Ausgangssituation

Für die agentenlose Erfassung von Windows-Systemen kopiert LOGINventory das Scan-Programm LOGINfo.exe temporär auf das jeweilige Zielsystem und führt es dort aus. Genau dieses Verhalten – eine ausführbare Datei wird per Fernzugriff abgelegt und gestartet – stufen Virenscanner und EDR-Lösungen (z. B. Microsoft Defender for Endpoint, insbesondere bei aktivierten ASR-Regeln) häufig als verdächtig ein, obwohl es sich um einen regulären Vorgang handelt.

Damit die Erfassung zuverlässig funktioniert, muss der Virenscanner dafür einmalig konfiguriert werden. Entscheidend ist dabei, die Ausnahme so zu gestalten, dass sie auch nach LOGINventory-Updates weiterhin greift.


Typische Symptome

  • Der Virenscanner meldet oder blockiert eine Datei nach dem Muster C:\Windows\INV\loginfo.<Zeitstempel>.exe, zum Beispiel C:\Windows\INV\loginfo.20260119T103408.exe.
  • Einzelne oder alle Geräte werden nicht oder nur unvollständig erfasst, obwohl Berechtigungen und Netzwerkzugriff korrekt sind.
  • Nach einem LOGINventory-Update treten die Meldungen erneut auf, obwohl zuvor bereits eine Ausnahme eingetragen wurde.


Warum ein Ausschluss auf den Dateinamen nicht ausreicht

Die auf das Zielsystem kopierte Datei wird im Verzeichnis %windir%\INV\ (in der Regel C:\Windows\INV\) abgelegt. Ihr Name setzt sich zusammen aus:

loginfo.<Build-Zeitstempel>.exe – Format des Zeitstempels: yyyyMMddTHHmmss

Wichtig dabei:

  • Der Zeitstempel ist der Build-Zeitpunkt der LOGINfo.exe – nicht der Zeitpunkt des Scans.
  • Der Name ist deshalb innerhalb einer LOGINventory-Version auf allen erfassten Geräten identisch.
  • Er ändert sich genau dann, wenn eine neue LOGINventory-Version eingespielt wird.

Ausschlüsse, die auf einen konkreten Dateinamen oder Datei-Hash abzielen, müssten also bei jedem Update nachgepflegt werden – und der neue Name ist in der Praxis erst bekannt, nachdem der Virenscanner zugeschlagen hat. Die folgenden Lösungen vermeiden das.

Hinweis: Wird die Erfassung über eine geplante Aufgabe (Scheduled Task) angestoßen, heißt die Datei schlicht loginfo.exe ohne Zeitstempel. Ein Ausschluss sollte beide Varianten abdecken.


Lösung 1 (empfohlen): Zertifikat-Indikator im Microsoft Defender Portal

Alle ausführbaren Dateien von LOGINventory – also auch die LOGINfo.exe – sind mit einem Code-Signing-Zertifikat der Schmidt’s LOGIN GmbH digital signiert. Microsoft Defender for Endpoint erlaubt es, ein solches Zertifikat als Indikator auf die Allow-Liste zu setzen. Damit ist der Dateiname vollkommen unerheblich, und die Freigabe überlebt jedes Update.

Vorgehen

  1. Zertifikat exportieren: Im Windows Explorer die LOGINfo.exe aus dem LOGINventory-Programmverzeichnis mit der rechten Maustaste anklicken → Eigenschaften → Registerkarte Digitale Signaturen → Signatur auswählen → Details → Zertifikat anzeigen → Registerkarte Details → In Datei kopieren… → als .cer-Datei (DER-codiert) speichern.
  2. Indikator anlegen: Im Microsoft Defender Portal (security.microsoft.com) unter Einstellungen → Endpunkte → Regeln → Indikatoren die Registerkarte Zertifikate öffnen und auf Element hinzufügen klicken.
  3. Die exportierte .cer-Datei hochladen, als Aktion Zulassen wählen und den gewünschten Geltungsbereich (Gerätegruppen) festlegen.
  4. Speichern. Der Eintrag erscheint anschließend in der Übersicht:

Vorteile

  • Kein Nachpflegen bei Updates – der wechselnde Dateiname spielt keine Rolle mehr.
  • Deutlich sicherer als ein Pfad- oder Ordner-Ausschluss: Es dürfen ausschließlich von uns signierte Programme ausgeführt werden, alles andere im selben Verzeichnis bleibt blockiert.

Zu beachten: Code-Signing-Zertifikate haben eine begrenzte Gültigkeit. Wird das Zertifikat erneuert, muss der Indikator einmalig mit dem neuen Zertifikat aktualisiert werden.

Weitere Informationen von Microsoft: Indikatoren für Zertifikate erstellen


Lösung 2: Ordner- bzw. Wildcard-Ausschluss

Steht der Weg über den Zertifikat-Indikator nicht zur Verfügung, kann alternativ das Scan-Verzeichnis ausgenommen werden:

  • Ordner: C:\Windows\INV\ bzw. %windir%\INV\
  • Oder mit Platzhalter: C:\Windows\INV\loginfo.*.exe

Bei ASR-Regeln (Attack Surface Reduction) reichen die normalen Virenscanner-Ausschlüsse nicht immer aus – hier muss die Ausnahme zusätzlich bei der jeweiligen Regel bzw. unter den ASR-Ausschlüssen hinterlegt werden. Welche Regel den Block ausgelöst hat, ist im Defender-Portal in der zugehörigen Warnung ersichtlich. Häufig betroffen ist die Regel „Prozesserstellungen aus PSExec- und WMI-Befehlen blockieren“, da LOGINventory den Scan-Vorgang remote auf dem Zielsystem startet.

Nachteil: Ein Ordner-Ausschluss gilt für alles, was in diesem Verzeichnis liegt, und ist damit weniger restriktiv als Lösung 1.


Alternative: Erfassung ohne RPC (//RPC 0)

Lässt sich im Virenscanner keine Ausnahme einrichten, kann die Erfassung auch ganz ohne das Kopieren der LOGINfo.exe erfolgen. Mit dem Schalter //RPC 0 wird kein RPC-Scan durchgeführt: LOGINventory erfasst das Zielsystem stattdessen vollständig über die Remote-APIs (Remote Registry und WMI) vom LOGINventory-Server aus. Auf dem Zielsystem wird dabei nichts abgelegt und nichts ausgeführt – die oben beschriebenen Meldungen können damit gar nicht erst entstehen.

Der Schalter kann angegeben werden:

  • in der Scan-Definition unter Allgemein als Kommandozeilen-Parameter: //RPC 0
  • oder in der Datei LOGINfo.Script: !SET RPC=0

Zu beachten:

  • Die reine Remote-Erfassung funktioniert nur in Trusted-Umgebungen und setzt voraus, dass der Dienst Remote Registry auf den Zielsystemen aktiviert ist.
  • Standard ist RPC = 1. Schlägt der RPC-Scan fehl, weicht LOGINventory bereits von sich aus auf die Remote-API-Erfassung aus (Fallback auf RPC = 0). Das erklärt, warum bei blockierter LOGINfo.exe je nach Umgebung trotzdem noch Daten geliefert werden – dann allerdings ohne die Werte, die nur der lokal ausgeführte Scan ermitteln kann.
  • Diese Umstellung ist als Ausweichlösung gedacht. Vorzuziehen ist eine saubere Ausnahme im Virenscanner (Lösung 1), da der RPC-Scan der Standardweg der Windows-Erfassung ist.

Details zu diesem und allen weiteren Schaltern: Dokumentation – Erfassung / Schalter


Andere Virenscanner / EDR-Produkte

Das Prinzip lässt sich auf andere Produkte übertragen. Empfohlene Reihenfolge:

  1. Falls das Produkt Ausnahmen anhand der digitalen Signatur bzw. des Herausgebers unterstützt („Publisher“, „Signer“, „Certificate“): Schmidt’s LOGIN GmbH freigeben.
  2. Andernfalls: Ausnahme für den Ordner %windir%\INV\ bzw. das Namensmuster loginfo.*.exe eintragen.
  3. Ausnahmen auf einzelne Datei-Hashes vermeiden – diese werden mit jedem LOGINventory-Update ungültig.

Auf dem LOGINventory-Server selbst sollte zusätzlich das LOGINventory-Datenverzeichnis von der Echtzeitüberprüfung ausgenommen werden, damit die Verarbeitung der .inv-Dateien nicht ausgebremst wird.


Zusammenfassung

LOGINventory benötigt keine pauschale Freigabe, sondern eine gezielte und updatesichere Ausnahme für die signierte LOGINfo.exe. Am saubersten gelingt das über einen Zertifikat-Indikator im Microsoft Defender Portal, alternativ über einen Ordner- bzw. Wildcard-Ausschluss für %windir%\INV\. Ausnahmen auf konkrete Dateinamen oder Datei-Hashes sind ungeeignet, da sich der Dateiname mit jeder neuen LOGINventory-Version ändert. Ist im Virenscanner keinerlei Ausnahme möglich, bleibt als Ausweg die Erfassung ohne RPC (//RPC 0).