Offenbar mit einem zu diesem Zeitpunkt (19.03.2026 – 21:37) aktuellen Signatur-Update blockiert leider der Securepoint Antivirus Pro (auf Basis von IKARUS) unter Windows die Eingabeaufforderung (cmd) und die PowerShell.

Vielleicht wird auch noch mehr blockiert bzw. in die Quarantäne verschoben oder zumindest der Zugriff darauf verweigert. Die Sache ist gemeldet. Ich hoffe es regelt sich über Nacht und der Ärger hält sich in Grenzen.

Update 19.03.2026 – 22:38

Ausnahmen/Exklusionen greifen wohl nicht um die Sache zu umgehen (Danke an Jörg für die Info). Die Virendatenbank hat die Version 109087 (19.03.2026 20:06), die scheint es auch nicht zu sein. Die Meldung lässt eher auf eine Outbreak-Protection o.ä. schließen:

Bezeichnung: Win32.Outbreak
Dateipfad/Betreff: C:\Windows\System32\cmd.exe

Update 19.03.2026 – 23:15

Ruslan (Siehe Kommentare, Danke dafür) hat bereits vom Ikarus Lab eine Rückmeldung bekommen, das es ein false-positive ist und mit einem Update behoben wird. Vmtl. wird es etwas dauern bis das Update raus und bei allen angekommen ist

Update 19.03.2026 – 23:40

Aktuell helfen wohl nur lokal einpflegte Ausnahmen (für die cmd und die PowerShell), das ist natürlich nur der absolute Notnagel.

Bitte beachtet auch die Kommentare.

Update 19.03.2026 – 23:57

Es gibt eine neue Virendatenbank: 109088 (19.03.2026 23:43)

Die ersten Systeme bei uns und weiteren Kollegen sind bereits wieder grün und die Eingabeaufforderung sowie PowerShell funktionieren wieder.

Update 22.03.2026 – 09:39

Leider gibt es Nachwirkungen, konkret geht es mindestens um folgende Pfade und Dateien:

• C:\Windows\System32\cmd.exe
• C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe

Auf manchen Systemen sind diese Dateien gelöscht, da hilft nur ein Restore aus dem Backup oder sfc oder dism. Viel häufiger scheint der Fall zu sein, das die NTFS-Berechtigungen bei den beiden Dateien weg sind, in Folge können diese Shells nicht mehr ausgeführt werden. Das führt zu allerlei Schwierigkeiten wie zum Beispiel:

• So manche Browser können keine https-Verbindungen mehr aufbauen bzw. meckern unsichere Verbindungen an. Offenbar können die Zertifikatsketten nicht überprüft werden.
• Die 3CX-Dienste (wenn man diese PBX unter Windows betreibt) starten nicht mehr.
• SAP startet nicht.
• Skripte und Geplante Aufgaben funktionieren nicht.

Bestimmt funktioniert noch mehr nicht, das ist nur das was bislang aufgefallen ist.

Versucht man eine *.cmd oder *.ps1-Datei auszuführen erscheint ein “Zugriff verweigert”. Das Gleiche gilt auch, wenn man versucht irgendwelche Shell-Befehle auszuführen.

Interessant ist, das es nach aktuellem Kenntnisstand nur Windows 11-Systeme betrifft und mal nur die cmd.exe, mal nur die powershell.exe und mal beides betroffen ist. sfc und dism helfen in diesen Fällen nicht (läuft ewig oder hängt bei 90%).

Abhilfe scheint momentan nur zu bringen den Besitz an beiden Dateien zu übernehmen, dann sich selbst Vollzugriff auf diese Dateien zu erteilen, dann entweder die Berechtigungen mit

icacls "C:\Windows\System32\cmd.exe" /reset /c
icacls "C:\Windows\System32\WindowsPowerShell\v1.0\PowerShell.exe" /reset /c

zurückzusetzen, klappt das nicht, hilft nur umbenennen oder löschen der Dateien und diese von einem funktionierenden System zu kopieren. Ein Befehls-/Skriptblock (ausgeführt mit SYSTEM-Rechten, z.B. von einem RMM aus, als Shell C:\Windows\SysWow64\cmd.exe verwenden) kann so aussehen:

takeown /f "C:\Windows\System32\cmd.exe"
icacls "C:\Windows\System32\cmd.exe" /grant SYSTEM:F
icacls "C:\Windows\System32\cmd.exe" /reset /c

takeown /f "C:\Windows\System32\WindowsPowerShell\v1.0\PowerShell.exe"
icacls "C:\Windows\System32\WindowsPowerShell\v1.0\PowerShell.exe" /grant SYSTEM:F
icacls "C:\Windows\System32\WindowsPowerShell\v1.0\PowerShell.exe" /reset /c

Speziell bei der cmd.exe kann es allerdings vorkommen, das die Befehle zwar vordergründig erfolgreich ohne Fehler durchlaufen, aber dennoch nichts im System geändert wurde. Hierfür habe ich noch keine Lösung, außer alles über den Explorer zu machen, gemeint ist Besitz übernehmen und Vollzugriff, und dann umbenennen/löschen und Kopie von einem funktionierenden System.

Hier noch ein Beispiel via Python (falls das RMM das hergibt, Tactical RMM kann das):

import subprocess

# cmd

subprocess.run(['C:\Windows\SysWow64\cmd.exe', '/c', 'takeown /f C:\\Windows\\System32\\cmd.exe'])
subprocess.run(['C:\Windows\SysWow64\cmd.exe', '/c', 'icacls C:\\Windows\\System32\\cmd.exe /grant SYSTEM:F'])
subprocess.run(['C:\Windows\SysWow64\cmd.exe', '/c', 'icacls C:\\Windows\\System32\\cmd.exe /reset /c'])

# PowerShell

subprocess.run(['C:\Windows\SysWow64\cmd.exe', '/c', 'takeown /f C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\PowerShell.exe'])
subprocess.run(['C:\Windows\SysWow64\cmd.exe', '/c', 'icacls C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\PowerShell.exe /grant SYSTEM:F'])
subprocess.run(['C:\Windows\SysWow64\cmd.exe', '/c', 'icacls C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\PowerShell.exe /reset /c'])

Update 25.03.2025 – 10:04

Um beispielsweise mittels eines RMM herausfinden zu können welche Windows 11-Systeme betroffen sind, kann man folgendes Batch-Skript laufen lassen:

@echo off

rem Variable definieren

    set ERROR=0
    set ERRORFILE=FILE:

rem Den Zugriff auf die Dateirechte pruefen

    rem Die wichtigsten/aktuell genutzten Dateien

        set FILE="C:\Windows\System32\cmd.exe"
        icacls %FILE% > nul
        if %ERRORLEVEL% neq 0 (
            set ERROR=1
            set ERRORFILE=%ERRORFILE% %FILE%,
        )

        set FILE="C:\Windows\System32\WindowsPowerShell\v1.0\PowerShell.exe"
        icacls %FILE% > nul
        if %ERRORLEVEL% neq 0 (
            set ERROR=1
            set ERRORFILE=%ERRORFILE% %FILE%,
        )

 rem Vmtl. Optional, aber evtl. relevant für sfc und Windows Updates

        set FILE="C:\Windows\SysWOW64\cmd.exe"
        icacls %FILE% > nul
        if %ERRORLEVEL% neq 0 (
            set ERROR=1
            set ERRORFILE=%ERRORFILE% %FILE%,
        )

        set FILE="C:\Windows\WinSxS\amd64_microsoft-windows-commandprompt_31bf3856ad364e35_10.0.26100.7309_none_26d8b445ca5c00b4\cmd.exe"
        icacls %FILE% > nul
        if %ERRORLEVEL% neq 0 (
            set ERROR=1
            set ERRORFILE=%ERRORFILE% %FILE%,
        )

        set FILE="C:\Windows\WinSxS\amd64_microsoft-windows-commandprompt_31bf3856ad364e35_10.0.26100.7920_none_269aa259ca89f45f\cmd.exe"
        icacls %FILE% > nul
        if %ERRORLEVEL% neq 0 (
            set ERROR=1
            set ERRORFILE=%ERRORFILE% %FILE%,
        )

        set FILE="C:\Windows\WinSxS\wow64_microsoft-windows-commandprompt_31bf3856ad364e35_10.0.26100.7309_none_312d5e97febcc2af\cmd.exe"
        icacls %FILE% > nul
        if %ERRORLEVEL% neq 0 (
            set ERROR=1
            set ERRORFILE=%ERRORFILE% %FILE%,
        )

        set FILE="C:\Windows\WinSxS\wow64_microsoft-windows-commandprompt_31bf3856ad364e35_10.0.26100.7920_none_30ef4cabfeeab65a\cmd.exe"
        icacls %FILE% > nul
        if %ERRORLEVEL% neq 0 (
            set ERROR=1
            set ERRORFILE=%ERRORFILE% %FILE%,
        )

        set FILE="C:\Windows\SysWOW64\WindowsPowerShell\v1.0\powershell.exe"
        icacls %FILE% > nul
        if %ERRORLEVEL% neq 0 (
            set ERROR=1
            set ERRORFILE=%ERRORFILE% %FILE%,
        )

        rem Mit dieser Dateien gab es teilweise Probleme, gemeint ist Rechte weg.
        set FILE="C:\Windows\WinSxS\amd64_microsoft-windows-powershell-exe_31bf3856ad364e35_10.0.26100.5074_none_0509cc22b212fde4\powershell.exe"
        icacls %FILE% > nul
        if %ERRORLEVEL% neq 0 (
            set ERROR=1
            set ERRORFILE=%ERRORFILE% %FILE%,
        )
 
        set FILE="C:\Windows\WinSxS\amd64_microsoft-windows-powershell-exe_31bf3856ad364e35_10.0.26100.5074_none_0509cc22b212fde4\powershell.exe"
        icacls %FILE% > nul
        if %ERRORLEVEL% neq 0 (
            set ERROR=1
            set ERRORFILE=%ERRORFILE% %FILE%,
        )
 
        set FILE="C:\Windows\WinSxS\amd64_microsoft-windows-powershell-exe_31bf3856ad364e35_10.0.26100.5074_none_0509cc22b212fde4\powershell.exe"
        icacls %FILE% > nul
        if %ERRORLEVEL% neq 0 (
            set ERROR=1
            set ERRORFILE=%ERRORFILE% %FILE%,
        )

rem Ausgabe/Rueckgabewert setzen

    echo %ERROR%
    echo %ERRORFILE%

    exit /b %ERROR%

Startet das Skript bzw. die cmd.exe schon gar nicht, bekommt man ein “Zugriff verweigert”, dann weiß man auch schon, das etwas nicht stimmt. Läuft das Skript und gibt einen Rückgabewert 1 aus, gibt es ebenfalls einen Treffer, das eine der geprüften Dateien keine Berechtigungen mehr hat. Die Ausgabe enthält einmal (zusätzlich) den Rückgabewert und bei “FILE:” stehen die betroffenen Dateien.

Macht man das Ganze über ein RMM ist es hilfreich, wenn eine Benachrichtigung oder Alarmierung stattfindet, wenn der Rückgabewert 1 ist. So lassen sich die betroffenen Systeme leicht identifizieren.

Update 25.03.2026 – 13:05

Auf Systemen auf denen nur die “cmd.exe” kaputt ist, kann man folgende Befehle in der PowerShell (mit SYSTEM-Rechten) ausführen lassen:

cd c:\windows\system32
takeown /f C:\Windows\System32\cmd.exe
icacls C:\Windows\System32\cmd.exe /reset /c

Update 25.03.2026 – 18:34

Ein Kollege hat kurioserweise auf ein anderes Ticket eine PDF-Anleitung vom Support erhalten, in dem die manuellen Schritte zur Wiederherstellung der Berechtigungen beschrieben sind. Im AV-Portal kann man unter “Geräte” einen Filter setzen, um die betroffenen Systeme anzeigen zu lassen (siehe Screenshot). Vielen Dank an Peter für diese Infos. Seltsamerweise finden sich zumindest bei uns ein paar Systeme, die scheinbar nicht betroffen sind, da dort die cmd.exe und powershell.exe funktionieren und mein Skript ebenfalls meldet, das alles in Ordnung sei.

Securepoint Antivirus – Portal – Geräte – Tabelle filtern – Statusfilter: AV Incident 2026-03

Update 26.03.2026 – 19:45

Im Securepoint Antivirus Pro Changelog findet sich ebenfalls eine Anleitung zum Wiedererlangen der Berechtigungen.

Update 27.03.2026 – 22:25

Securepoint hat die Anleitung wieder aus dem Changelog des AV entfernt.

Update 30.03.2026 – 15:28

Seitens Securepoint gab es nun doch ein Mailing an die Partner mit dem Verweis auf diesen neu eingestellten Wiki-Eintrag:

https://wiki.securepoint.de/AV/False-Positive-cmd-powershell

Wie hat Dir der Artikel gefallen ?

(2 Stimmen, durchschnittlich 5,00 von 5 Sternen)

Loading...

Du möchtest den Blog unterstützen ?

Neben PayPal.ME gibt es noch weitere Möglichkeiten, lies hier wie du diesen Blog unterstützen kannst.

Andy

Verheiratet, Vater von zwei Kindern, eines an der Hand, eines im Herzen. Schon immer Technik-Freund, seit 2001 in der IT tätig und seit über 15 Jahren begeisterter Blogger. Mit meiner Firma IT-Service Weber kümmern wir uns um alle IT-Belange von gewerblichen Kunden und unterstützen zusätzlich sowohl Partner als auch Kollegen.