Windows Sicherheit meldet: Virenschutz aktivieren

[DK2000]

Im Retail kam die noch nicht, jedenfalls nicht bei mir. Die müsste ich nur im Insider haben. Muss ich mal schauen, wo die Installiert wurde.

Ich sehe gerade, Du hast die 25H2 Beta installiert. Gut, da kommt dann auch schonmal die Beta der App. Muss ich mal schauen, was die bei mir so triebt.

[Tante Google]

[Gast2025]

Frage zu Windows Defender logs
https://learn.microsoft.com/de-de/defen ... ostic-data
(MpCmdRun.exe -GetFiles)
Diagnoseprotokolldateien werden generiert, komprimiert und gespeichert.
Die resultierende .cab-Datei enthält die folgenden Informationen:
Alle Protokolldateien von Microsoft Antimalware Service.
Das Windows Update Verlaufsprotokoll.
Alle Microsoft Antimalware-Dienstereignisse aus dem Systemereignisprotokoll.
Alle relevanten Microsoft Antimalware-Dienstregistrierungsspeicherorte.
Die Protokolldatei von MpCmdRun.
Die Protokolldatei des Signaturupdatehilfstools.

Wäre nun interessant, welche Ergebnisse man mit der entpackten CAB ermitteln/auswerten kann,
insofern sie erstellt werden kann - wenn der Defender "Build übergreifend" nicht so möchte wie er sollte.
Kleine Anmerkung: Hat mit den CBS logs zur Fehlersuche nichts zu tun.

[DK2000]

Ich habe das mal in dr 25H2 Beta (26220) getestet und da kam bei mir die App in der Version 10.0.29628.1000 noch nicht an. Aber das hat nichts zu sagen. Vorabversionen der Apps werden in den Insider Kanälen nicht an Alle gelichzeitig verteilt. Kann auch sein, dass sie zurückgezogen wurde. Keine Ahnung. Ich habe da keine Übersicht, was die Apps angeht. Bei mir ist in der Beta jedenfalls noch die 10.0.29554.1001 installiert und kommt bis jetzt auch nichts Neues.
---
In der 26H1 Release Preview hat er mir die 10.0.29628.1000 installiert zusammen mit Antimalware-Clientversion 4.18.26070.7 und es kommt zur besagten Meldung.

[Micha57]

Microsoft arbeitet daran: https://www.deskmodder.de/blog/2026/08/ ... ntersucht/

[DK2000]

Wobei das interessante dabei ist, dass das Problem bei mir die ganze Zeit verschwunden war. Und im Moment tritt es wohl auch noch nicht bei mir wieder auf. Installiert ist der Antimalware-Clientversion 4.18.26070.9. Und nach dem Update trat es nicht mehr auf. Mal beobachten.

Ah ja:

25H2 Retail -> Antimalware-Clientversion: 4.18.26070.9 -> Bislang alles gut
25H2 Release Preview -> Antimalware-Clientversion: 4.18.26080.3 - Problem tritt auf.

In der Release Preview kam auch dieses Update:

Update für Windows Security platform - KB5007651 (Version 10.0.29646.1000)

Ich muss ich gleich mal schauen, was in er Retail da noch installiert ist.

Scheint bei mr dann wohl nur die Vorabversion der Antimalware Platform aufzutreten.

[Osahashi]

Seit neuestem taucht bei mir im Event Log diese Meldung hier auf und ich frage mich, ob es evtl. mit dem aktuellen Defender Problem zusammenhängen könnte:

Session "DefenderApiLoggerLowPriv" failed to start with the following error: 0xC0000035

[Micha57]

Das scheint durchaus mit dem Defenderfehler zusammen zu hängen. Das weiß Gemini darüber, wobei der letzte Satz Entwarnung gibt:

"Ereignis-ID 2 von der Quelle Kernel-EventTracing besagt, dass eine ETW-Ablaufverfolgungssitzung gestoppt wurde, weil ein Fehler aufgetreten ist – bei DefenderApiLoggerLowPriv ist das in der Regel der Fehlercode 0xC0000022 (STATUS_ACCESS_DENIED) oder 0xC0000188 (STATUS_LOG_FILE_FULL).

Die konkreten Ursachen bei ID 2:

Datei-/Pufferlimit erreicht (0xC0000188): Die Sitzung hat die maximal zulässige Größe der Log-Datei oder des Arbeitsspeicher-Puffers überschritten. Das System stoppt die Aufzeichnung automatisch, um Speicherplatz zu schonen.

Rechte-Konflikt / Zugriffsverweigerung (0xC0000022): Da DefenderApiLoggerLowPriv gezielt Aktivitäten von Prozessen mit geringen Rechten (AppContainer/Sandbox) überwacht, versucht die Sitzung gelegentlich, System-Events aus einem Kontext zu schreiben, der die Sicherheitsgrenzen der Low-Privilege-Umgebung verletzt.

Neustart des Defender-Dienstes: Wenn der Defender-Dienst seine Interna neu lädt (z. B. nach einem Signatur- oder Engine-Update), beendet er die bestehende Logger-Sitzung hart, was Windows als ID 2 protokolliert, bevor er sie neu startet.

Bewertung:

Das Ereignis ist eine reine System-Benachrichtigung. Sobald die Puffer geleert sind oder der Dienst die Sitzung neu initialisiert, läuft der Schutz im Hintergrund automatisch weiter. Du musst hierbei nichts unternehmen."

[DK2000]

Das sind aber alles andere Fehler.

0xC0000035 = STATUS_OBJECT_NAME_COLLISION
The object name already exists.

Hier wird versucht, eine weitere Sitzung vom "DefenderApiLoggerLowPriv" zu starten, obwohl diese bereits gestartet wurde bzw. versucht wurde, zwei Instanzen parallel zu starten.

Ob und wie das mit dem jetzigen Problem zusammenhängt, kann ich nicht sagen. Wenn, dann ist es aber nur eine Folge des Problems, nicht die Ursache. Müsste man mal beobachten, was passiert, wenn das Problem endlich mal behoben wird oder eine ältere Definition installieren.

[moinmoin]

Eine KI in solchen Fällen zu fragen, ist eh sehr "waghalsig".

[Micha57]

Eine KI in solchen Fällen zu fragen, ist eh sehr "waghalsig".

Hab die Antwort auch nur gepostet, weil meine und deren Einschätzung war: "Nix tun!" (Hätte sie vorgeschlagen, unbedingt regedit zu starten und dann..., dann ganz sicher nicht!)

[DK2000]

Musst halt dabei achten, dass Du die Frage präzise genug stellst und bei der Antwort dann auch darauf achten, dass es einen direkten Zusammenhang mit dem Fehler gibt.

Wenn ich den Fehlertext 1:1 bei mir in Gemini eingebe, erhalte ich das als Antwort:

This error (0xC0000035) translates to STATUS_OBJECT_NAME_COLLISION. It occurs because Windows is trying to start the DefenderApiLoggerLowPriv Event Trace Log (ETW) session, but a log file or trace session with the exact same name or instance is already running or locked in memory.

This usually happens after a system crash, an improper shutdown, or a minor glitch in Windows Defender's telemetry updates

.
Oder auf Deutsch:

Der Fehler 0xC0000035 steht für STATUS_OBJECT_NAME_COLLISION. Das bedeutet, dass Windows versucht, die Ereignisablaufverfolgung (ETW) für DefenderApiLoggerLowPriv zu starten, aber die entsprechende Trace-Sitzung oder eine dazugehörige Logdatei bereits im Arbeitsspeicher blockiert oder im System vorhanden ist.

Dies tritt häufig nach unerwarteten Neustarts, Systemabstürzen oder Updates von Microsoft Defender auf.

[Osahashi]

Hoffentlich kriegen die ihre Defender Probleme bald in den Griff, ist ja peinlich was Microsoft da tut. Geändert habe ich soweit nichts, die Meldung kann vielleicht durch das Update KB5124008 diese Woche irgendwie zu Stande gekommen sein.

[Micha57]

Der Fehler 0xC0000035 tritt bei mir seit mindestens dem 21.07. auf, aber KB5124008 habe ich erst vorgestern installiert.

[seipe]

Seit 26H2 26.300.9539 vorerst keine Probleme. Defender 1.459.160.0 Plattform 4.18.26080.4.

[DK2000]

Gut, kann sein, dass das Update auf die Platform 4.18.26080.4 das Problem vorerst löst. Bei mir kam das noch nicht an, Bin noch auf der 4.18.26080.3.