Defekte Registry-Einträge sind vielen IT-Administratoren ein Dorn im Auge, und zwar fast seit dem Tag, an dem Microsoft das Registry-Konzept in Windows 3.1 eingeführt hat. Moderne Windows-Versionen sind in der Regel gut in der Lage, die Registry selbst zu verwalten. Unter einigen wenigen Umständen kann es jedoch dazu kommen, dass defekte Registry-Einträge Probleme verursachen. Wenn Sie sich fragen, wie man defekte Registry-Einträge repariert, lesen Sie diesen Leitfaden, um zu erfahren, was ein defekter Registry-Eintrag ist, welche Symptome er verursachen kann und wie man ihn repariert.
Defekte Registry-Einträge und ihre Ursachen identifizieren
Die Windows-Registry ist eine hierarchische Datenbank mit Einstellungen, die von Windows-Komponenten, -Treibern und -Anwendungen verwendet werden. Sie wurde 1992 eingeführt, um die umständliche Praxis der Verwendung separater Konfigurationsdateien für jeden Benutzer und jede Anwendung auf dem Rechner zu ersetzen. Die Registry besteht aus Hives, Schlüsseln und Werten. Hives sind eine Sammlung von Schlüsseln, die im Allgemeinen um ein einheitliches Konzept wie einen bestimmten Benutzer oder Computer herum aufgebaut sind. Schlüssel sind in etwa analog zu Ordnern, während Werte ähnlich wie einzelne Dateien sind. Alle diese Elemente sind in einer hierarchischen, baumartigen Struktur angeordnet.
Seit Version 3.1 enthält jede Version von Windows eine Registry, nur die Implementierung hat sich im Laufe der Zeit geändert. Auch Drittentwickler verwenden häufig die Registry, obwohl dies nicht vorgeschrieben ist. Der Varonis-Agent zum Beispiel speichert bestimmte untergeordnete Konfigurationseinstellungen als Registry-Werte. Wie bei anderen internen Komponenten von Windows hat Microsoft im Laufe der Jahre eine Reihe von Funktionen hinzugefügt, um die Registry sowohl zuverlässiger als auch sicherer zu machen. Die moderne Registry muss nicht regelmäßig aufgeräumt oder gewartet werden.
Kurzer Überblick: Was sind defekte Registry-Einträge?
Bei einem „defekten“ Registry-Eintrag handelt es sich einfach um einen oder mehrere Einträge in der Windows-Registry, die vom gewünschten Zustand eines bestimmten Benutzers, Systems oder einer bestimmten Anwendung abweichen. Dies kann bedeuten, dass ein bestimmter Schlüssel fehlt, ein Schlüssel-Wert-Paar anders ist als erwartet, Registry-Einträge doppelt vorhanden sind oder Registry-Einträge von einem Programm, das deinstalliert wurde, übrig geblieben sind. Da ein Großteil der Registry benutzer-, konfigurations- und gerätespezifisch ist, gibt es keine „korrekte“ Registry. Die Registry gilt als beschädigt oder defekt, wenn ein oder mehrere Einträge abnormales oder unerwünschtes Verhalten verursachen.
Wodurch werden sie verursacht?
Ein defekter Registry-Eintrag kann durch eine Vielzahl unterschiedlicher Szenarien verursacht werden, die von defekter Hardware bis hin zu Ransomware reichen. Die Registry ist in der Regel auf der lokalen Festplatte eines Computers gespeichert, sodass jede Beschädigung oder Änderung der Festplatte auch zu defekten Registry-Einträge führen kann. Ein Stromausfall während eines Windows-Updates kann beispielsweise zu einer unvollständigen Änderung der Registry führen, was unerwartete Ergebnisse zur Folge haben kann. Gelegentlich kann es vorkommen, dass bei der Deinstallation eines Programms oder Treibers die zugehörigen Registry-Schlüssel nicht entfernt werden, was zu „verwaisten“ Einträgen führt.
In manchen Fällen missbrauchen Malware und böswillige Hacker sogar die Registry. Viele Arten von Malware fügen der Registry einen Starteintrag hinzu, um bei jedem Hochfahren des Computers ihre bösartige Payload laden zu können. Einige nutzen die Registry sogar für ihren eigentlichen Zweck – die Speicherung von Konfigurationsparametern, die die Malware steuern. Die Änderung der Registry ist eine Angriffstechnik die von einer Reihe von Advanced Persistent Threat (APT)-Gruppen genutzt wird, um Verteidigungsmaßnahmen zu umgehen, einen Zielcomputer zu erkunden oder nach einer anfänglichen Kompromittierung Persistenz aufzubauen. Die Ransomware-Gruppe REvil ist beispielsweise dafür bekannt, Verschlüsselungsschlüssel eines angegriffenen Computers in der Windows-Registry zu speichern.
Auch falsch identifizierte oder beschädigte Hardware kann zu defekten Registry-Einträgen führen. Die neuesten Versionen von Windows können Registry-Einträge dynamisch beim oder sogar nach dem Start erstellen, um Funktionen wie Plug and Play zu unterstützen. Wenn das System die Hardware nicht genau erkennt, kann dies zu ungenauen Registry-Einträgen führen.
Defekte Registry-Einträge reparieren
Bevor Sie versuchen, defekte Registry-Einträge zu reparieren, sollten Sie sicher sein, dass es einen zwingenden Grund dafür gibt, dies zu tun. Änderungen an der Registry können einen Computer vollständig unbrauchbar machen, sodass eine komplette Neuinstallation von Windows erforderlich wird. Weitere mögliche Komplikationen sind instabiler Betrieb, nicht funktionierende Anwendungen, Datenverlust und mehr.
Microsoft hat die Registry als interne Komponente von Windows entwickelt und niemals vorgesehen, dass Endbenutzer auf ihre Inhalte zugreifen oder sie bearbeiten. Änderungen an der Registry zum Zweck der Optimierung oder Leistungssteigerung sind nicht empfehlenswert und schaden meist mehr als sie nützen. Prozessorgeschwindigkeiten, Speicherkapazität und Speicherplatz sind deutlich schneller gestiegen als die Größe oder Komplexität der Registry. Die neueren Versionen von Windows verfügen über Millionen von Schlüsseln. Dennoch entspricht die gesamte Größe der Registry nur einem kleinen Bruchteil der Größe eines einzelnen HD-Films. Defekte Registry-Einträge zu entfernen, um mehr Speicherplatz zu schaffen, ist also so, als würde man mithilfe einer Wasserflasche mit einem vollgelaufenen Keller fertig werden wollen.
Wenn Sie sich vollkommen sicher sind, dass defekte Registry-Einträge behoben werden müssen, gibt es dafür mehrere Methoden:
Methode 1: Systemwiederherstellungspunkt
Zum Zeitpunkt des Verfassens dieses Leitfadens empfiehlt Microsoft bei allen Arten von Registry-Fehlern, einschließlich defekter Registry-Einträge, die Verwendung der in Windows integrierten Funktion Systemwiederherstellungspunkt. Dabei wird ein früherer Schnappschuss des gesamten Systems, einschließlich der Registry, wiederhergestellt. Dies ist oft eine wirksame Lösung für Probleme, aber nur dann eine Option, wenn bereits frühere Wiederherstellungspunkte existieren. Einige Windows-Versionen erstellen Wiederherstellungspunkte automatisch vor größeren Ereignissen wie System-Upgrades, aber Sie können auch jederzeit manuell Wiederherstellungspunkte erstellen. In beiden Fällen muss der Systemschutz für das betreffende Laufwerk aktiviert werden. Dazu klicken Sie auf der Registerkarte „Systemschutz“ der Systemeigenschaften auf „Konfigurieren“:
Diese Methode wirkt sich nicht auf persönliche Dateien aus und kann defekte Registry-Einträge für Anwendungen von Drittanbietern korrigieren. Einträge, die von Malware oder Hackern hinzugefügt wurden, können ebenfalls entfernt werden, vorausgesetzt, der Zeitpunkt des Wiederherstellungspunkts liegt vor der Infektion.
Methode 2: Registry via GPO bearbeiten
Wenn Sie es in einer Unternehmensumgebung mit möglicherweise defekten Registry-Einträgen auf mehreren Computern im gesamten Netzwerk zu tun haben, könnte die Verwendung von Gruppenrichtlinienobjekten (GPOs) eine praktikable Option sein. GPOs ermöglichen es einem Administrator, eine Gruppe von Einstellungen festzulegen und sie auf eine Gruppe von Computern anzuwenden. Der Gruppenrichtlinien-Verwaltungs-Editor der Server-Editionen von Windows kann zum zentralen Hinzufügen, Bearbeiten oder Löschen von Registry-Schlüsseln verwendet werden. Es gibt sogar einen integrierten Registry-Editor, der diese Aufgaben vereinfacht.
Registry-Einstellungen für ein bestimmtes GPO finden Sie unter Einstellungen -> Windows-Einstellungen sowohl unter Computer- als auch unter Benutzerkonfiguration:
Um einen neuen Schlüssel hinzuzufügen oder den Registry-Assistenten zu starten, klicken Sie mit der rechten Maustaste auf „Registry“:
Der Registry Wizard kann für alle möglichen Zwecke verwendet werden, einschließlich der Übertragung ganzer Registry-Hives von einem Computer auf den Rest des Netzwerks:
Da die Anwendung falscher Registry-Einstellungen auf diese Weise eine ganze Gruppe von Computern funktionsunfähig machen kann, sollten Sie bei der Verwendung von GPOs zur Behebung defekter Registry-Einträge äußerst vorsichtig sein.
Methode 3: DISM.exe
DISM steht für Deployment Imaging and Servicing Management. Das Tool wird in der Regel von Administratoren zur Wartung von Windows-Imagedateien verwendet, die auf ganze Computerflotten angewendet werden. Einige Funktionen von DISM können jedoch auch dazu verwendet werden, Probleme mit der Windows-Registry zu diagnostizieren und zu beheben. Das Tool vergleicht den aktuellen Zustand des Systems, auf dem es ausgeführt wird, mit einem bekannten guten Windows-Image (in der Regel von Windows Update) und kann dann verwendet werden, um Diskrepanzen zu korrigieren.
DISM ist in Windows integriert. Sie benötigen also nur ein Administrationskonto und müssen sich zutrauen, ein Befehlszeilen-Tool zu verwenden. Klicken Sie auf das Startmenü und geben Sie „cmd“ in das Suchfeld ein, um zu beginnen. Klicken Sie mit der rechten Maustaste auf „Als Administrator ausführen“ und geben Sie Ihr Passwort ein:
DISM verfügt über eine große Anzahl verschiedener Schalter. In Bezug auf die Registry sind drei davon besonders nützlich. „Dism.exe /Online /Cleanup-Image /ScanHealth“ sucht nach Beschädigungen in kritischen Windows-Komponenten wie der Registry. Wenn eine Beschädigung gefunden wird, können Sie „Dism.exe /Online /Cleanup-Image /CheckHealth“ verwenden, um festzustellen, ob die Beschädigung repariert werden kann. Wenn dies der Fall ist, können Sie mit dem Befehl „Dism.exe /Online /Cleanup-Image /RestoreHealth“ alle beschädigten Dateien aus bekannten guten Kopien über Windows Update wiederherstellen. Beachten Sie, dass Sie hierfür eine funktionierende Internetverbindung benötigen.
Methode 4: Registry manuell bearbeiten
In einigen ungewöhnlichen Fällen kann es vorkommen, dass ein bestimmter Registry-Schlüssel keinem bekannten gewünschten Parameter entspricht. Unter Umständen müssen auch Einträge manuell entfernt werden, die von Malware oder Bedrohungsakteuren erstellt wurden. Diese Methode birgt ein hohes Risiko, da selbst ein kleiner Tippfehler bei einem Registry-Wert das Verhalten des Computers drastisch verändern kann. Es ist ratsam, einen Systemwiederherstellungspunkt zu erstellen oder sogar die aktuelle Registry zu exportieren, bevor Sie Änderungen vornehmen.
Um auf den Registry-Editor zuzugreifen, klicken Sie auf das Startmenü und geben Sie regedit.exe in das Suchfeld ein. Möglicherweise werden Sie dazu aufgefordert, ein Administratorpasswort einzugeben. Mit der Benutzeroberfläche des Registry-Editors können Sie die verschiedenen Hives und Schlüssel durchsuchen und bestimmte Werte hinzufügen oder bearbeiten. In diesem Beispiel bearbeiten wir den Wert, der die Standard-Tastaturbelegung für einen bestimmten Computer steuert:
Es gibt weitere Methoden zur manuellen Bearbeitung der Registry, etwa die Verwendung von PowerShell oder der Windows Management Instrumentation (WMI)-Schnittstelle. Wenn Sie jedoch bisher noch keine dieser Funktionen verwendet haben, sollten Sie nicht mit Modifizierungen der Registry beginnen.
Methode 5: Registry Cleaner von Drittanbietern (nicht empfohlen)
Eine Vielzahl von Unternehmen verkauft Produkte, die als „Registry Cleaner“ angepriesen werden. Microsofts offizieller Standpunkt zu dieser Art von Hilfsprogrammen ist, dass sie unnötig sind, zu irreparablen Problemen oder Datenverlusten führen können und sogar Spyware oder Viren enthalten könnten. Anders als der Motor in Ihrem Auto braucht die Registry keine routinemäßige Wartung, um zu funktionieren. Da es sich um eine Sammlung von benutzer- und gerätespezifischen Einstellungen handelt, gibt es oft keinen „richtigen“ Wert für einen bestimmten Registry-Schlüssel. In unserem Beispiel HKEY_LOCAL_MACHINE\SYSTEM\Keyboard Layout\Preload kann ein Registry Cleaner nicht wissen, ob der Wert US-Englisch für mich richtig ist oder ob er in Deutsch geändert werden sollte.
Ein Problem, das Registry Cleaner möglicherweise lösen können, sind „verwaiste“ Einträge, die von deinstallierten Programmen zurückgeblieben sind. Dabei handelt es sich jedoch nicht wirklich um „defekte“ Registry-Einträge, da solche übrig gebliebenen Einträge nur selten einen Einfluss auf das Systemverhalten haben. Wie bereits erwähnt, nimmt die Registry so wenig Platz in Anspruch, dass das Entfernen von alten Schlüsseln und Werten keinen signifikanten Einfluss auf den verfügbaren Speicherplatz hat. Wenn Sie sich aus irgendeinem Grund für die Installation eines Registry Cleaners entscheiden, vergewissern Sie sich, dass er von einem seriösen Anbieter mit einer nachweisbaren Erfolgsbilanz stammt.
Methode 6: PC zurücksetzen oder Windows neu installieren
Es ist zwar nicht die bequemste Option, aber mit der Option Diesen PC zurücksetzen wird in Windows 8.1 und neuer die vorhandene Registry gelöscht und eine neue Kopie installiert. Dies ist praktisch eine Garantie dafür, dass alle defekten Registry-Einträge repariert werden, da alle fehlerhaften, bösartigen oder doppelten Einträge gelöscht werden. Das bedeutet zwar, dass Sie alle Anwendungen, die mit Ihrem PC geliefert wurden, neu installieren müssen, aber in Windows 10 und neuer haben Sie die Möglichkeit, persönliche Dateien zu beizubehalten. „Diesen PC zurücksetzen“ finden Sie in Windows 10 und neuer in den Einstellungen unter „Wiederherstellung“. Sie können auch einfach darauf zugreifen, indem Sie „Zurücksetzen“ in die Suchleiste des Startmenüs eingeben.
Wenn Sie mit einem so schwerwiegenden Registry-Fehler konfrontiert sind, dass Ihr Computer nicht einmal mehr startet, bleibt Ihnen wahrscheinlich nur die Möglichkeit, das Windows-Betriebssystem komplett neu zu installieren. Dazu können Sie ein ISO-Abbild von Microsoft herunterladen und es auf einen USB- oder optischen Datenträger schreiben.
FAZIT
In seltenen Fällen können defekte Registry-Einträge ernsthafte Auswirkungen auf die Stabilität eines PCs haben. Glücklicherweise ist eine beschädigte Registry nicht automatisch ein Indikator für eine Systemkompromittierung oder Malware-Aktivität. Wenn Sie sich Sorgen machen, dass ein Angreifer die Registry manipuliert haben könnte, sollten Sie eine UEBA-Lösung wie Varonis DatAlert in Betracht ziehen. Solche Lösungen achten auf Anzeichen verdächtiger Aktivitäten wie Modifikationen der Registry und alarmieren Sicherheitsteams in Echtzeit, sodass sofort Maßnahmen ergriffen werden können.
