die mit virtualisierungsbasierter Sicherheit nicht vereinbar sind oder als riskant bewertet werden. Eine gültige digitale Signatur allein garantiert nicht, dass ein Treiber unter diesen Schutzmechanismen zugelassen wird. Ist die Warnung unmittelbar beim Aktivieren der Speicherintegrität erschienen, prüfe die dort angezeigten inkompatiblen Treiber und gleiche die Dateinamen ab.
Eine weitere mögliche Ursache ist die Microsoft-Sperrliste für anfällige Treiber. Sie richtet sich gegen bekannte verwundbare Treiberversionen, die trotz legitimer Herkunft missbraucht werden könnten. In diesem Fall ist eine neuere, für das Gerät freigegebene Version die bevorzugte Lösung. Das Abschalten der Schutzfunktion sollte nicht als reguläre Reparatur behandelt werden.
Ungültige, beschädigte oder nicht akzeptierte Signatur
Windows prüft beim Laden sicherheitsrelevante Eigenschaften einer Treiberdatei. Eine beschädigte Datei, eine unpassende Paketstruktur oder eine nicht akzeptierte Signatur kann zur Zurückweisung führen. Öffne bei einer vorhandenen Datei deren Eigenschaften und prüfe, ob eine Registerkarte für digitale Signaturen vorhanden ist. Fehlt sie, beweist das allein noch keine Manipulation; nicht jede Datei stellt Informationen auf identische Weise dar.
Für eine systemweite Signaturprüfung kannst du Windows-Taste + R drücken und sigverif starten. Das Werkzeug sucht nach nicht digital signierten Systemdateien. Es erklärt jedoch nicht jede Richtlinienblockierung und ersetzt deshalb nicht das CodeIntegrity-Protokoll.
Windows- oder Unternehmensrichtlinie
Auf Firmen-PCs können Windows Defender Application Control, Sicherheitsbaselines oder andere Verwaltungsrichtlinien festlegen, welche Treiber geladen werden dürfen. Eine lokale Administratorberechtigung hebt solche Regeln nicht zwangsläufig auf. Hinweise sind ein verwaltetes Geschäfts- oder Schulkonto, Richtlinienmeldungen in Windows-Sicherheit oder CodeIntegrity-Einträge mit Bezug auf eine Richtlinie.
Bei einem verwalteten Gerät solltest du Dateiname, Ereigniszeit, Gerätebezeichnung und Protokolltext an die IT-Administration übergeben. Eigenmächtiges Entfernen oder Umgehen der Richtlinie kann Anwendungen und Hardware außer Betrieb setzen.
Veraltete Software ohne sichtbares Gerät
Treiber stammen nicht ausschließlich von klassischer Hardware. VPN-Clients, Virenschutzprogramme, Datenträgerwerkzeuge, Virtualisierungslösungen und Systemprogramme können eigene Filtertreiber installieren. Wurde die zugehörige Anwendung bereits entfernt, kann ein Treiberrest zurückbleiben.
Prüfe in diesem Fall den Herausgeber des Pakets, den Installationszeitpunkt und installierte Anwendungen desselben Anbieters. Verwende nach Möglichkeit zuerst die Reparatur- oder Deinstallationsfunktion der zugehörigen Software. Das isolierte Löschen einer Datei aus C:\Windows\System32\drivers ist keine saubere Deinstallation und kann einen nicht startenden Dienst oder weitere Fehler hinterlassen.
Aus dem Diagnoseergebnis die passende Maßnahme ableiten
- Gerät und Anbieter sind eindeutig: Beziehe den freigegebenen Treiber über Windows Update, die Support-Rubrik des PC- oder Geräteherstellers oder dessen Installationsprogramm. Bei Notebooks und Komplett-PCs kann die OEM-Freigabe wichtiger sein als ein allgemeines Referenzpaket.
- Der Treiber gehört zu entfernter Software: Installiere die passende Anwendung bei Bedarf erneut und entferne sie anschließend über ihre reguläre Deinstallation. Manche Hersteller bieten ein eigenes Bereinigungswerkzeug an.
- Nur der Dateiname ist bekannt: Nimm noch keine Löschung vor. Ergänze die Zuordnung über Ereignisprotokoll, PowerShell, PnPUtil und Geräte-Manager.
- Die Sperre folgt aus einer Firmenrichtlinie: Übergib die protokollierten Daten an die zuständige IT. Eine lokale Umgehung ist weder dauerhaft noch verlässlich.
- Das Gerät wird weiterhin benötigt, aber es gibt keinen geeigneten Treiber: Verwende das Gerät vorerst nicht oder trenne es, bis der Hersteller eine kompatible Lösung nennt. Bei älterer Hardware kann ein Austausch erforderlich sein.
Vor einer Treiberentfernung sollten wichtige Daten gesichert sein. Bei systemnahen Speicher-, Chipsatz-, Sicherheits- oder Eingabetreibern ist besondere Zurückhaltung geboten. Ein scheinbar ungenutztes Paket kann für Start, Anmeldung, Datenträgerzugriff oder angeschlossene Peripherie erforderlich sein.
Nach der Korrektur den Erfolg sauber prüfen
Starte Windows neu, wenn die Installation oder Deinstallation dies verlangt. Öffne danach den ursprünglichen Sicherheitsbereich und prüfe, ob die Meldung verschwunden ist, ohne dass eine Schutzfunktion abgeschaltet wurde. Kontrolliere außerdem im Geräte-Manager, ob das betroffene Gerät fehlerfrei angezeigt wird und seine Funktionen tatsächlich verfügbar sind.
Sieh anschließend erneut in das CodeIntegrity-Protokoll. Ein alter Ereigniseintrag bleibt gespeichert und ist kein Zeichen dafür, dass die Sperre weiterhin aktiv ist. Maßgeblich ist, ob nach Neustart und Nutzung des Geräts neue passende Fehler mit aktuellem Zeitstempel entstehen.
Bleibt die Warnung trotz aktualisiertem Treiber bestehen, vergleiche den protokollierten Pfad und die Dateiversion. Möglicherweise existiert noch eine zweite Kopie, ein weiteres Treiberpaket oder eine zugehörige Altsoftware. Stimmen dagegen Dateiname, Anbieter und Paket nicht eindeutig überein, sollte die Diagnose beendet werden, bevor Dateien oder Pakete entfernt werden. Für eine sichere Eskalation reichen vier Angaben: vollständiger Meldungstext, Name und Pfad der .sys-Datei, zugehöriger INF- beziehungsweise Anbietername und der zeitlich passende CodeIntegrity-Eintrag.
