Wenn im Unternehmen von Microsoft Defender gesprochen wird, meinen zwei Beteiligte oft zwei verschiedene Dinge. Die einen denken an den Virenschutz, der in Windows eingebaut ist. Die anderen meinen die Sicherheitsplattform, die Endgeräte, E-Mail, Identitäten und Cloud-Dienste zusammenführt. Beides trägt denselben Namen. Dieser Beitrag ordnet die heutige Struktur ein und zeigt, welcher Baustein welche Aufgabe übernimmt.
Mehrere Umbenennungen machen den Namen Defender unübersichtlich
Microsoft hat die Sicherheitsprodukte in den vergangenen Jahren mehrfach umbenannt. Ältere Dokumentationen, Angebote und Schulungsunterlagen nutzen daher Bezeichnungen, die es so nicht mehr gibt. Das erschwert die Abstimmung im Projekt und führt bei Beschaffungen zu falschen Annahmen. Die wichtigsten Umbenennungen im Überblick:
Windows Defender heißt heute Microsoft Defender Antivirus.
Windows Defender ATP heißt heute Microsoft Defender für Endpunkt.
Office 365 ATP heißt heute Microsoft Defender für Office 365.
Microsoft 365 Defender heißt heute Microsoft Defender XDR.
Azure Security Center und Azure Defender heißen heute Microsoft Defender für Cloud.
Microsoft Cloud App Security heißt heute Microsoft Defender for Cloud Apps.
Die neuen Namen sind mehr als Kosmetik. Sie zeigen, dass sich das Angebot von einem reinen Virenschutz zu einer Plattform entwickelt hat. Wer die Bausteine auseinanderhält, erkennt schneller, was im eigenen Haus bereits vorhanden ist.
Microsoft Defender Antivirus ist der Grundschutz in jedem Windows
Microsoft Defender Antivirus ist fester Bestandteil von Windows 10, Windows 11 und den aktuellen Windows-Server-Versionen. Er ist ab dem ersten Start aktiv, ohne dass Sie etwas installieren müssen. Erkennungsmodule und Signaturen kommen über Windows Update. Damit hat jedes Windows-Gerät von Beginn an einen Grundschutz, auch wenn es noch nicht in die zentrale Verwaltung aufgenommen wurde.
Die Einstellungen finden Sie in der App Windows-Sicherheit. Ob Defender Antivirus aktiv ist, sehen Sie dort im Bereich für die Sicherheitsanbieter. Installieren Sie eine Antivirus-Lösung eines anderen Herstellers, wechselt Defender Antivirus in den passiven Modus. Nach der Deinstallation dieser Lösung übernimmt er den Schutz wieder. Zu den Kernfunktionen gehören:
Echtzeitschutz: Dateien und Programme werden vor dem Ausführen geprüft.
Automatische Aktualisierung über Windows Update, ohne eigenen Update-Server.
Überwachter Ordnerzugriff: Ausgewählte Verzeichnisse werden gegen unbefugte Änderungen geschützt, etwa durch Ransomware.
Regeln zur Verringerung der Angriffsfläche, zum Beispiel für Makros und Skripte.
Prüfung beim Systemstart, um früh geladene Schadsoftware zu erkennen.
Für ein einzelnes Gerät reicht Defender Antivirus oft aus
Die Erkennungsleistung von Defender Antivirus wird in den regelmäßigen Prüfungen unabhängiger Labore wie AV-TEST und AV-Comparatives seit Jahren auf dem Niveau kommerzieller Produkte bewertet. Für den Schutz eines einzelnen Geräts ist das in vielen Fällen ausreichend. Die Frage nach dem besseren Virenscanner ist damit für viele Umgebungen entschieden.
Im Unternehmen stellt sich jedoch eine andere Frage. Ein lokaler Virenschutz meldet einen Fund auf genau einem Gerät. Er beantwortet nicht, ob derselbe Angriff weitere Systeme betrifft, auf welchem Weg er hereingekommen ist und was danach passiert ist. Von diesen Punkten hängt ab, wie lange eine Störung dauert. Antworten liefert erst eine zentrale Erfassung und Auswertung der Ereignisse.
Defender für Endpunkt bündelt Einzelmeldungen in einer zentralen Sicht
Defender für Endpunkt setzt auf dem Virenschutz auf und ergänzt ihn um Erkennung, Untersuchung und Reaktion, im Englischen Endpoint Detection and Response. Die Geräte melden ihre Ereignisse an einen zentralen Dienst. Dort werden die Meldungen ausgewertet und zu Vorfällen zusammengefasst.
Der praktische Nutzen ist gut messbar. Sie sehen alle betroffenen Geräte an einer Stelle, können ein System aus der Ferne vom Netzwerk isolieren und den Ablauf eines Angriffs nachvollziehen. Neben Windows werden macOS, Linux, iOS und Android unterstützt. Für kleinere Umgebungen bietet Microsoft mit Defender for Business eine vereinfachte Variante an. Diesen Baustein betrachten wir in einem eigenen Beitrag im Detail.
Zur Defender-Familie gehören neun Bausteine
Microsoft Defender Antivirus: Schutz vor Schadsoftware auf dem einzelnen Gerät, in Windows enthalten.
Microsoft Defender für Endpunkt: zentrale Erkennung, Untersuchung und Reaktion auf Endgeräten, in Plan 1 und Plan 2 verfügbar.
Microsoft Defender for Business: reduzierter Funktionsumfang für kleinere Umgebungen.
Microsoft Defender für Office 365: Schutz von E-Mail und Zusammenarbeit, unter anderem durch die Prüfung von Anhängen und Links.
Microsoft Defender for Identity: erkennt auffälliges Verhalten in der Identitätsinfrastruktur, vor allem im lokalen Active Directory.
Microsoft Defender for Cloud Apps: Sichtbarkeit und Steuerung der genutzten Cloud-Dienste.
Microsoft Defender für Cloud: Absicherung und Bewertung von Cloud-Workloads, auch über Azure hinaus.
Microsoft Defender Vulnerability Management: Bewertung von Schwachstellen und unsicheren Konfigurationen.
Microsoft Defender XDR: gemeinsame Oberfläche, die die Signale der genannten Bausteine verknüpft.
Defender XDR verbindet die Einzelprodukte
Defender XDR braucht keinen zusätzlichen Agenten auf dem Gerät. Es bildet die gemeinsame Oberfläche über den Einzelprodukten, die Sie über das Microsoft Defender Portal erreichen. Signale aus Endgeräten, E-Mail, Identitäten und Cloud-Diensten laufen dort zusammen und werden zu einem Vorfall verknüpft.
Statt vier einzelner Meldungen aus vier Werkzeugen sehen Sie einen Vorfall mit zeitlichem Ablauf und betroffenen Objekten. Wer zusätzlich Protokolle aus Fremdsystemen auswerten möchte, kann Microsoft Sentinel in dieselbe Oberfläche einbinden. Gerade für kleine Teams halte ich das für den größten Vorteil, weil weniger Meldungen manuell zusammengesucht werden müssen.
Viele Defender-Bausteine stecken schon in vorhandenen Lizenzen
Häufig zahlen Unternehmen bereits für Bausteine, die sie nie eingerichtet haben. Ein Blick auf die vorhandenen Lizenzen lohnt sich deshalb vor jeder Neubeschaffung. Grob gilt diese Zuordnung:
Defender Antivirus ist Teil von Windows und benötigt keine zusätzliche Lizenz.
Microsoft 365 Business Premium enthält Defender for Business und Defender für Office 365 Plan 1.
Microsoft 365 E3 enthält Defender für Endpunkt Plan 1.
Microsoft 365 E5 enthält Defender für Endpunkt Plan 2, Defender für Office 365 Plan 2, Defender for Identity und Defender for Cloud Apps.
Defender für Cloud wird verbrauchsabhängig über Azure abgerechnet.
Microsoft passt die Paketierung regelmäßig an. Prüfen Sie die Zuordnung daher immer für Ihren konkreten Vertrag, bevor Sie Zusatzlizenzen beschaffen.
So verschaffen Sie sich Klarheit über Ihren Stand
Bestand aufnehmen: Prüfen Sie auf einer Stichprobe von Geräten, welche Schutzlösung aktiv ist und ob Defender Antivirus im passiven Modus läuft.
Lizenzen abgleichen: Klären Sie, welche Defender-Bausteine in Ihren bestehenden Plänen enthalten und noch nicht eingerichtet sind.
Zentral verwalten: Steuern Sie die Einstellungen über Microsoft Intune oder das Defender Portal statt über lokale Konfigurationen einzelner Geräte.
Zuständigkeit festlegen: Bestimmen Sie, wer die Meldungen ansieht, in welcher Zeit reagiert wird und wie außerhalb der Geschäftszeiten verfahren wird.
Funktion testen: Mit der Testdatei des European Institute for Computer Antivirus Research (EICAR) lässt sich gefahrlos prüfen, ob der Schutz anschlägt. Die Datei ist harmlos, sollte aber von jeder aktiven Lösung erkannt werden.
Wir bei aconitas begleiten mittelständische Unternehmen, Behörden und IT-Dienstleister bei diesen Fragen, von der Bestandsaufnahme bis zum laufenden Betrieb. Wenn Sie wissen möchten, welche Defender-Bausteine in Ihren Lizenzen stecken und welche sich in Ihrer Umgebung zu aktivieren lohnen, sprechen Sie uns an.
Defender aus der Lizenz in den Betrieb bringen
Die Defender-Produkte liefern Signale, ausgewertet werden müssen sie von jemandem. Wir richten die Komponenten passend zu Ihren Lizenzen ein und übernehmen auf Wunsch den laufenden Betrieb.
Häufige Fragen
Microsoft Defender Antivirus ist Teil von Windows und verursacht keine zusätzlichen Kosten. Die Unternehmensbausteine wie Defender für Endpunkt oder Defender für Office 365 sind dagegen kostenpflichtig. Häufig sind sie bereits in vorhandenen Plänen wie Microsoft 365 Business Premium, E3 oder E5 enthalten und müssen nur eingerichtet werden.
Defender Antivirus schützt ein einzelnes Gerät vor Schadsoftware und meldet Funde lokal. Defender für Endpunkt ergänzt zentrale Verwaltung, geräteübergreifende Erkennung, Untersuchungsfunktionen und automatisierte Reaktion. Erst diese Kombination zeigt im Unternehmen, ob ein Vorfall auch weitere Systeme betrifft.
Die Erkennungsleistung von Defender Antivirus wird von unabhängigen Testlaboren seit Jahren gut bewertet. Für Unternehmen fehlt allein damit jedoch die zentrale Auswertung der Meldungen. Wer Vorfälle nachvollziehen und zügig reagieren möchte, ergänzt Defender für Endpunkt oder Defender for Business.
