Im ersten Teil dieser Reihe ging es um Microsoft Defender Antivirus, den Virenschutz, der in Windows bereits enthalten ist. Für ein einzelnes Gerät reicht dieser Basisschutz in vielen Fällen aus. In einem Unternehmensnetzwerk stellt sich die Frage anders. Dort müssen Sie Schadsoftware blockieren und außerdem Angriffe erkennen, nachvollziehen und eindämmen. Dafür ist Microsoft Defender für Endpunkt gedacht.
Virenschutz allein genügt im Unternehmen nicht mehr
Eine typische Unternehmensumgebung besteht heute aus stationären und mobilen Geräten, lokalen Servern und Cloud-Diensten. Dazu kommen Beschäftigte mit sehr unterschiedlicher IT-Erfahrung. Diese Vielfalt ist normal. Sie macht die Absicherung aber aufwendiger, weil es keinen einheitlichen Punkt mehr gibt, an dem sich alles kontrollieren lässt.
Häufig zielen Angriffe dabei auf die Zugangsdaten. Eine gefälschte Paketbenachrichtigung oder eine vermeintliche Rechnung im Anhang genügt oft, um an ein Kennwort zu kommen. Ist ein Konto übernommen, verschicken Angreifer aus diesem Postfach weitere Nachrichten an Kollegen und Geschäftspartner. Solche Nachrichten wirken glaubwürdig, weil sie von einer bekannten Adresse stammen.
Ein signaturbasierter Virenscanner erkennt bekannte Schadsoftware zuverlässig. Er sieht aber nicht, wenn sich jemand mit gültigen Anmeldedaten im Netzwerk bewegt. Für diese Fälle braucht es eine Lösung, die Verhalten auswertet und Ereignisse über mehrere Geräte hinweg zusammenführt.
Defender für Endpunkt geht über Defender Antivirus hinaus
Microsoft Defender Antivirus ist in Windows 10 und Windows 11 enthalten und ohne Zusatzkosten aktiv. Er schützt das einzelne Gerät. Eine zentrale Verwaltung, eine Auswertung über den gesamten Gerätebestand oder eine Nachverfolgung einzelner Angriffsschritte gehören nicht zu seinem Aufgabenbereich.
Microsoft Defender für Endpunkt setzt darauf auf. Die Lösung gehört zur Kategorie Endpoint Detection and Response, kurz EDR. Sie sammelt Telemetriedaten von allen angebundenen Geräten, bewertet auffälliges Verhalten und fasst zusammengehörende Ereignisse zu einem Vorfall zusammen. Sicherheitsverantwortliche sehen dadurch, dass eine Datei blockiert wurde, und außerdem, wie sie auf das Gerät gelangt ist und was danach passiert ist.
Der Dienst wird aus der Cloud betrieben. Eine eigene Server-Infrastruktur ist dafür nicht erforderlich, die Verwaltung erfolgt zentral im Microsoft Defender Portal.
Diese Funktionen bringt Defender für Endpunkt mit
Der genaue Funktionsumfang hängt vom gewählten Plan ab. Diese Bausteine sind in der Praxis am wichtigsten:
Angriffsflächenreduzierung: Regeln schränken riskante Aktionen ein, etwa das Ausführen von Makros oder das Starten von Programmen aus E-Mail-Anhängen.
Verhaltensbasierte Erkennung: Auffällige Prozessketten fallen auf, auch wenn keine bekannte Schadsoftware beteiligt ist.
Automatisierte Untersuchung und Reaktion: Wiederkehrende Standardfälle werden ohne manuelles Zutun geprüft und bereinigt. Das entlastet kleine Teams spürbar.
Geräteisolierung: Ein betroffenes Gerät lässt sich aus der Konsole heraus vom Netzwerk trennen, ohne dass jemand vor Ort sein muss.
Schwachstellen- und Konfigurationsübersicht: Fehlende Updates und unsichere Einstellungen werden je Gerät ausgewiesen und nach Risiko sortiert.
Erkennung nicht verwalteter Geräte: Systeme im Netzwerk, die in keiner Inventarliste stehen, werden sichtbar.
Erweiterte Suche in den gesammelten Daten: Vorfälle lassen sich im Nachgang gezielt untersuchen.
Neben Windows lassen sich weitere Betriebssysteme einbinden
Defender für Endpunkt unterstützt neben Windows auch Geräte mit macOS, Linux, Android und iOS. Für viele mittelständische Umgebungen halte ich das für den wichtigsten Punkt, denn selten ist nur ein Betriebssystem im Einsatz.
Der Nutzen steigt, wenn die Lösung mit anderen Diensten zusammenarbeitet. In Verbindung mit Microsoft Entra ID, mehrstufiger Authentifizierung, bedingtem Zugriff und einer Geräteverwaltung über Microsoft Intune sehen Sie durchgängig, wer von welchem Gerät auf welche Daten zugreift und in welchem Zustand sich dieses Gerät befindet.
Die Einführung beginnt mit den Lizenzen und einer Pilotgruppe
Lizenzen prüfen: Defender für Endpunkt wird in mehreren Plänen angeboten. Einzelne Microsoft-365-Pakete enthalten bereits einen davon. Für kleinere Umgebungen gibt es mit Defender for Business eine reduzierte Variante.
Mit einer Pilotgruppe starten: Binden Sie zunächst eine überschaubare Zahl an Geräten ein und beobachten Sie, welche Meldungen entstehen.
Regeln zuerst im Überwachungsmodus betreiben: So sehen Sie, welche legitimen Anwendungen betroffen wären, bevor Sie blockieren.
Über die vorhandene Geräteverwaltung ausrollen: Das Onboarding lässt sich über Intune, Gruppenrichtlinien oder Skripte automatisieren.
Zuständigkeiten festlegen: Klären Sie, wer Meldungen sichtet, wer über Maßnahmen entscheidet und wer außerhalb der Geschäftszeiten reagiert.
Technik allein löst keinen Vorfall
Defender für Endpunkt erzeugt Signale, die jemand lesen, einordnen und beantworten muss. Ohne einen Prozess dahinter hilft das Werkzeug wenig. Bleiben Meldungen tagelang unbeachtet, geht der Vorteil einer Erkennungslösung wieder verloren.
Viele mittelständische Unternehmen können diese Auswertung nicht rund um die Uhr im eigenen Haus leisten. Dann hilft es, den Betrieb an einen Dienstleister zu übergeben oder zumindest klare Eskalationswege zu vereinbaren. Die Grundlagen bleiben trotzdem Pflicht, also ein geprüftes Backup, ein aktueller Patchstand und regelmäßige Schulungen für die Beschäftigten.
Mit Microsoft 365 ist Defender für Endpunkt meist die naheliegende Wahl
Wenn Sie bereits Microsoft 365 nutzen und Ihre Geräte zentral verwalten, ist Defender für Endpunkt in den meisten Fällen die naheliegende Wahl. Die Lösung ist eng in die vorhandene Umgebung eingebettet, benötigt keine zusätzliche Infrastruktur und liefert eine Sicht auf alle Endgeräte an einer Stelle.
Vor der Entscheidung würde ich drei Punkte prüfen: welcher Plan in Ihrer Lizenz bereits enthalten ist, welche Betriebssysteme abgedeckt werden müssen und wer die Meldungen auswertet. Sind diese Fragen geklärt, ist der technische Teil der Einführung meist der kleinere Aufwand.
Gerne prüfen wir mit Ihnen, ob Microsoft Defender für Endpunkt zu Ihrer Umgebung passt, und begleiten Sie bei Einführung, Konfiguration und Betrieb. Sprechen Sie uns an.
Endpunktschutz mit Auswertung
Defender für Endpunkt nützt erst dann, wenn Warnungen auch außerhalb der Bürozeiten bewertet werden. Wir kombinieren die Einrichtung mit einer Überwachung rund um die Uhr.
Häufige Fragen
Nein. Microsoft Defender Antivirus ist der in Windows enthaltene Virenschutz für das einzelne Gerät. Microsoft Defender für Endpunkt ist eine EDR-Lösung für Unternehmen. Sie ergänzt den Virenschutz um zentrale Verwaltung, Verhaltensanalyse über alle Geräte hinweg und Werkzeuge zur Untersuchung und Eindämmung von Vorfällen.
Das hängt vom Paket ab. Defender für Endpunkt wird in mehreren Plänen angeboten, einzelne Microsoft-365-Pläne enthalten bereits einen davon. Für kleinere Umgebungen gibt es die reduzierte Variante Defender for Business. Prüfen Sie Ihre bestehenden Lizenzen, bevor Sie zusätzliche Produkte einkaufen. Häufig ist der benötigte Funktionsumfang bereits abgedeckt.
Ja. Neben Windows werden auch macOS, Linux, Android und iOS unterstützt. Damit lassen sich gemischte Umgebungen an einer Stelle überwachen. Der Funktionsumfang unterscheidet sich je nach Betriebssystem, deshalb sollten Sie vor der Einführung prüfen, welche Erkennungs- und Reaktionsfunktionen auf Ihren Geräten zur Verfügung stehen.
