Geschützte Registrierdatenbankeinträge lassen sich ganz easy mit einem passenden PE von extern ändern.
Dazu benötigst du allerdings ggf. Kenntnis und Befugnis für das BIOS und ebenso Bitlocker.
Du startest ein normales Windows-Setup, wechselst statt 'Jetzt Installieren' in die Eingabeaufforderung und startest dort regedit.
Ich weiß jetzt nicht welchen Zweig du da editieren willst, ich vermute mal Software oder System.
Dazu markierst du im Explorer HKLM, klappst dann oben Datei auf und wählst 'Struktur laden'.
Wählst dann in dem Windows, welches du modifizieren willst den Ordner Windows/system32/config und da die entsprechende Datei System oder Software. Diese Datenstruktur ist bei allen Windowsen gleich.
Man kann also auch ggf. mit einem 2. Rechner sich bei der Suche oder Pfad-Texteingabe absichern.
Dieser Struktur gibst du einen Bezeichner mit Wiedererkennungswert.
Dort suchst du dann den gewünschten Zweig und machst dort deine Änderungen.
Danach die Struktur wieder entfernen, das PE beenden und diene Aktionen prüfen.
So lässt sich auch der Startparameter des Diagnoserichtlinendienst bei einem Windows11 von 2 auf 4 setzten.
Dannach bleibt im Taskmanager der Reiter App-Verlauf leer.

[quote]Den Remover hatte ich seinerzeit über folgende, sehr interessante Seite entdeckt: https://www.borncity.com/blog/2023/09/2 ... schaltbar/[/quote]

BornCity ...ist uns natürlich nicht unbekannt. Eine der besten Anlaufstellen, wenn es einem an schön schauriger Windows/Microsoft-Gute-Nacht-Lektüre dürstet. Da zieht mich nicht viel hin ...ich schlaf auch so ganz gut. ;)

Der Remover ist für das beschriebene Vorhaben aber sicher die bessere Alternative als per PowerRun die Registry zu beackern. Somit ja gut, wenn man seinem Ziel letztendlich auf die unkompliziertere Art näher kam.

Danke für die schnelle Hilfe. Es ging eigentlich um die vollständige Deaktivierung des Defender auf meinem Zweitrechner. Die zugehörigen Registry-Einträge sind sind ja nicht ohne Grund geschützt. Auf meinem Hauptrechner mußte ich dafür garnicht auf die Reg zugreifen, sondern habe die Zecke erfolgreich mit dem [url=https://github.com/ionuttbara/windows-defender-remover]DefenderRemover[/url] vollständig entfernt, was mir auf dem Zweitrechner allerdings mißlang. Aus unerfindlichen Gründen startete der Rechner nicht mehr. Ich konnte aber auf eine Sicherung zurückgreifen und ließ das Thema erstmal sein. Nun hat dieser verdammte Defender trotz Deaktivierung in den normalen Windowseinstellungen wiederholt in meine Dateien eigegriffen und ich mußte feststellen, daß trotz Deaktivierung die Dienste und Anwendungen des Defender munter weiter laufen.

Die Deaktivierung der einzelnen Dienste über die geschützten Reg-Schlüssel ist eigentlich der schlechteste Weg, wenn es dafür ein wirksamers Tool gibt. Den Remover hatte ich seinerzeit über folgende, sehr interessante Seite entdeckt: https://www.borncity.com/blog/2023/09/25/windows-11-microsoft-defender-nicht-mehr-abschaltbar/

Letzlich habe ich heute mein Sicherungsimage aktualisiert und es nochmal mit dem Remover versucht. Diesmal fehlerfrei und mit sauberen Neustart. Jetzt kann mich die Zecke Defender nicht mehr bei meiner Arbeit stören. PowerRun werde ich dennoch behalten, Deine Mühe war also ganz sicher nicht umsonst. ;)

Im Screenshot kannst du den von dir gesuchten Eintrag (roter Pfeil) bezüglich des RegistryEditors sehen. Per Doppel-Klick, Kontextmenü oder Schaltfläche "Eintrag Ausführen" kannst du den Editor dann mit den Berechtigungen "System" öffnen.

Die entsprechenden "Zielparameter", wenn man sie nicht ohnehin kennt, findet man leicht ...z.B.:
Suche > "reg" eingeben > Registrierungs-Editor > Dateispeicherort öffnen > Verknüpfung Registrierungs-Editor > Kontextmenü > Eigenschaften > [b]Ziel[/b]


[attachment=1]PowerRun.png[/attachment]



Hat man den Registry-Editor normal (ohne höhere Berechtigungen) geöffnet und will einen Schlüssel separat manipulieren, kann man dessen [b]Schlüssselnamen [/b]auch kopieren und als eben einzelnen Schlüssel in PowerRun eingeben (handelt es sich um einen Unterschlüssel muss ggf. die Schlüsselinstanz darüber ausgewählt/kopiert werden). Dann sind die erhöhten Berechtigungen auf den gewählten Schlüssel (+ Unterschlüssel) beschränkt.

[b]Ggf. ist diese Vorgehensweise zu bevorzugen.[/b] Steuert man einzelne Schlüssel (bzw. die nächst höhere Schlüsselinstanz) gezielt/separat an, übernimmt PowerRun teilweise zuverlässiger die Kontolle über entsprechende Schlüssel - so zumindest meine persönliche Erfahrung.

Hier noch ein Screenshot dazu:


[attachment=0]PowerRun2.png[/attachment]

Ich möchte die Berechtigung eines gesperrten Registry-Schlüssels ändern und habe dafür eine Hilfestellung gefunden:
https://www.deskmodder.de/wiki/index.php/Berechtigungen_in_der_Registry_%C3%BCbernehmen
In dem Artikel heißt es:
"Berechtigungen ändern mit PowerRun

Mit dem kleinen portablen Tool PowerRun startet man den Registry Editor gleich als "System" und nicht nur als "Administrator".
Wer Windows als x32 System hat, startet sie PowerRun.exe. Hat man Windows als x64 System nimmt man natürlich die PowerRun_x64.exe.

Möchte man nun ein Eintrag ändern:

Rechtsklick im linken Verzeichnisbaum dann auf Berechtigung,
Im neuen Fenster den Benutzer oder Administrator markieren und einen Haken bei Vollzugriff setzen
Übernehmen und OK und das war es auch schon."

Schön und gut, aber wie der Regeditor über Powerrun als System gestartet wird, ist leider nicht beschrieben.
Nach dem Start von Powerrun_64 zeigt der nur CMD, die Powershell und den Editor.
Nun kann ich zwar manuell den Regeditor bzw. Regedit_32.exe aus dem Ordner System32 hinzufügen.
doch ich kenne weder Parameter, noch einen Weg ihn als z.B. System ausführen zu lassen.
Wenn ich den so hinzugefügten Eintrag ausführe, bleiben Schlüssel und Berechtigungsänderung dennoch gesperrt.
Was übersehe ich hier?