Fehlschlag beim Start von Credential Guard durch VBS-Isolationsfehler

Question

Fehlschlag beim Start von Credential Guard durch VBS-Isolationsfehler

Gorki Maxim 20

Unsere Unternehmens-Laptops mit Windows für Unternehmen können den erweiterten Schutz über Credential Guard nicht mehr aktivieren.

Das Betriebssystem kann den Dienst während der Startphase nicht initialisieren, da die Virtualization-Based Security (VBS) aufgrund fehlender hardwarebasierter Isolationsfunktionen nicht geladen werden kann.

Weitere Konfigurationen über Gruppenrichtlinien stehen nicht zur Verfügung bzw. greifen nicht. Der LSA-Schutz ist auf den bereitgestellten Geräten ebenfalls nicht mehr nutzbar.

Fehlercode im Ereignisprotokoll: VBS isolation error Wir bitten um Unterstützung bei der Überprüfung bzw. Aktivierung der Hardware-Virtualisierungseinstellungen im System-BIOS, um den Schutz über Credential Guard wiederherzustellen.

0 Kommentare

1 Antwort

Ihre Antwort

Answer 1

Hallo Gorki Maxim,

auf Grundlage der Fehlermeldung "VBS isolation error" würde ich zunächst prüfen, ob die für Credential Guard erforderlichen Firmware-Funktionen tatsächlich aktiviert sind. Neben Secure Boot im UEFI-Modus müssen auch die Hardware-Virtualisierung (Intel VT-x bzw. AMD-V/SVM) sowie, abhängig von der Konfiguration, VT-d beziehungsweise IOMMU aktiviert sein. Fehlt eine dieser Komponenten, kann Virtualization-Based Security (VBS) nicht korrekt starten, wodurch Credential Guard deaktiviert bleibt.

Unter Windows lässt sich der aktuelle Status von VBS und Credential Guard schnell mit folgendem PowerShell-Befehl überprüfen:

Get-CimInstance -Namespace root\Microsoft\Windows\DeviceGuard -ClassName Win32_DeviceGuard

Zusätzlich würde ich kontrollieren, ob die Gruppenrichtlinie „Virtualisierungsbasierte Sicherheit aktivieren“ mit den tatsächlich verfügbaren Hardwarefunktionen übereinstimmt. In Unternehmensumgebungen tritt dieses Problem häufig auf, wenn die Richtlinie strengere Anforderungen vorgibt, als das BIOS bzw. UEFI des Geräts aktuell bereitstellt.

Können Sie das Laptop-Modell sowie die Ausgabe des oben genannten Befehls bereitstellen? Damit lässt sich relativ schnell feststellen, ob die Ursache im BIOS/UEFI, in der Richtlinienkonfiguration oder in der VBS-Konfiguration von Windows liegt. Wenn die Antwort hilfreich war, akzeptieren Sie sie bitte als Lösung.

Tracy Le.