Sie haben eine .exe aus einer nicht vertrauenswürdigen Quelle heruntergeladen und zögern, sie auszuführen? Oder Sie müssen einen verdächtigen Link öffnen, aber der Browser ist ein Fenster in Ihr Hauptsystem mit all Ihren Passwörtern und Dateien? Wer einen Windows-Rechner verwaltet, steht früher oder später vor diesem Dilemma. Antivirensoftware erkennt nicht alles, und eine virtuelle Maschine ist für eine einzelne Datei eine umständliche Lösung.

Genau hier kommt eine Sandbox ins Spiel: eine isolierte Umgebung, in der eine Anwendung normal läuft, aber das echte System nicht berühren kann. Das beste Werkzeug dafür unter Windows ist seit 2020 Sandboxie, das als Open Source weiterlebt und neuen Schwung bekommen hat.

💡 Kurzüberblick:

• Laden Sie Sandboxie Plus von der offiziellen Website herunter und installieren Sie es; der Isolationstreiber integriert sich in wenigen Minuten ins System.
• Starten Sie einen Browser oder ein beliebiges Programm über das Kontextmenü „Run Sandboxed"; das Fenster erscheint mit einem [#]-Präfix im Titel.
• Prüfen Sie die Isolation: Laden Sie eine Testdatei innerhalb der Sandbox herunter, schließen Sie das Programm und stellen Sie fest, dass sie sich nicht auf der echten Festplatte befindet.
• Falls nötig, stellen Sie die Datei über „Quick Recovery" wieder her, wählen Sie den Zielordner und bestätigen Sie die Übertragung.

Was Sandboxie ist und woher es stammt

Sandboxie erzeugt eine isolierte Betriebsumgebung oberhalb von Windows. Darin sehen Anwendungen ihre eigene Kopie der Registry und des Dateisystems, aber die echte Registry und die Festplatte bleiben unberührt. Schließen Sie das Programm, und alle Änderungen verschwinden.

Das Projekt hat eine lange Geschichte. Der ursprüngliche Autor Ronen Tzur schrieb die erste Version bereits 2004. Später kaufte Invincea das Produkt, dann übernahm es Sophos. 2017 integrierte Sophos Sandboxie in sein Unternehmenspaket, kündigte 2020 das Ende der Entwicklung an und veröffentlichte den Quellcode unter der GPLv3-Lizenz.

Seitdem leitet David Xanatos das Projekt und hat Sandboxie spürbar neues Leben eingehaucht. Heute sind zwei Versionen verfügbar:

• Sandboxie Plus, ein moderner Build mit Qt-Oberfläche, neuen Funktionen und aktiver Entwicklung (letzte Version 1.15.6, Februar 2025).
• Sandboxie Classic, die ursprüngliche MFC-Oberfläche, ohne neue Fähigkeiten, aber auf demselben bewährten Isolationskern.

Auf GitHub hat das Projekt 18.600 Sterne und über 2.000 Forks; für ein Werkzeug dieser Klasse ist das viel. Die Entwicklung schreitet stetig voran: Windows-11-Unterstützung, ARM64-Prozessoren, neue Isolationsmodi.

Installation und erster Start

Die Installation ist einfach, erfordert aber Aufmerksamkeit. Die Hauptkomponente ist der Sandboxie-Treiber, der Systemaufrufe auf Kernel-Ebene abfängt und in die isolierte Umgebung umleitet. Auf einem Testrechner mit Windows 10 Home installierte sich der Treiber ohne Konflikte mit dem integrierten Windows-Schutz.

Beim ersten Start scannt Sandboxie die installierten Programme und bietet an, Kompatibilitätsvorlagen für Browser, E-Mail-Clients und andere Software anzuwenden. Lehnen Sie das nicht ab; die Vorlagen sparen Einrichtungszeit, und überflüssige lassen sich später entfernen.

Direkt nach dem Assistenten erscheint auf dem Desktop eine Verknüpfung mit der Bezeichnung „Sandboxie, Default Browser". Das ist die DefaultBox-Sandbox mit einem vorkonfigurierten Profil für Ihren Browser.

Oberfläche und grundlegende Nutzung

Das Hauptfenster des Programms ähnelt dem Task-Manager. Links befindet sich eine Liste der Sandboxen (Container), rechts die Prozesse, die in der ausgewählten Sandbox laufen. Alles ist nach Containern gruppiert: Sie können separate isolierte Umgebungen für den Browser, E-Mail und verdächtige Dateien anlegen.

Der wichtigste visuelle Hinweis, dass ein Programm in der Sandbox läuft, ist das [#]-Präfix im Fenstertitel. In Firefox und den meisten klassischen Anwendungen funktioniert das zuverlässig. In Chrome ist der Titel ausgeblendet, sodass es keinen visuellen Marker gibt; erkennbar ist es nur, wenn man in der Taskleiste über das Fenster fährt. In der Praxis erkennt man ein Sandbox-Chrome am Fehlen der Lesezeichen und des Verlaufs aus dem echten Profil.

Sie können jedes Programm in der Sandbox ausführen: Rechtsklick auf eine ausführbare Datei oder Verknüpfung → „Run Sandboxed" → Container auswählen. Es gibt keine Einschränkungen bei den Anwendungstypen; exe, msi und portable Builds funktionieren alle gleichermaßen.

Wie die Dateiisolation funktioniert

Der entscheidende Mechanismus: Alles, was ein Programm innerhalb der Sandbox tut, bleibt dort. Laden Sie eine Datei über den Sandbox-Browser herunter, wird sie im virtuellen Dateisystem des Containers gespeichert. Schließen Sie den Browser, wird das virtuelle System bereinigt; auf der echten Festplatte bleibt nichts zurück.

Was aber, wenn Sie die Datei tatsächlich benötigen? Dafür gibt es die „Immediate Recovery". Wenn Sie versuchen, eine Datei in einem der Systemordner (Downloads, Dokumente, Desktop) zu speichern, fängt Sandboxie den Vorgang ab und bietet an, sie wiederherzustellen (das heißt, aus der Sandbox auf das echte System zu kopieren).

Der Mechanismus ist nicht der intuitivste. Die Option „Close" im Wiederherstellungsdialog bricht das Speichern nicht ab; die Datei bleibt innerhalb der Sandbox. „Recover" kopiert sie heraus. Nach dem Schließen der Anwendung werden nicht wiederhergestellte Dateien gelöscht. In der Praxis gewöhnt man sich nach ein paar Tagen aktiver Nutzung daran.

Der Start über das Kontextmenü ist das häufigste Szenario im Arbeitsalltag. Sie wählen einen Container, und das Programm startet isoliert, ohne weitere Handgriffe.

Aus Performance-Sicht gibt es keinerlei Beanstandungen. Im abgeschotteten Firefox und Chrome waren weder spürbare Geschwindigkeitseinbußen noch Konflikte mit Erweiterungen oder Probleme bei der Videowiedergabe festzustellen. Der Overhead durch die Isolation ist minimal.

Feinabstimmung: Einschränkungen und Berechtigungen

Die Einstellungen von Sandboxie gliedern sich in zwei Ebenen. Die erste umfasst Schnelleinstellungen für den aktuellen Prozess: Ein Rechtsklick auf einen Prozess im Hauptfenster erlaubt Ihnen, das Verhalten für diese Sitzung zu ändern. Die zweite Ebene sind die globalen Einstellungen für jede Sandbox einzeln.

Die globalen Einstellungen sind tiefer versteckt, als einem lieb sein mag. Sie öffnen sich über das Menü „Sandbox" → „Sandbox-Einstellungen", und es handelt sich um eine lange Liste von Reitern: Erscheinungsbild, Dateiwiederherstellung und -löschung, Gruppierung von Programmen nach Typ, Dateitransfer zwischen Umgebungen.

Hier legen Sie Ordner fest, für die die „Sofortige Wiederherstellung" ausgelöst wird, sowie das Verhalten beim Schließen von Programmen innerhalb der Sandbox.

Die Gruppierung erlaubt es Ihnen, Browser auf derselben Engine oder alle Office-Anwendungen unter einem einzigen Regelsatz zusammenzufassen, sodass Sie nicht jedes Programm einzeln konfigurieren müssen.

Der Dateitransfer zwischen Sandboxen ist nützlich, wenn Sie mehrere Container haben und Daten von einem zum anderen weiterleiten müssen, ohne den Weg über das reale System zu gehen.

Die Dateisystem-Einschränkungen steuern, auf welche Ordner die isolierte Anwendung zugreifen darf und welche vollständig ausgeblendet werden.

Hinweis: Manche Parameter sind über Verneinungen beschrieben („nicht blockieren", „nicht verbieten"). Das ist ein Erbe des alten Konfigurationsansatzes und verwirrend. Sie müssen die Logik gedanklich umdrehen, um zu verstehen, was passiert, wenn Sie eine Option aktivieren.

Es folgt ein wirklich systemnaher Abschnitt, die Zugriffsrechte. Hier können Sie für jede Sandbox konfigurieren: welche Dateien zum Lesen und Schreiben verfügbar sind, welche vollständig ausgeblendet werden, welche Netzwerkports geöffnet sind, welche DLLs geladen werden dürfen. Im Kern ist das analog zu SELinux oder AppArmor in der Windows-Welt: mächtig, aber tiefes Systemverständnis voraussetzend.

Jede Zeile in dieser Liste ist eine Regel, die festlegt, ob eine Anwendung innerhalb der Sandbox eine bestimmte Datei lesen, in sie schreiben oder überhaupt sehen kann, dass sie existiert.

Die Abschnitte Registry, IPC und COM sind Terrain für Systemadministratoren und Entwickler. Wenn Sie nicht wissen, was eine Prozess-Deskriptortabelle oder Registry-Virtualisierung ist, sollten Sie diese Abschnitte besser nicht betreten. Ein Konfigurationsfehler kann verhindern, dass Windows bootet, oder Anwendungen innerhalb der Sandbox funktionsunfähig machen.

Der Reiter „Anwendungen" ist eine extrem lange Liste von Kategorien mit voreingestellten Regeln: Browser, E-Mail-Clients, PDF-Reader, Multimedia, Packprogramme. Für jede Kategorie können Sie eine Gruppe von Regeln mit einem einzigen Häkchen aktivieren oder deaktivieren.

Kompatibilitätsvorlagen sind ein fertiger Satz von Regeln für bestimmte Programme. Für Firefox sind beispielsweise die Berechtigungen für den Zugriff auf Profil und Cache bereits definiert, sodass der Browser ohne zusätzliche manuelle Konfiguration funktioniert.

Die Konfiguration ist auch über eine ini-Datei möglich, für alle, die Massenverteilung oder Automatisierung benötigen. Das wirkt archaisch, funktioniert aber und erlaubt es, Einstellungen in einem einzigen Vorgang zwischen Rechnern zu kopieren.

Fazit zu den Einstellungen: Sandboxie bietet für ein kostenloses Werkzeug ein beispielloses Maß an Kontrolle. Die Konfigurationsoberfläche bleibt jedoch eine Einstiegshürde, die unerfahrene Anwender abschreckt.

Eine visuelle Demonstration des Basisszenarios (Starten eines Browsers in einer Sandbox und Überprüfen der Dateiisolierung) finden Sie im Video oben.

Wo das Sandbox-Modell versagt

Auf dem Papier wirkt Sandboxie makellos: Das Programm ist vom System isoliert und kann keinen Schaden anrichten. In der Praxis bricht das Modell an drei Stellen.

Erstens der Anwender selbst. Der Mechanismus „Sofortige Wiederherstellung" ist bequem, aber auch der Hauptrisikovektor. Sie haben eine Datei im abgeschotteten Browser heruntergeladen, in den echten Downloads-Ordner wiederhergestellt und außerhalb gestartet. Wenn die Datei bösartig ist, hat die Sandbox Sie nicht gerettet: Sie isoliert nur, was sich innerhalb befindet. Die Entscheidung zur Wiederherstellung trifft ein Mensch, und Sandboxie zu haben, kann ein falsches Sicherheitsgefühl erzeugen. Nach unserer Erfahrung ist die Kette „in Sandbox heruntergeladen → wiederhergestellt → außerhalb gestartet" das häufigste Kompromittierungsszenario.

Zweitens Fehlkonfiguration. Sie haben Restriktionen gelockert, damit das Programm in der Sandbox „richtig" funktioniert, und dabei den Zugriff auf einen echten Ordner oder Registry-Zweig geöffnet. In diesem Moment haben Sie ein Leck in der Isolierung geschaffen. Das Paradoxe daran: Die strengsten Einstellungen beeinträchtigen oft die Bequemlichkeit, und der Anwender entschärft sie. Und das nicht immer fachkundig.

Drittens alternative Schutzmechanismen, die im System bereits vorhanden sind. Moderne Browser (Chrome, Edge, Firefox) arbeiten längst in eigenen Sandboxen auf Prozessebene. Windows verfügt über integrierten Exploit-Schutz und kontrollierten Ordnerzugriff. Einen Browser unter einem eingeschränkten Windows-Konto auszuführen, deckt tatsächlich die meisten Szenarien ab, für die Anwender Sandboxie installieren.

Das bedeutet nicht, dass Sandboxie nutzlos ist. Es liefert, was Browser-Sandboxen fehlt: Isolierung für beliebige Anwendungen, nicht nur für Webseiten. Installationsprogramme testen, alte Dienstprogramme unbekannter Herkunft ausführen, Testversionen mit aggressivem DRM prüfen: Das sind Szenarien, in denen der eingebaute Windows-Schutz nicht ausreicht.

⁉️🤔 Häufig gestellte Fragen

Ist Sandboxie ein Antivirenprogramm?

Nein. Sandboxie isoliert Anwendungen vom System, sucht aber nicht nach Schadcode und entfernt ihn auch nicht. Es verhindert eine Infektion, indem es Änderungen an der Festplatte blockiert, statt Dateien zu scannen. Für vollständigen Schutz nutzen Sie es zusammen mit einem Antivirenprogramm, nicht anstelle eines solchen.

Welche Version ist besser, Plus oder Classic?

Sandboxie Plus. Es verfügt über eine moderne Qt-Oberfläche, ein Wiederherstellungspanel mit Vorschau, Prozessgruppierung und aktive Entwicklerunterstützung (Veröffentlichungen alle paar Monate). Classic ist nur auf älteren Rechnern sinnvoll, auf denen die Qt-Version nicht läuft.

Kann man einen Virus innerhalb der Sandbox ausführen?

Das können Sie, und es ist unter zwei Bedingungen sicher: Sie stellen die schädliche Datei nicht über „Sofortige Wiederherstellung" nach außen wieder her, und Sie haben der Sandbox keinen Zugriff auf echte Systemordner gewährt. Die Sandbox isoliert Änderungen, macht den Virus selbst aber nicht unschädlich. Wenn Sie ihn wiederherstellen und außerhalb ausführen, kommt es zur Infektion.

Funktioniert Sandboxie unter Windows 11?

Ja. Ab Version 1.3.5 (September 2022) unterstützt Sandboxie Plus Windows 11 vollständig, einschließlich der Integration in das aktualisierte Kontextmenü. Zudem wurde in Version 1.5.0 die Unterstützung für ARM64-Prozessoren hinzugefügt.

Was passiert, wenn Sie Sandboxie deinstallieren, während Sandboxen laufen?

Alle Dateien innerhalb der Sandboxen werden zusammen mit dem Programm gelöscht. Gehen Sie vor der Deinstallation über das Hauptfenster in jede Sandbox und stellen Sie benötigte Dateien über „Sofortige Wiederherstellung" wieder her. Deinstallieren Sie das Programm danach auf dem üblichen Weg.

Gibt es Alternativen für macOS oder Linux?

Es gibt keine direkte Entsprechung. Unter Linux übernehmen Firejail und Bubblewrap die Isolationsaufgabe; sie arbeiten auf der Ebene von Namespaces und Control Groups, nicht über einen Kernel-Treiber wie Sandboxie. Unter macOS ist das integrierte App Sandbox vom Geist her das ähnlichste Werkzeug, aber Anwender können es nicht auf beliebige Programme anwenden.

Eine Sandbox für den Alltag: Wann sie sich auszahlt

Sandboxie ist nicht für jeden geeignet. Wenn Sie im Browser arbeiten, keine Dateien aus fragwürdigen Quellen herunterladen und ein Standardkonto ohne Administratorrechte nutzen, genügt der eingebaute Windows-Schutz.

Wenn Sie jedoch regelmäßig Software testen, Anhänge von unbekannten Absendern öffnen oder mit Programmen arbeiten, denen Sie nicht vollständig vertrauen, zahlt sich Sandboxie Plus vom ersten Tag an aus. Es ist ein kostenloses, quelloffenes Werkzeug, das ein Isolationsniveau vergleichbar mit einer virtuellen Maschine bietet, jedoch ohne den Overhead eines zweiten Betriebssystems.

Das Wichtigste, das Sie sich merken sollten: Die Sandbox schützt das System vor der Anwendung, nicht die Anwendung vor dem Anwender. Die Entscheidung, eine Datei nach außen wiederherzustellen, liegt bei Ihnen. Und das ist das schwächste Glied.