Windows Sandbox: So aktivierst und konfigurierst du sie

Windows Sandbox ist eine saubere und temporäre Kopie von Windows, die sich in einem Fenster öffnet: Du probierst ein Programm aus, dem du nicht traust, und wenn du es schließt, ist alles wieder weg. Sie ist bereits in Windows 11 Pro, Enterprise und Education enthalten und muss nur aktiviert werden. In Windows 11 Home gibt es sie nicht.

Im Gegensatz zu einer virtuellen Maschine musst du kein Windows-Image herunterladen oder etwas installieren: Sie nutzt die vorhandenen Systemdateien, startet in wenigen Sekunden und verbraucht keinen Festplattenspeicher. Im Gegenzug wird nichts von einem Start zum nächsten gespeichert – genau das ist ihr Zweck.

Wann man sie nutzen sollte #

Um ein Programm zu testen, das du von einer unseriösen Website heruntergeladen hast, ohne das Risiko einzugehen, dass dein PC mit unerwünschten Komponenten vollgestopft wird.
Um einen verdächtigen Anhang aus einer E-Mail zu öffnen, um herauszufinden, was er enthält, ohne ihn auf deinem echten Computer auszuführen.
Um eine Installation zu überprüfen, bevor du sie wirklich durchführst: Was wird hinzugefügt, was wird abgefragt, welche Dateien werden erstellt?
Um eine Website zu besuchen, der du nicht traust, mit einem Browser, der vom Rest des Systems isoliert ist.

Für den alltäglichen Gebrauch hingegen ist sie nicht gedacht: Sie speichert nichts, daher startest du bei jedem Aufruf wieder bei Null.

Voraussetzungen #

Windows 11 Pro, Enterprise oder Education (Pro Education und SE funktionieren auch). Die Home-Version enthält sie nicht.
Ein 64-Bit-Prozessor mit aktivierter Virtualisierung im BIOS oder UEFI.
Mindestens 4 GB RAM (besser 8 GB) und ein paar Gigabyte freier Speicherplatz auf der Festplatte.

So prüfst du, ob die Virtualisierung aktiviert ist

Öffne den Task-Manager mit Strg + Umschalt + Esc, gehe zu Leistung → CPU und schau in der Zeile Virtualisierung: Dort muss „Aktiviert“ stehen. Alternativ kannst du das Terminal öffnen und systeminfo ausführen: Ganz unten, beim Punkt zu den Hyper-V-Anforderungen, muss bei Virtualisierung im Firmware aktiviert ein Ja stehen.

Falls sie deaktiviert ist, kannst du sie im BIOS oder UEFI einschalten. Je nach Hersteller heißt der Eintrag Intel VT-x, AMD-V, SVM Mode oder Virtualization Technology.

Windows Sandbox aktivieren #

Suche im Startmenü nach Windows-Features aktivieren oder deaktivieren (oder schreibe optionalfeatures in Ausführen) und öffne es.
Scrolle in der Liste bis zu Windows Sandbox und setze das Häkchen.
Klicke auf OK und warte, bis Windows die Komponenten installiert hat.
Starte den Computer neu, wenn du dazu aufgefordert wirst.

Nach dem Neustart findest du die Windows Sandbox im Startmenü. Es öffnet sich ein Fenster mit einem sauberen Desktop: Du kannst Dateien per Copy & Paste von deinem Computer hineinkopieren, surfen, installieren und testen. Wenn du das Fenster schließt, wird alles gelöscht; die Bestätigungsmeldung dient genau dazu, dich daran zu erinnern. Falls du Windows innerhalb der Sandbox neu startest (passiert bei Programmen, die während der Installation einen Neustart verlangen), bleibt der Inhalt unter Windows 11 22H2 erhalten.

Windows-Sandbox-Fenster mit einem sauberen Windows 11 Desktop und geöffnetem Einstellungsmenü — Im Fenster befindet sich ein frisch installiertes Windows, ohne deine Daten und ohne deine Programme

In neueren Versionen von Windows 11 ermöglicht das Menü mit den drei Punkten oben im Fenster, einige Einstellungen direkt zu ändern, ohne Konfigurationsdateien zu nutzen: Einen Ordner vom Computer freigeben (Share Folder), die gemeinsame Zwischenablage, das Mikrofon oder die Webcam aktivieren oder deaktivieren.

Das Netzwerk ist standardmäßig aktiviert. Ein Schadprogramm, das in der Sandbox ausgeführt wird, kann also andere Geräte in deinem Heim- oder Büronetzwerk erreichen. Wenn du etwas testest, dem du nicht ganz traust, deaktiviere das Netzwerk über die unten gezeigte Konfigurationsdatei.

Konfiguration mit einer .wsb-Datei #

Das Verhalten der Sandbox wird über eine kleine XML-Datei mit der Endung .wsb festgelegt: Ein Doppelklick und die Sandbox startet bereits fertig konfiguriert. Du kannst sie mit dem Editor erstellen und dabei als Dateiendung .wsb statt .txt wählen (wähle beim „Speichern unter“ bei Dateityp Alle Dateien).

Dieses Beispiel ist bereit zum Testen einer verdächtigen Datei: Netzwerk aus, ein freigegebener Ordner vom Computer im Nur-Lese-Modus und 4 GB Arbeitsspeicher.

<Configuration>
  <Networking>Disable</Networking>
  <MemoryInMB>4096</MemoryInMB>
  <vGPU>Disable</vGPU>
  <MappedFolders>
    <MappedFolder>
      <HostFolder>C:\Users\NomeUtente\Desktop\DaAnalizzare</HostFolder>
      <SandboxFolder>C:\Users\WDAGUtilityAccount\Desktop\DaAnalizzare</SandboxFolder>
      <ReadOnly>true</ReadOnly>
    </MappedFolder>
  </MappedFolders>
</Configuration>

Ersetze NomeUtente durch deinen Benutzernamen und stelle sicher, dass der in HostFolder angegebene Ordner existiert, sonst startet die Sandbox nicht.

Das zweite Beispiel dient dazu, eine Programminstallation zu testen: Netzwerk an, ein freigegebener Ordner mit Lese- und Schreibzugriff sowie ein Befehl, der das Programm beim Start öffnet.

<Configuration>
  <Networking>Default</Networking>
  <MappedFolders>
    <MappedFolder>
      <HostFolder>C:\Users\NomeUtente\Downloads\Prove</HostFolder>
      <ReadOnly>false</ReadOnly>
    </MappedFolder>
  </MappedFolders>
  <LogonCommand>
    <Command>explorer.exe C:\Users\WDAGUtilityAccount\Desktop\Prove</Command>
  </LogonCommand>
</Configuration>

Verfügbare Optionen #

Element	Zweck
`Networking`	`Disable` entfernt das Netzwerk, `Default` lässt es aktiv
`MappedFolders`	Ordner vom Computer, die in der Sandbox sichtbar sind
`ReadOnly`	Mit `true` kann die Sandbox die freigegebenen Dateien nicht verändern
`MemoryInMB`	Zugewiesener Arbeitsspeicher in Megabyte
`vGPU`	Grafische Beschleunigung: Das Deaktivieren reduziert die Angriffsfläche
`ClipboardRedirection`	`Disable` verhindert das Kopieren und Einfügen zwischen Sandbox und Computer
`LogonCommand`	Ein beim Start auszuführender Befehl

Nutze bei verdächtigen Dateien immer ReadOnly auf true. Ein Ordner mit Schreibzugriff ist ein Ausweg für Programme, die Dateien verschlüsseln oder löschen. Im Nur-Lese-Modus bleibt der Schaden innerhalb der Sandbox eingesperrt.

Du kannst mehrere Dateien .wsb mit unterschiedlichen Konfigurationen speichern – zum Beispiel eine für Analysen und eine für Installations-Tests – und die gewünschte einfach per Doppelklick starten.

Windows Sandbox .wsb Konfigurationsdatei im Editor mit den Sandbox-Einstellungen geöffnet — Eine Datei für jedes Szenario: Doppelklick und die Sandbox startet bereits fertig konfiguriert

Ab Windows 11 24H2 gibt es auch einen Terminal-Befehl, wsb, der nützlich ist, um Tests zu automatisieren: wsb start --config startet die Sandbox mit einer Konfigurationsdatei, wsb exec führt einen Befehl darin aus, wsb share teilt einen Ordner und wsb stop schließt sie.

Einschränkungen, die du kennen solltest #

Speichert nichts. Wenn du ein Programm installierst und das Fenster schließt, ist es nach dem erneuten Öffnen nicht mehr da. Das ist so gewollt, aber denk daran, bevor du eine Stunde lang etwas konfigurierst.

Nur eine Sandbox gleichzeitig. Du kannst nicht zwei gleichzeitig öffnen.

Ist kein Ersatz für eine virtuelle Maschine. Um andere Betriebssysteme auszuprobieren, einen Zustand über die Zeit zu bewahren oder ein Computernetzwerk zu simulieren, benötigst du echte Virtualisierungssoftware.

Keine absolute Garantie. Die Isolierung ist solide, da sie auf dem Hypervisor basiert, aber keine Barriere ist perfekt – und wenn das Netzwerk aktiv ist und Ordner mit Schreibzugriff geteilt werden, hebst du einen Teil des Schutzes selbst auf.

Häufig gestellte Fragen #

Verlangsamt die Windows Sandbox den Computer? #

Nur während sie geöffnet ist und proportional zu dem Arbeitsspeicher, den du ihr zuweist. Wenn sie geschlossen ist, verbraucht sie nichts, da keine Prozesse aktiv sind. Bei einem PC mit 8 GB RAM solltest du sie mit der Option MemoryInMB auf 2 oder 4 GB begrenzen.

Kann ich eine in der Sandbox gespeicherte Datei wiederherstellen? #

Nein, wenn du das Fenster schließt, ist der Inhalt für immer verloren. Um etwas zu behalten, nutze einen Ordner mit Schreibzugriff als Freigabe oder kopiere die Datei auf deinen Computer, bevor du sie schließt.

Warum finde ich „Windows Sandbox“ nicht unter den Windows-Features? #

Entweder nutzt du Windows 11 Home, das sie nicht enthält, oder die Virtualisierung ist im BIOS deaktiviert. Im ersten Fall hast du die Wahl zwischen einem Upgrade auf Windows 11 Pro oder der Nutzung eines kostenlosen Virtualisierungsprogramms wie VirtualBox; im zweiten Fall musst du lediglich die Virtualisierung im Firmware-Menü aktivieren.

Windows-Fenster „Windows-Features“ mit aktiviertem Kontrollkästchen bei „Windows Sandbox“ — Wenn dieser Eintrag in der Liste nicht erscheint, wird er von deiner Windows-Edition nicht unterstützt

Schützt die Sandbox vor Ransomware? #

Sie hilft dabei, aber es kommt darauf an, wie du sie konfigurierst. Eine schädliche Datei, die in der Sandbox geöffnet wird, berührt das Hauptsystem nicht; sie kann jedoch auf freigegebene Ordner mit Schreibzugriff und – falls das Netzwerk aktiv ist – auf andere Geräte zugreifen. Mit deaktiviertem Netzwerk und Ordnern im Nur-Lese-Modus ist die Isolierung wesentlich sicherer.

Was ist der Unterschied zu einer virtuellen Maschine? #

Eine virtuelle Maschine speichert ihren Zustand, lässt dich verschiedene Betriebssysteme installieren und lässt sich bis ins kleinste Detail konfigurieren, verbraucht aber Speicherplatz, muss installiert werden und benötigt einige Minuten zum Starten. Die Sandbox startet in wenigen Sekunden, verbraucht keinen Platz und setzt sich jedes Mal zurück: Sie ist für schnelle Tests gedacht, nicht für dauerhaftes Arbeiten.