Kobel oder Sandbox und VM
„Lass die KI doch einfach in einer VM laufen“ ist ein guter Rat – für den Fall, dass die KI nichts Echtes anfassen muss. Sobald sie es muss, verschiebt sich das Problem nur um einen Schritt.
Zuletzt geprüft:
Isolation schützt durch Abwesenheit. In einer Sandbox oder VM sieht die KI Ihre Dateien nicht, weil sie dort nicht liegen. Das ist wirksam, solange die Aufgabe ohne Ihre Dateien auskommt – etwa beim Ausprobieren einer unbekannten Software.
Die meisten Aufgaben, für die man eine KI überhaupt an den Rechner lässt, brauchen aber genau die echten Dateien: Angebote, Rechnungen, Verträge, Fotos, Quelltexte. Man reicht sie also hinein. Microsoft warnt in der eigenen Dokumentation ausdrücklich davor, was dann gilt: „Files and folders mapped from the host can be compromised by apps in the sandbox or potentially affect the host. Changes made during a Sandbox session to a mapped folder with write-permissions will persist after a Sandbox is disposed.“ Ab diesem Punkt schützt nicht mehr die Isolation, sondern nur noch das Recht des Mappings – und das kennt genau zwei Werte.
Zwei Mechanismen, die oft verwechselt werden
Isolation
KI → isolierte Umgebung → Kopien, keine echten Daten
- Frage: Kommt der Prozess überhaupt an den Rechner?
- Beispiele: Windows Sandbox, Hyper-V, VM, Container
- Stärke: Ein bösartiger Prozess bleibt drin
- Grenze: Endet am ersten gemappten Ordner
- Nebenwirkung: Zustand geht verloren, Software fehlt
Berechtigung
KI → Kobel → echte Ordner, abgestuft
- Frage: Was darf mit dieser Ressource geschehen?
- Beispiele: erlaubte Ordner,
ro-Mounts, Kobels fünf Stufen - Stärke: Arbeit an echten Dateien bleibt möglich
- Grenze: Schützt nicht vor bösartigem Programmcode
- Nebenwirkung: keine – der Alltag bleibt der Alltag
Die beiden schließen sich nicht aus. Sie beantworten verschiedene Fragen, und die meisten Menschen brauchen die zweite, glauben aber, die erste gefragt zu haben.
Was eine Sandbox im Alltag kostet
Windows Sandbox ist ein gutes Werkzeug – für das, wofür es gebaut ist. Für dauerhafte KI-Arbeit stehen ihm drei Eigenschaften im Weg, die alle drei in Microsofts Dokumentation stehen:
- Sie ist flüchtig. „The sandbox is temporary; closing it deletes all software, files, and state. Each launch provides a fresh instance.“ Der KI-Client müsste bei jeder Sitzung neu installiert und neu verbunden werden.
- Installierte Software fehlt. „Host-installed software isn't available in the sandbox.“
- Sie gibt es nicht überall. „Windows Sandbox is currently not supported on Windows Home edition.“ Dazu kommen Virtualisierung im BIOS, mindestens 4 GB RAM (8 empfohlen), zwei Kerne (vier empfohlen) und 1 GB freier Speicher. Mehrere Instanzen gleichzeitig sind nicht vorgesehen.
Und WSL ist für diesen Zweck keine Grenze: Das Windows-Laufwerk C: liegt dort unter /mnt/c, und
Windows-Programme laufen als der aktive Windows-Benutzer mit denselben Rechten wie der WSL-Prozess.
Funktionsvergleich
| Sandbox / VM | Kobel | |
|---|---|---|
| Grundprinzip | Isolation | Abgestufte Berechtigung |
| Arbeit an echten Dateien | Nur über gemappte Ordner | Ja, direkt |
| Rechte je Ordner | Zwei: lesbar oder schreibbar (ReadOnly, Standard: schreibbar) | Fünf Stufen |
| Schreiben mit Backup | Nein | Ja |
| Zustand bleibt erhalten | Windows Sandbox: nein | Ja |
| KI-Client muss neu eingerichtet werden | Bei jeder Sitzung (Sandbox) | Nein |
| Aktivitätsprotokoll über KI-Aktionen | Nein | Ja, mit Zeitstempel |
| Schützt vor bösartigem Programmcode | Ja, das ist ihr Zweck | Nein |
| Voraussetzungen | Windows Pro/Enterprise/Education, Virtualisierung, ab 4 GB RAM | Windows 10/11 oder macOS |
| Einrichtung | .wsb-Datei oder VM aufsetzen und pflegen | Ordner hineinziehen, Farbe wählen |
| Auch Programme und Konten regeln | Nein | Ja |
| Kosten | In Windows enthalten | Kostenlose Version; 49 € einmalig oder 3,90 €/Monat |
Wenn Sie einen unbekannten MCP-Server, ein fremdes Skript oder eine Software aus zweifelhafter Quelle ausprobieren wollen, ist Isolation nicht nur ausreichend, sondern richtig – und Kobel ist dafür das falsche Werkzeug. Kobel regelt Zugriffsrechte, es sperrt keine Prozesse ein. Wer beides braucht, macht beides: den fremden Prozess in den Container, die eigenen Ordner hinter die Berechtigungsschicht.
Wann was passt
Sandbox oder VM, wenn …
- Sie unbekannte Software oder Skripte testen
- Die Aufgabe ohne Ihre echten Daten auskommt
- Ein Prozess vom System ferngehalten werden soll
- Sie Windows Pro, Enterprise oder Education haben
- Der Aufbau pro Sitzung Sie nicht stört
Kobel, wenn …
- Die KI mit Ihren echten Arbeitsdateien arbeiten soll
- Verschiedene Ordner verschiedene Rechte brauchen
- Nichts jede Sitzung neu aufgebaut werden soll
- Sie nachweisen müssen, was die KI getan hat
- Sie Windows Home nutzen
Die fünf Stufen von Kobel
Jeder Ordner, jedes Programm und jedes Konto bekommt genau eine dieser fünf Stufen. Eingestellt wird sie, indem man einen Ordner hineinzieht und eine Farbe wählt – keine Konfigurationsdatei.
- GrünLesen und schreiben. Die KI darf Dateien öffnen und Änderungen direkt speichern.
- TürkisSchreiben mit automatischem Backup. Vor jeder Änderung wird eine Sicherungskopie angelegt – eine schlechte Änderung ist immer rückgängig zu machen.
- OrangeOriginal lesen, nur in Kopien schreiben. Die KI kann mit den Daten arbeiten, die Quelldatei aber nicht verändern.
- GelbNur lesen. Ansehen, nicht anfassen.
- RotGesperrt. Die Ressource ist für die KI unsichtbar.
Weiterlesen
Quellen
- Microsoft – Windows Sandbox, Überblick (Flüchtigkeit, keine Host-Software)
- Microsoft – Voraussetzungen (nicht unter Windows Home, RAM, Kerne, Virtualisierung)
- Microsoft –
.wsb-Konfiguration,MappedFolders,ReadOnlyund die Warnung zu gemappten Ordnern - Microsoft – WSL und Windows-Dateisysteme (
/mnt/c, Rechte, Empfehlung) - Docker – MCP Toolkit (Container als Variante desselben Ansatzes)
Mit einem Ordner ausprobieren
Kobel installieren, einen einzigen Ordner hineinziehen, auf „Nur lesen“ stellen, KI verbinden. Zwei Minuten. Kostenlose Basis-Version, kein Konto nötig.
Kobel herunterladenFunktionen ansehenHäufige Fragen
Kann ich meine KI einfach in einer Sandbox laufen lassen?
Technisch ja, praktisch selten dauerhaft. Windows Sandbox ist ausdrücklich flüchtig: Microsoft schreibt, dass beim Schließen sämtliche Software, Dateien und Zustände gelöscht werden und jeder Start eine frische Instanz liefert. Auf dem Rechner installierte Software steht in der Sandbox nicht zur Verfügung. Sie müssten den KI-Client also bei jeder Sitzung neu einrichten – und Ihre Arbeitsdateien wären trotzdem außerhalb.
Warum reicht Isolation nicht?
Weil Isolation dadurch schützt, dass die echten Dateien nicht da sind. Sobald Sie an ihnen arbeiten wollen, reichen Sie einen Ordner hinein – und genau dazu warnt Microsoft wörtlich: Vom Host gemappte Ordner können von Apps in der Sandbox kompromittiert werden oder den Host beeinträchtigen, und Änderungen an einem mit Schreibrecht gemappten Ordner bleiben nach dem Verwerfen der Sandbox bestehen. Ab diesem Moment schützt nur noch das Recht des Mappings, nicht mehr die Isolation.
Läuft Windows Sandbox auf jedem Rechner?
Nein. Microsoft nennt Windows Sandbox ausdrücklich als nicht unterstützt unter Windows Home. Unterstützt sind Pro, Enterprise, Education und Pro Education. Voraussetzung sind außerdem im BIOS aktivierte Virtualisierung, mindestens 4 GB RAM (8 GB empfohlen), mindestens zwei Prozessorkerne (vier mit Hyperthreading empfohlen) und mindestens 1 GB freier Speicherplatz.
Kann ich einen Ordner nur lesbar in die Sandbox geben?
Ja, über eine .wsb-Konfigurationsdatei mit dem Element ReadOnly im Abschnitt MappedFolders. Beachten Sie aber: Der Standardwert ist false, also schreibbar. Wer die Datei nicht selbst schreibt und den Wert nicht ausdrücklich setzt, reicht den Ordner mit Schreibrecht hinein.
Ist Kobel eine Sandbox?
Nein, und das sollte man nicht verwechseln. Kobel isoliert keine Prozesse und ersetzt keine Container. Kobel steht als Berechtigungsschicht zwischen der KI und den echten Ordnern, Programmen und Konten des Geräts und entscheidet pro Ressource, was erlaubt ist. Wer einen unbekannten, möglicherweise bösartigen Serverprozess ausprobieren will, sollte dafür weiterhin einen Container oder eine VM nehmen.
Was ist mit WSL?
WSL ist keine Sicherheitsgrenze für diesen Zweck. Das Windows-Laufwerk C: ist in WSL unter /mnt/c erreichbar, und Windows-Binaries laufen als der aktive Windows-Benutzer mit denselben Rechten wie der WSL-Prozess. Microsoft rät aus Leistungsgründen ohnehin davon ab, dateiseitig über die Systemgrenze hinweg zu arbeiten.