Ah super, danke für den Hinweis!
MsMpEng.exe ist der Defender normal
MsMpEngCP.exe ist dann das Ganze in der Sandbox