Offenbar mit einem zu diesem Zeitpunkt (19.03.2026 – 21:37) aktuellen Signatur-Update blockiert leider der Securepoint Antivirus Pro (auf Basis von IKARUS) unter Windows die Eingabeaufforderung (cmd) und die PowerShell.
Vielleicht wird auch noch mehr blockiert bzw. in die Quarantäne verschoben oder zumindest der Zugriff darauf verweigert. Die Sache ist gemeldet. Ich hoffe es regelt sich über Nacht und der Ärger hält sich in Grenzen.
Update 19.03.2026 – 22:38
Ausnahmen/Exklusionen greifen wohl nicht um die Sache zu umgehen (Danke an Jörg für die Info). Die Virendatenbank hat die Version 109087 (19.03.2026 20:06), die scheint es auch nicht zu sein. Die Meldung lässt eher auf eine Outbreak-Protection o.ä. schließen:
Bezeichnung: Win32.Outbreak Dateipfad/Betreff: C:\Windows\System32\cmd.exe
Update 19.03.2026 – 23:15
Ruslan (Siehe Kommentare, Danke dafür) hat bereits vom Ikarus Lab eine Rückmeldung bekommen, das es ein false-positive ist und mit einem Update behoben wird. Vmtl. wird es etwas dauern bis das Update raus und bei allen angekommen ist
Update 19.03.2026 – 23:40
Aktuell helfen wohl nur lokal einpflegte Ausnahmen (für die cmd und die PowerShell), das ist natürlich nur der absolute Notnagel.
Bitte beachtet auch die Kommentare.
Update 19.03.2026 – 23:57
Es gibt eine neue Virendatenbank: 109088 (19.03.2026 23:43)
Die ersten Systeme bei uns und weiteren Kollegen sind bereits wieder grün und die Eingabeaufforderung sowie PowerShell funktionieren wieder.
Wie hat Dir der Artikel gefallen ?
(Bislang keine Stimmen erhalten.)
Loading...
Du möchtest den Blog unterstützen ?
Neben PayPal.ME gibt es noch weitere Möglichkeiten, lies hier wie du diesen Blog unterstützen kannst.
Verheiratet, Vater von zwei Kindern, eines an der Hand, eines im Herzen. Schon immer Technik-Freund, seit 2001 in der IT tätig und seit über 15 Jahren begeisterter Blogger. Mit meiner Firma IT-Service Weber kümmern wir uns um alle IT-Belange von gewerblichen Kunden und unterstützen zusätzlich sowohl Partner als auch Kollegen.
Artikel (RSS)
XING
Gibt es hier von Securepoint oder IKARUS eine Meldung ob das ein false alarm ist? Ich sehe gerade auch die Meldung das powershell und cmd in Quarantäne gepackt wurden.
Meines Wissens nach nein. Muss aber ein false-positive sein, da der AV schon bockt wenn man nur “cmd” schon sucht.
Ich weis nicht wie genau die Arbeiten. Aber habe das als Fehlalarm bzw zu Prüfung gemeldet und direkt eine Nachricht von IKARUS erhalten das es ein false-positive ist. Aber ob man sich darauf verlassen kann (automatisch generierte Antwort) ist die frage.
Bei mir ist es auch powershell und cmd was geblockt wurde.
Meiner Erfahrung nach klappt das ganz gut mit den Meldungen ans Lab und das dann nach Rückmeldung zügig ein Update kommt.
Wird vmtl. dauern bis dass das Update bei allen angekommen ist. Bin gerade auf einem Client drauf, da ist noch alles schlecht. Aber die Nacht ist ja noch jung.
Sind es bei dir mehrere Clients mit securepoint AV die das gleiche melden ?
Yep, 59 bis jetzt, bei manchen Kollegen wesentlich mehr. Man bedenke allerdings, das die meisten Clients über Nacht aus sind.
Das sind einige Clients ohje. Dann erst mal abwarten ob die das bis morgen bzw in der Nacht behoben haben.
Aber es beruhigt mich schon mal das ich nicht alleine das Problem habe mit meinen Clients.
Vielen Dank für dein Beitrag und die Updates von dir!
Wenn ich es richtig verstanden habe, dann tut sich zumindest bei einem Kollegen schon was, das die Clients wieder grün werden. Hier bewegt sich noch nichts. Braucht man Geduld.
Danke, mach’ ich gerne.
Es gibt ein Update: Virendatenbank 109088 (19.03.2026 23:43). Die ersten Systeme sind bereits wieder grün.
Schreibt mal bitte was bei euch der auslösende Prozess war.
Seht ihr im IKARUS anti.virus Portal bei der Meldung rechts unter dem “i” bei “Aktionen” für weitere Informationen.
Bei uns war es die Patch-Management-Software Action1 (“Prozess C:\Windows\Action1\action1_agent.exe (4196)”).
Danke
Guten morgen Andy,
bei mir sind einige Geräte auch wieder Grün. Aber ich frage mich gerade wie ich Powershell und CMD wiederherstellen kann. Securepoint AV lässt mir keine Option zu diese wiederherzsutellen.
Wie machst du das?
Ah hab jetzt mit sfc /scannow CMD und Powershell wieder zurück 🙂
Soweit ich es mitbekommen habe wurde nichts gelöscht, nach dem nächtlichen Update ging es einfach wieder. Dürfte allerdings davon abhängen wie man mit Funden umgeht. Bei uns und unseren Kunden landet erstmal alles in der Quarantäne. Im Regelfall machen wir dann auch nur Sicherm & Löschen.
Wir haben nur die IKARUS-Engine in Form von Securepoint AV im Einsatz, daher gibt’s die Info so in der Form nicht.
Schaue ich mir die Info bei Securepoint an steht da folgendes:
Prozess: C:\Windows\System32\conhost.exe (304)
Wäre interessant den Konsolenhost weiter zurückzuverfolgen, der muss ja auch durch einen Dienst oder z. B. durch die Aufgabenplanung gestartet worden sein. Leider zeigt der Windows-Taskmanager die Prozess-Struktur nicht an, aber der Process Explorer kann das schön anzeigen. Der Action1-Agent läuft z. B. wie alle Dienste auch unter der services.exe (und der wiederum unter wininit.exe).