„Der Computer wurde durch Windows geschützt“: Was die SmartScreen-Warnung bedeutet und wie sie verschwindet

Sie liefern eine Setup.exe aus, ein Kunde lädt sie herunter, und Windows zeigt ein blaues Fenster: „Der Computer wurde durch Windows geschützt. Von Microsoft Defender SmartScreen wurde der Start einer unbekannten App verhindert.“ Die App ist in Ordnung. Der Installer ist in Ordnung. Was ist passiert, und was können Sie dagegen tun?

Was SmartScreen prüft

SmartScreen ist ein Reputationsdienst. Wird eine aus dem Internet heruntergeladene Datei ausgeführt, fragt Windows bei Microsoft nach, ob diese Datei oder das Zertifikat, mit dem sie signiert ist, bekannt und vertrauenswürdig ist. Drei Dinge bestimmen die Antwort:

1. Codesignatur. Ob die Datei mit einem Zertifikat einer Zertifizierungsstelle signiert ist, der Windows vertraut, und ob dieses Zertifikat (der „Herausgeber“) eine Historie hat.
2. Download-Reputation. Wie viele Personen genau diese Datei heruntergeladen und ausgeführt haben und ob etwas Negatives darüber gemeldet wurde.
3. Bekannte Bedrohungen. Ob die Datei zu bekannter Malware passt. Falls ja, wird sie komplett blockiert, mit einem roten statt einem blauen Bildschirm.

Ein brandneuer Installer eines kleinen Herausgebers fällt bei den ersten beiden Prüfungen allein deshalb durch, weil er neu ist. Die Warnung spricht von „unbekannt“, was buchstäblich zutrifft, und Nutzer können auf Weitere Informationen → Trotzdem ausführen klicken. Viele tun das nicht.

Was die Warnung verschwinden lässt

Reputation wächst mit der Zeit

Ein unsignierter Installer gewinnt an Reputation, je mehr Menschen ihn ohne Zwischenfälle herunterladen und ausführen. Bei einem beliebten Download dauert das Tage oder Wochen; bei einem Nischenwerkzeug kann es sehr lange dauern, und jede neue Version beginnt wieder bei null, weil die Datei eine andere ist.

Codesignatur, und warum sie alles ändert

Wer den Installer mit einem Codesignaturzertifikat signiert, verknüpft ihn mit seiner Identität. Die Reputation sammelt sich dann beim Zertifikat an, nicht bei jeder einzelnen Datei, sodass eine neue Version das Vertrauen der vorherigen erbt. Das ist die Standardlösung.

Ihre Optionen:

• Ein Standard-Codesignaturzertifikat (OV) einer öffentlichen CA (DigiCert, Sectigo, GlobalSign und Reseller). Seit 2023 werden diese auf Hardware-Tokens oder Cloud-HSMs ausgestellt. Rechnen Sie mit einigen hundert Dollar pro Jahr. Die Reputation beginnt weiterhin niedrig und wächst mit den Downloads, bleibt aber über Versionen hinweg erhalten.
• Ein EV-Codesignaturzertifikat. Strengere Identitätsprüfung, höherer Preis. Diese erhielten früher schneller eine gute SmartScreen-Reputation. Microsoft hat diesen Vorteil mit der Zeit verringert, betrachten Sie EV also als „bessere Identitätsprüfung“ und nicht als garantierten Freifahrtschein.
• Azure Trusted Signing. Microsofts eigener Signaturdienst, monatlich abgerechnet und für Einzelpersonen und kleine Unternehmen in unterstützten Regionen gedacht. Er signiert mit kurzlebigen Zertifikaten, die an Ihre verifizierte Identität gebunden sind, und SmartScreen behandelt ihn wohlwollend.

Wofür Sie sich auch entscheiden: Versehen Sie die Signatur mit einem Zeitstempel, damit sie nach Ablauf des Zertifikats gültig bleibt.

Einen ExeTup-Installer signieren

ExeTup erstellt den Installer; das Signieren ist Ihr Schritt, denn das Zertifikat gehört Ihnen. Nach dem Herunterladen der Setup.exe:

Unter Windows, mit dem Windows SDK:

signtool sign /fd SHA256 /tr http://timestamp.digicert.com /td SHA256 /a Setup.exe

Unter macOS oder Linux, mit osslsigncode:

osslsigncode sign -pkcs12 cert.pfx -pass "..." -t http://timestamp.digicert.com -h sha256 -in Setup.exe -out Setup-signed.exe

NSIS-Installer akzeptieren eine Authenticode-Signatur ohne besondere Behandlung. Signieren Sie auch die .exe Ihrer eigenen App, bevor Sie sie zippen, damit das Programm, das die Nutzer starten, ebenfalls signiert ist. Rechtsklick auf die signierte Datei → Eigenschaften → Digitale Signaturen zum Überprüfen.

Was Sie Nutzern in der Zwischenzeit sagen können

Wenn Sie noch nicht signieren, hilft ein kurzer Hinweis auf Ihrer Download-Seite: dass die Warnung bei neuer Software kleiner Herausgeber erscheint, dass der Installer sicher ist und dass ein Klick auf Weitere Informationen → Trotzdem ausführen ihn installiert. Veröffentlichen Sie den SHA-256-Hash der Datei, damit vorsichtige Nutzer den Download prüfen können. ExeTup zeigt den Hash jedes Builds neben seinem Download an.

Hosten Sie den Download außerdem auf Ihrer eigenen Domain über HTTPS und behalten Sie für dieselbe Version dieselbe Datei bei. Das erneute Hochladen geänderter Dateien setzt die Download-Reputation zurück.

Was nicht hilft

• Die Datei umbenennen, zippen oder das Icon ändern. Reputation gilt pro Datei-Hash und pro Zertifikat.
• Selbstsignierte Zertifikate. Windows vertraut ihnen nicht, die Warnung bleibt also, und die Signatur wirkt schlechter als gar keine.
• Nutzer bitten, SmartScreen abzuschalten. Das sollten sie nicht, und die meisten tun es auch nicht.

Häufige Fragen

Wird mein Installer als Virus eingestuft?

Nein. Der blaue Bildschirm „Der Computer wurde durch Windows geschützt“ bedeutet „unbekannt“, nicht „bösartig“. Ein roter Bildschirm mit „Diese App wurde zu Ihrem Schutz blockiert“ ist ein Malware-Urteil, und das ist ein anderes Problem.

Zeigt jede neue Version die Warnung erneut?

Bei unsignierten Installern ja, weil jede Version eine neue Datei ist. Bei signierten Installern folgt die Reputation dem Zertifikat, sodass spätere Versionen mit dem Vertrauen starten, das die früheren aufgebaut haben.

Signiert ExeTup die Installer?

Derzeit nicht. Signieren Sie die heruntergeladene Setup.exe mit Ihrem eigenen Zertifikat per signtool oder osslsigncode. Der Installer akzeptiert die Signatur wie jede andere ausführbare Windows-Datei.

Erscheint die Warnung auch beim Deinstallationsprogramm?

Das Deinstallationsprogramm wird von der lokalen Festplatte ausgeführt und nicht heruntergeladen, daher prüft SmartScreen es nicht. Bei Installationen für alle Benutzer sehen Nutzer stattdessen möglicherweise die übliche Abfrage der Benutzerkontensteuerung.