Windows 11 aktiviert "Virtualization Based Security" (VBS) automatisch, wenn entsprechende Unterstützung auf der Hardware vorhanden ist.
Ich arbeite in einer Enterprise IT und hier wird VBS primär benötigt, damit lokale Access Token nicht ohne weiteres durch Malware extrahiert werden kann, um so eine Rechteerweiterung in einem Domänennetzwerk zu erreichen. Die Features sind gut und sinnvoll für Geräte eines Firmen-Netzwerks und. Für Privatgeräte ist das völlig irrelevant, ihr habt keine Domäne, keine Kerberos Tickets, nichts von Belang. Privatuser brauchen VBS nicht. VBS bedeutet es werden System-Prozesse in einer gesicherten virtualisierten Umgebung ausgeführt, die über einen TPM Chip verschlüsselt wird, sodass auch ein Root-Zugriff von Malware diesen Bereich nicht im Klartext auslesen kann. VBS kostet per Design Leistung, auch wenn es in normalen Gaming Benchmarks nicht gemessen werden kann. Darüber hinaus gibt es weitere Security Funktionen, die optional sind, aber als Voraussetzung VBS haben, z.B. die "Speicher Integrität", welche auch als Hypervisor-Protected Code Integrity (HVCI) bezeichnet wird. Es gibt aber auch andere, z.B. Credential Guard, wobei die meiste Leistungsreduzierung ganz klar von HVCI kommt.
Für Gaming PCs braucht man kein VBS, keinen Credential Guard, keine HVCI, man braucht auch keine Spectre Mitigations und man braucht auch kein IOMMU. Ich habe deshalb
- AMD SVM, IOMMU im BIOS deaktiviert
- Spectre Mitigations über InSpectre deaktiviert
- Hochleistungs Energiesparplan aktiv
Ohne AMD SVM im BIOS gibt es kein VBS und damit gibt es den Rest, z.B. Speicherintegrität, auch nicht. Das ist nur meine persönliche Einschätzung zu dem Thema, ein Gaming-PC ist für Gaming da und ich verschenke hier keine CPU Zyklen für Themen, die in meinem Heimnetzwerk irrelevant sind. Wenn ihr es anlassen wollt, macht das ruhig, der Leistungsunterschied ist nicht groß bei heutigen Prozessoren. Aber es ist faktisch falsch, dass es *keinen* Unterschied macht.