Windows Immer wieder Probleme mit der Sandbox

[Moonduck]

Je nach Update funktioniert plötzlich die Sandbox einfach nicht mehr.
Hier ist ein Batch was die Sandbox am Leben erhält.
Idealerweise sollte es vor einem Update einmal gestartet werden.

Das Script beinhaltet auch eine Erklärung über die Vor- und Nachteile.
Mit einem Rollback kann man alles wieder ungeschehen machen wenn man das script doch nicht will.

 

[fakiauso]

Falls ich mal meinen unqualifizierten Senf dazugeben darf:

1. Was ist Dein Wunsch oder Anliegen, weshalb Du das hier postest? Erkläre das bitte so, dass Dritte das auch verstehen. Weder ist zu erkennen, welche Sandbox für welchen Zweck hier genutzt werden soll oder ob das in einer VM läuft usw. oder ob Du selber eine Sandbox gebaut hast und diese jetzt testen lassen willst. Da wäre aber ein offener Code über github oder einen Paste-Dienst auch der bessere Weg.

2. Nimmst Du echt an, dass jemand ungeprüft dieses Script als Katze im Sack einfach mal so auf seine Kiste zieht und laufen lässt, ohne zu wissen, was das Ding wirklich macht? Wenn ich Schadsoftware verbreiten wöllte, dann wäre das jedenfalls eine beliebte Methode

Wenn Du einen Fix suchst und nicht dahinterkommst, dann starte das Script auf Deinem Rechner und poste das Log, damit andere User da drüber schauen können oder erzähle, was der Sinn und Zweck Deines Beitrags ist.

Sorry für die direkte Ansprache.

 

[StefanW.]

Falls ich mal meinen unqualifizierten Senf dazugeben darf:

Im Prinzip stimme ich Dir zu, aber wenn man die Datei im Editor öffnet, beantworten sich die meisten Fragen von selbst.
(ich erlaube mir, den Inhalt per Copy&Paste hier einzufügen, da @Moonduck ihn im Ausgangsbeitrag öffentlich zugänglich gemacht hat)

:: ============================================================
:: Windows Sandbox Schutz- und Reparatur-Script
:: (Moonduck 18 Juli 2026)
::
::
:: Zweck:
:: Dieses Script schützt die Windows Sandbox vor Fehlern,
:: die durch fehlerhafte Windows-Updates (LCUs, Feature-
:: Updates, Container-Pakete, Hyper-V Integrationsdienste)
:: verursacht werden. Es verhindert, dass Windows Update
:: die Sandbox beschädigt oder unbrauchbar macht.
::
:: Funktionen:
:: - Sandbox-Schutz aktivieren:
:: Blockiert LCUs und Feature-Updates,
:: deaktiviert WaaSMedicSvc,
:: deaktiviert den Windows Update Orchestrator,
:: verhindert Treiber-Updates.
::
:: - Sandbox-Schutz deaktivieren (Rollback):
:: Stellt alle Update-Einstellungen wieder her.
::
:: - Schutz-Status anzeigen:
:: Zeigt an, welche Schutzmechanismen aktiv sind.
::
:: - Sandbox reparieren / neu initialisieren:
:: Deaktiviert und aktiviert die Sandbox neu,
:: erzeugt die BaseImages-Struktur neu.
::
:: Wann sollte man das Script starten?
:: - Wenn die Sandbox nicht mehr startet.
:: - Nach einem Windows-Update, das Probleme verursacht.
:: - Direkt nach einer Neuinstallation, um die Sandbox
:: dauerhaft vor fehlerhaften Updates zu schützen.
:: - Wenn die Sandbox plötzlich Fehler wie 0x80370106
:: oder 0xC0370106 zeigt.
::
:: Hinweis:
:: Store-Updates sind sicher und werden NICHT blockiert.
:: Die Sandbox bleibt funktionsfähig und stabil.
::
:: ============================================================

@echo off
title Sandbox Schutz Menü
color 0A

:menu
cls
echo ============================================
echo WINDOWS SANDBOX SCHUTZ-MENUE
echo ============================================
echo.
echo 1 - Sandbox-Schutz AKTIVIEREN
echo 2 - Sandbox-Schutz DEAKTIVIEREN (Rollback)
echo 3 - Schutz-Status anzeigen
echo 4 - Sandbox REPARIEREN / NEU INITIALISIEREN
echo 5 - Beenden
echo 6 - Risiko-Nutzen-Tabelle anzeigen

echo.
set /p choice=Auswahl eingeben:

if "%choice%"=="1" goto activate
if "%choice%"=="2" goto rollback
if "%choice%"=="3" goto status
if "%choice%"=="4" goto repair
if "%choice%"=="5" exit
if "%choice%"=="6" goto risiko

goto menu


:risiko
cls
echo ============================================
echo RISIKO - NUTZEN - TABELLE
echo ============================================
echo.
echo Vorteile:
echo + Sandbox bleibt stabil und funktionsfaehig
echo + LCUs blockiert (verhindert Container-/Hyper-V-Bugs)
echo + Feature-Updates blockiert (keine Build-Zerstoerung)
echo + MedicSvc deaktiviert (keine Update-Reparaturversuche)
echo + Orchestrator deaktiviert (keine automatischen Updates)
echo + Treiber-Updates blockiert (keine fehlerhaften Container-Treiber)
echo + Store-Updates bleiben aktiv (sicher)
echo.
echo Nachteile:
echo - Keine LCUs (Sicherheitsupdates)
echo - Keine Feature-Updates (Build bleibt fixiert)
echo - MedicSvc repariert Windows Update nicht mehr automatisch
echo - Orchestrator startet keine Updates mehr
echo - Treiber-Updates muessen manuell installiert werden
echo - Manuelle Build-Installationen bleiben Risiko
echo.
echo Zusammenfassung:
echo Das Script ist optimal, wenn die Sandbox stabil bleiben soll.
echo Es verhindert alle Updates, die die Sandbox beschaedigen koennten.
echo Es blockiert jedoch auch Sicherheits- und Feature-Updates.
echo.
pause
goto menu


:activate
cls
echo Aktiviere Sandbox-Schutz...
echo.

:: --- LCU & Feature-Updates blockieren ---
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate" /v DeferQualityUpdates /t REG_DWORD /d 1 /f
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate" /v QualityUpdatesDeferralDays /t REG_DWORD /d 999 /f
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate" /v TargetReleaseVersion /t REG_DWORD /d 1 /f
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate" /v TargetReleaseVersionInfo /t REG_SZ /d "26100" /f

:: --- Treiber-Updates blockieren ---
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate" /v ExcludeWUDriversInQualityUpdate /t REG_DWORD /d 1 /f

:: --- Windows Update Medic Service deaktivieren ---
reg add "HKLM\SYSTEM\CurrentControlSet\Services\WaaSMedicSvc" /v Start /t REG_DWORD /d 4 /f

:: --- Windows Update Orchestrator Task deaktivieren ---
schtasks /Change /TN "\Microsoft\Windows\WindowsUpdate\Scheduled Start" /Disable

echo.
echo Sandbox-Schutz wurde aktiviert.
pause
goto menu

:rollback
cls
echo Deaktiviere Sandbox-Schutz...
echo.

:: --- LCU & Feature-Updates wieder erlauben ---
reg delete "HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate" /v DeferQualityUpdates /f
reg delete "HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate" /v QualityUpdatesDeferralDays /f
reg delete "HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate" /v TargetReleaseVersion /f
reg delete "HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate" /v TargetReleaseVersionInfo /f
reg delete "HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate" /v ExcludeWUDriversInQualityUpdate /f

:: --- MedicSvc wieder aktivieren ---
reg add "HKLM\SYSTEM\CurrentControlSet\Services\WaaSMedicSvc" /v Start /t REG_DWORD /d 3 /f

:: --- Orchestrator Task wieder aktivieren ---
schtasks /Change /TN "\Microsoft\Windows\WindowsUpdate\Scheduled Start" /Enable

echo.
echo Sandbox-Schutz wurde deaktiviert.
pause
goto menu

:status
cls
echo Schutz-Status:
echo.

reg query "HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate" | findstr /i "DeferQualityUpdates QualityUpdatesDeferralDays TargetReleaseVersion TargetReleaseVersionInfo ExcludeWUDriversInQualityUpdate"
echo.
reg query "HKLM\SYSTEM\CurrentControlSet\Services\WaaSMedicSvc" /v Start
echo.
schtasks /Query /TN "\Microsoft\Windows\WindowsUpdate\Scheduled Start"
echo.
pause
goto menu

:repair
cls
echo Repariere Sandbox / initialisiere neu...
echo.

:: Sandbox deaktivieren
dism /online /disable-feature /featurename:Containers-DisposableClientVM

:: Sandbox aktivieren
dism /online /enable-feature /featurename:Containers-DisposableClientVM

echo.
echo Sandbox wurde neu initialisiert.
echo Bitte neu starten!
pause
goto menu

 

[fakiauso]

Im Prinzip stimme ich Dir zu, aber wenn man die Datei im Editor öffnet, beantworten sich die meisten Fragen von selbst.

Das ist alles richtig, aber solchen Fehldeutungen kann mit einer klaren Botschaft trotzdem abgeholfen werden. Unabhängig davon würde ich mir weiter keinen Code laden, ohne mich vorher zu informieren. Dafür hatte ich schon zu viele Kisten auf dem Tisch, die das Ergebnis ungeprüfter Software wie vermeintlicher Treiber mit Zugabe waren, auch wenn das hier explizit nicht zutrifft.

 

[uli1956]

Dafür hatte ich schon zu viele Kisten auf dem Tisch, die das Ergebnis ungeprüfter Software wie vermeintlicher Treiber mit Zugabe waren,

+1

 

[Schwartz]

Das Skript schon mal bei Claude reinkopiert?

Ich sehe hier nur, dass Windows Update und diverse Settings dazu hier an- und abgeschaltet werden. Warum es geht oder nicht geht wird dir niemand sagen können, der es nicht selber laufen lässt.

Keine Updates zu laden, ohne dass der User dies bestätigt, lässt sich auch per Group Policy Setting einstellen. So kannst du immer z.B. vorher ein Backup machen. Ebenso dass keine Previews sondern nur Stable Channel geladen wird. Das ist auch der Weg, auf dem Administration eigentlich vorgesehen ist. Da verstellt sich nichts.

Händisch über Registry in Systemservices rumzumachen halte ich für bestenfalls problematisch. Die schalten sich nun mal gerne nach Updates von selbst wieder an, weil sie eigentlich laufen sollten.