Microsoft Defender entschlüsselt: Lizenzierung, Erkennung, Kosten und Schwachstellen

Microsoft Defender erklärt

Frage: Was sind die Kernfunktionen von Microsoft Defender im Vergleich zu anderen Endpoint-Schutzlösungen?

A. Defender for Endpoint ist mehr als nur ein EDR-Tool mit einer zusätzlich integrierten Antiviren-Funktion. Was Microsoft (und Defender) so leistungsstark macht, sind die mehr als 100 Billionen Sicherheitssignale, die Microsoft erfasst hat. Diese erstaunliche Menge an Datenpunkten ist der eigentliche Vorteil gegenüber allen anderen Sicherheitsanbietern. Da Defender tief in Windows und Microsoft 365 integriert ist, kann es Verhaltenssignale, Cloud-Analysen und Bedrohungsinformationen aus dem gesamten Microsoft-Ökosystem nutzen, um verdächtige Aktivitäten zu erkennen und Ereignisse an Endgeräten in einen Kontext zu setzen.

Defender weist nicht nur auf Sicherheitsrisiken hin, sondern liefert auch konkrete Maßnahmen. Hier ein perfektes Beispiel: der „Secure Score“ für Geräte. Diese Momentaufnahme der Sicherheitslage Ihres Unternehmens nutzt Endpunkt-Telemetriedaten, um Konfigurationslücken aufzuzeigen und Korrekturen zu priorisieren, die das Risiko wahrscheinlich verringern – anstatt einfach nur weitere Warnmeldungen in die Warteschlange aufzunehmen.

Frage: Wie fügt sich Microsoft Defender in unser bestehendes Microsoft 365- oder Azure-Ökosystem ein?

A. Defender ist so konzipiert, dass es innerhalb des Microsoft-Sicherheitsstacks funktioniert. Es handelt sich nicht um ein zusätzliches oder eigenständiges Tool. Defender nutzt Daten und Rückmeldungen aus anderen Microsoft-Sicherheitssystemen. Beispiele hierfür sind Identitätsaktivitäten aus Entra, der Gerätestatus aus Intune und datenbezogene Signale aus Purview, die alle den von Defender erfassten Informationen zusätzlichen Kontext verleihen können. Sentinel kann diese Signale dann zur Untersuchung und Reaktion zusammenführen.

Der offensichtliche Vorteil ist ein höheres Sicherheitsniveau für alle, die M365 nutzen. Analysten können Aktivitäten über Benutzer, Geräte, E-Mails und Cloud-Anwendungen hinweg von ein und derselben Konsole aus untersuchen.

Frage: Was umfasst Microsoft Defender for Endpoint und worin unterscheidet es sich von Defender for Business oder Defender XDR?

A. „Defender for Endpoint“ ist das EDR-Produkt für Unternehmen, das die gängigsten Betriebssysteme abdeckt. Plan 1 umfasst Schutzmaßnahmen und die Verringerung der Angriffsfläche. Plan 2 bietet zusätzlich EDR, automatisierte Untersuchungen und erweiterte Bedrohungssuche.

Defender for Business bietet eine abgespeckte Version derselben Schutzmaßnahmen für kleinere Unternehmen (mit weniger als 300 Nutzern).

Defender XDR ist die übergeordnete Ebene: Es verknüpft Warnmeldungen von Defender for Endpoint, Defender for Office 365, Defender for Identity und Defender for Cloud Apps zu einem einzigen Vorfall, sodass ein Analyst einen zusammenhängenden Angriffsverlauf sieht statt vier voneinander unabhängiger Warnmeldungen.

Frage: In welchen Lizenzoptionen oder Paketen ist Defender enthalten?

A. Das ist die Frage, die uns am häufigsten gestellt wird, und das liegt meist daran, dass die Antwort die Leute überrascht. Sowohl Microsoft 365 Business Premium als auch Microsoft 365 E3 umfassen „Defender for Endpoint Plan 1“. Microsoft 365 E5 bietet zusätzlich „Defender for Office 365 Plan 2“, „Defender for Endpoint Plan 2“, „Defender for Identity“ und Microsoft Sentinel. Die Einstiegsstufen Business Basic, Business Standard, Office 365 E1 und Office 365 E3 enthalten überhaupt kein „Defender for Endpoint“. In der Praxis begegnen wir Unternehmen mit E5-Lizenz, die für „Defender for Identity“ bezahlen, es aber nie aktiviert haben, sowie Unternehmen mit E3-Lizenz, die glauben, ihnen fehle der Endpunktschutz, obwohl Plan 1 die ganze Zeit über vorhanden war. Wenn Sie sich nicht sicher sind, für welche Stufe Sie lizenziert sind, sollten Sie dies klären, bevor Sie neue Lösungen evaluieren. Unser Vergleich zwischen Microsoft Defender für Office 365 Plan 1 und Plan 2 zeigt genau auf, wo die Grenze verläuft.

Sicherheit & Schutz

Frage: Welche Erkennungsmethoden werden verwendet (signaturbasiert, verhaltensbasiert, maschinelles Lernen usw.)?

A. Defender setzt mehrere Methoden kombiniert ein, anstatt sich auf eine einzige zu verlassen. Verhaltenssensoren an den Endpunkten erfassen Signale des Betriebssystems und senden diese an eine private, mandantenisolierte Cloud-Instanz. Cloud-Sicherheitsanalysen wenden maschinelles Lernen im gesamten Windows-Ökosystem und in Microsoft 365 an, um diese Signale in Erkennungen und empfohlene Reaktionen umzuwandeln. Threat Intelligence, die auf den weltweiten Beobachtungen von Microsoft hinsichtlich der Tools und Techniken von Angreifern basiert, wird zusätzlich eingesetzt, um bekanntes Angreiferverhalten sofort zu kennzeichnen, sobald es in Ihrer Umgebung auftritt.

Frage: Wie wirksam ist Microsoft Defender bei der Abwehr von Ransomware- und Phishing-Angriffen?

A. Weltweit führend. Wie bereits erwähnt, hat Microsoft durch Produkte wie Exchange und Microsoft 365 Einblick in eine enorme Menge an E-Mails und Bedrohungsaktivitäten. Defender kann diese Informationen nutzen, um verdächtige Ziele zu identifizieren und einige Bedrohungen zu stoppen, bevor sie überhaupt ausgeführt werden können. Dies ist besonders nützlich im Kampf gegen Ransomware, wo es oft weitaus einfacher ist, das erste Eindringen zu verhindern, als einen Angriff einzudämmen, sobald er sich erst einmal ausgebreitet hat.

Das Gleiche gilt für Phishing. Wenn ein Benutzer eine bösartige Nachricht meldet, kann Defender für Office 365 im gesamten Unternehmen nach ähnlichen Nachrichten suchen und diese entfernen, anstatt dass die Administratoren jede einzelne Kopie manuell aufspüren müssen.

Technologie deckt jedoch nur einen Teil des Problems ab. Phishing hängt nach wie vor stark davon ab, dass eine Person einer falschen Nachricht vertraut oder auf den falschen Link klickt. Regelmäßige Simulationen und praktische Sicherheitsschulungen geben den Nutzern eine bessere Chance, solche Versuche zu erkennen, bevor sie zu Vorfällen führen.

Weiterlesen: Microsoft Defender für Office 365 – KI-gestützter Phishing-Schutz für kleine Unternehmen

Frage: Wie lässt sich das System in Threat-Intelligence- und automatisierte Reaktionssysteme integrieren?

A. „Threat Intelligence“ bezeichnet die Art und Weise, wie Defender Aktivitäten auswertet, und ist kein separater Prozess, den Teams eigenständig verwalten müssen. Sobald Microsoft neue Verhaltensmuster von Angreifern identifiziert, kann Defender diese Muster mit den Aktivitäten auf den Endgeräten abgleichen und Übereinstimmungen sofort kennzeichnen.

Wird eine Bedrohung bestätigt, können automatisierte Ermittlungs- und Reaktionsmaßnahmen einige der ersten Schritte selbstständig übernehmen, darunter die Isolierung eines Geräts oder die Rückgängigmachung bestimmter Änderungen. In größeren Sicherheitsteams können die Microsoft-Bedrohungsexperten eine weitere Ebene hinzufügen, indem sie Analysten dabei unterstützen, schwerer zu erklärende Aktivitäten zu untersuchen und die Aufmerksamkeit auf Fälle zu lenken, die noch einer manuellen Überprüfung bedürfen.

Integration und Verwaltung

Frage: Lässt sich Defender in Produkte integrieren, die nicht von Microsoft stammen?

A. Ja. Defender for Endpoint lässt sich in eine bestehende Security-Operations-Umgebung integrieren. Defender und Sentinel können Warn- und Vorfalldaten über APIs und Konnektoren an SIEM- und SOAR-Plattformen von Drittanbietern senden, sodass Teams die Tools und Prozesse beibehalten können, auf die sie sich bereits verlassen, und gleichzeitig Defender in ihre Umgebung integrieren können.

Frage: Wie sieht die Verwaltung im Microsoft Security-Portal oder über Intune aus?

A. Das Defender-Portal bietet Sicherheitsteams eine zentrale Anlaufstelle, um Geräte, Warnmeldungen, Vorfälle und Empfehlungen zum Secure Score zu überprüfen. Intune übernimmt die Geräteverwaltung, einschließlich der Registrierungs- und Compliance-Richtlinien, und dieser Compliance-Status kann von „Conditional Access“ herangezogen werden, um zu entscheiden, ob ein Gerät zugelassen werden soll.

Bei der Bewertung von Mandanten stellen wir regelmäßig fest, dass Intune für die Registrierung genutzt wird. Der Nachteil dabei ist jedoch, dass die Compliance-Daten keinen Einfluss auf Zugriffsentscheidungen haben. Dadurch bleibt ein wesentlicher Teil des Microsoft-Sicherheitsstacks ungenutzt.

Frage: Wie funktioniert Defender in hybriden Umgebungen (lokal + Cloud)?

A. Defender for Endpoint deckt Benutzergeräte wie Laptops, Smartphones und Tablets ab. Defender for Cloud ist eine cloudnative Anwendung, die Workloads und Dienste abdeckt. Man kann sich „Endpoint“ als den Bereich für Hardware vorstellen und „Defender for Cloud“ als den Bereich für virtuelle und lokale Umgebungen.

Für hybride Organisationen liegt das größere Problem oft nicht in den Defender-Tools selbst. Es ist vielmehr die Diskrepanz zwischen der Zugriffsverwaltung im lokalen Active Directory und der Handhabung in Entra ID. Wenn sich diese Richtlinien voneinander entfernen, können Sicherheitsteams blinde Flecken entwickeln, die Untersuchungen und Zugriffsentscheidungen unnötig erschweren.

Frage: Wie lässt sich Defender in Entra Conditional Access oder Microsoft Sentinel integrieren?

A. Defender übermittelt Echtzeit-Risikosignale zu Geräten an Entra ID. Dadurch stehen dem Conditional Access mehr Informationen zur Verfügung als nur der Registrierungsstatus. Wenn ein Gerät Anzeichen einer Kompromittierung aufweist oder die Compliance-Anforderungen nicht mehr erfüllt, können diese Informationen Einfluss darauf nehmen, wie die Echtzeit-Sitzung behandelt wird.

Sentinel entfaltet seinen vollen Nutzen, sobald sich eine Untersuchung nicht mehr auf ein einzelnes Gerät beschränkt. Das Tool kann Aktivitäten aus Defender mit Identitäts-, E-Mail- und anderen Sicherheitsdaten verknüpfen und bietet Analysten so einen klareren Überblick über den Ablauf der Ereignisse, ohne dass sie die Zusammenhänge über mehrere verschiedene Tools hinweg selbst rekonstruieren müssen.

Leistung und Berichterstattung

Frage: Welche Berichts- und Analysefunktionen bietet Defender zur Erfassung von Bedrohungen?

A. Die erweiterte Suche ist nützlich, wenn die Frage nicht mit einem bereits ausgelösten Alarm zusammenhängt. Sicherheitsteams können die Kusto Query Language nutzen, um Endpunkt- und Sicherheitsdaten zu überprüfen, eine Hypothese zu verdächtigen Aktivitäten zu testen und nützliche Abfragen in benutzerdefinierte Erkennungsregeln umzuwandeln.

„Secure Score for Devices“ dient einem anderen Zweck. Anstatt aufzuzeigen, was ein Angreifer bereits getan hat, macht es Schwachstellen in der Umgebung deutlich, die behoben werden sollten, bevor sie zu einem Vorfall führen.

Frage: Wie werden Endpunkt-Risiken und die Gerätekonformität gemessen?

A. Das Risiko eines Geräts kann sich ändern, wenn neue Sicherheitslücken auftreten, Patches übersehen werden oder verdächtige Aktivitäten erkannt werden. Defender und Intune können anhand dieses sich ändernden Risikograds entscheiden, ob das Gerät weiterhin die Zugriffsanforderungen des Unternehmens erfüllt.

Frage: Können wir Dashboards individuell anpassen oder Daten in externe Systeme exportieren?

A. Ja. Defender-Daten müssen nicht im Defender-Portal verbleiben. Teams können Defender- und Secure Score-Daten in Power BI importieren, wenn sie Berichte benötigen, die auf ihren eigenen Kennzahlen oder Berichtsanforderungen basieren.

Das Gleiche gilt für Sicherheitsvorgänge. Warn- und Vorfall-Daten können an Sentinel oder ein anderes SIEM-System gesendet werden, sodass die Aktivitäten von Defender zusammen mit den Daten aus dem übrigen Sicherheitsumfeld angezeigt werden.

Automatisierung und Reaktion

Frage: Wie geht Defender mit automatisierten Untersuchungen und Korrekturmaßnahmen (AIR) um?

A. Wenn ein Alarm ausgelöst wird, startet AIR ein Untersuchungs-Playbook, um den Umfang der Bedrohung zu ermitteln (beispielsweise durch das Auffinden aller weiteren Instanzen einer Phishing-E-Mail oder einer schädlichen Datei im gesamten Mandanten), und kann direkt darauf reagieren, indem es eine Nachricht unter Quarantäne stellt oder ein Gerät isoliert, ohne dass ein menschlicher Analyst jeden Schritt manuell durchlaufen muss. Dies ist eine der am häufigsten ungenutzten Funktionen von Defender, auf die wir stoßen. Unternehmen, die über eine AIR-Lizenz verfügen, haben oft nichts über die Standardeinstellungen hinaus konfiguriert.

Frage: Kann das System Endgeräte isolieren oder böswillige Änderungen automatisch rückgängig machen?

A. Beides ist Teil der Reaktion von AIR, sobald eine Bedrohung bestätigt wurde. Ein kompromittiertes Gerät kann schnell isoliert werden, um zu verhindern, dass es mit dem Rest des Netzwerks kommuniziert, während es dennoch für Untersuchungen zur Verfügung steht.

Frage: Wie lässt sich der Incident-Response-Prozess von Defender in die SOC-Arbeitsabläufe integrieren?

A. Defender reduziert den Informationsüberfluss, indem es Warnmeldungen, die offenbar Teil desselben Angriffs sind, zu einem einzigen Vorfall zusammenfasst. Für ein kleines oder überlastetes Sicherheitsteam ist es dadurch einfacher, den Überblick über die Geschehnisse zu behalten, ohne jede Warnmeldung einzeln durchgehen zu müssen.

Größere SOCs können dies mithilfe von Microsoft Threat Experts für zusätzliche Erkundungs- und Ermittlungsmaßnahmen noch weiter ausbauen. Sentinel kann dann bei der Fallbearbeitung helfen und Teile der Reaktion automatisieren, wenn ein Vorfall Systeme betrifft, die über Defender hinausgehen.

Kosten, ROI und Bereitstellung

Lesen Sie unseren vollständigen Beitrag „Wie viel kostet Microsoft Defender?“, in dem alle wichtigen Defender-Produkte und deren tatsächliche Kosten im Einzelnen aufgeführt sind.

Frage: Wie hoch sind die Gesamtbetriebskosten im Vergleich zu anderen EDR-/XDR-Plattformen?

A. Da „Defender for Endpoint“ in mehreren Microsoft 365-Stufen enthalten ist und nicht als eigenständiges Produkt verkauft wird, lautet die sinnvollere Frage in Bezug auf die Kosten in der Regel nicht: „Was würde eine neue EDR-Plattform kosten?“, sondern: „Wofür zahlen wir bereits, ohne es zu nutzen?“ Ein Unternehmen mit Microsoft 365 E5 zahlt für den „Defender for Endpoint Plan 2“, unabhängig davon, ob dieser konfiguriert ist oder nicht. Eine Lizenzüberprüfung ist der schnellste Weg, dies herauszufinden, bevor man einen separaten Kauf in Betracht zieht.

Frage: Wie einfach ist die Bereitstellung in großem Maßstab über mehrere Umgebungen hinweg?

A. Defender for Endpoint lässt sich in der Regel über Tools bereitstellen, die ein Unternehmen bereits nutzt, wie beispielsweise Intune, Gruppenrichtlinien oder Configuration Manager. Dadurch entfällt in vielen Windows-Umgebungen ein separater Bereitstellungsprozess.

Die Geschwindigkeit der Einführung hängt stark davon ab, wie ausgereift die bestehende Geräteverwaltung ist. Unternehmen, die Intune bereits einsetzen, müssen in der Regel weniger Komponenten von Grund auf neu aufbauen.

Frage: Welche Schulungen oder welche Unterstützung bietet Microsoft für die Bereitstellung von Defender an?

A. Microsoft stellt produktinterne Anleitungen und Dokumentationen bereit, und „Secure Score“ fungiert als integrierte Konfigurations-Checkliste. Für Unternehmen, denen die internen Kapazitäten fehlen, um die Empfehlungen von „Secure Score“ systematisch umzusetzen, oder die eine zweite Meinung einholen möchten, bevor sie in einem Produktions-Tenant Änderungen vornehmen, ist eine Überprüfung durch Professional Services anhand von Best Practices in der Regel der schnellere Weg. TrustedTech verfügt über alle sechs Microsoft Solutions Partner-Zertifizierungen, und diese Art von Diskrepanz zwischen Lizenzierung und Konfiguration ist eine der häufigsten Feststellungen bei unserer Arbeit mit Microsoft 365-Mandanten – keine gelegentliche Überraschung.

Laut einer von Microsoft in Auftrag gegebenen „Total Economic Impact“-Studie von Forrester Consulting erzielte ein fiktives Unternehmen, das Microsoft Defender einsetzte, über einen Zeitraum von drei Jahren einen Nutzen von 17,8 Millionen US-Dollar bei Kosten von 5,2 Millionen US-Dollar – was einem ROI von 242 % entspricht – und hatte sich die Investition in weniger als sechs Monaten amortisiert. Das interessanteste Ergebnis der Studie ist, ehrlich gesagt, was diese Rendite bewirkt hat: die Konsolidierung von Tools, nicht neue Ausgaben. Das deckt sich mit unseren Beobachtungen bei Mandantenbewertungen. Die Rendite ergibt sich in der Regel daraus, bereits lizenzierte Lösungen umfassender zu nutzen, und nicht daraus, ein weiteres Produkt hinzuzufügen.

Aktualisierungen, Wartung und Compliance

Frage: Wie werden Bedrohungsdefinitionen und Erkennungsmodelle aktualisiert?

A. Aktualisierungen erfolgen kontinuierlich über die Cloud und nicht nach einem festen Patch-Zyklus. Die Cloud-Sicherheitsanalysen und Bedrohungsinformationen von Defender werden zentral von Microsoft aktualisiert und automatisch an die verbundenen Endgeräte übertragen. So kann eine neue Angriffstechnik, die irgendwo in der globalen Telemetrie von Microsoft identifiziert wurde, sofort in die Erkennung in Ihrer Umgebung einfließen, ohne dass Sie auf eine manuelle Veröffentlichung warten müssen.

Frage: Welche Compliance-Standards unterstützt Microsoft Defender bei der Einhaltung (z. B. ISO 27001, NIST, DSGVO)?

A. Defender wurde so konzipiert, dass es alle wichtigen globalen und branchenbezogenen Compliance-Standards erfüllt; die vollständige Liste finden Sie hier. Purview unterstützt Sie bei der Dokumentation, indem es Compliance-bezogene Aktivitäten nachverfolgt und die Zusammenstellung dieser Informationen für Überprüfungen und Audits erleichtert.

Dies erweist sich insbesondere in regulierten Umgebungen als nützlich. Anstatt jedes Mal, wenn ein Prüfer dies verlangt, Nachweise aus verschiedenen Systemen zusammenzustellen, können die Teams eine übersichtlichere Dokumentation darüber führen, wie Sicherheits- und Compliance-Anforderungen im Laufe der Zeit umgesetzt werden.

Frage: Wie gewährleistet Microsoft den Datenschutz und die Datenhoheit im Rahmen des Defender-Betriebs?

A. Datenschutz und Datenhoheit werden auf verschiedene Weise geregelt. Protokolle werden entsprechend geografischen Grenzen gespeichert. US-Daten verbleiben innerhalb der US-Grenzen. Mandanten werden voneinander isoliert, wenn die erfassten Daten in separaten Speicherkontainern abgelegt werden.

Aus diesem Grund sollte der Datenaufbewahrungsort bei der Bereitstellung überprüft werden, anstatt ihn als selbstverständlich anzusehen. Das Microsoft Trust Center stellt regionale und dienstspezifische Informationen bereit, die Teams mit ihren eigenen Compliance-Anforderungen abgleichen können.

So erkennen Sie schnell, ob Sie Defender nicht optimal nutzen

Wenn mehr als zwei oder drei dieser Punkte zutreffen, liegt der schnellste Weg zum Erfolg wahrscheinlich nicht in einer Neuanschaffung, sondern in der Konfiguration:

• Sie haben Ihren Secure Score im letzten Quartal nicht überprüft oder kennen Ihren aktuellen Score nicht.
• Niemand im Team konnte aus dem Stegreif sagen, ob Sie eine Lizenz für „Defender for Endpoint Plan 1“ oder „Plan 2“ haben.
• Es gibt zwar Richtlinien für den bedingten Zugriff, diese laufen jedoch nur im Berichtsmodus oder wurden seit ihrer Einrichtung nicht mehr geändert.
• AIR ist technisch verfügbar, doch Vorfälle werden nach wie vor von Anfang bis Ende manuell priorisiert.
• „Defender for Identity“ ist in Ihrer Lizenz (E5) enthalten, aber niemand kann bestätigen, dass es tatsächlich aktiviert ist.
• Ihr lokales Active Directory und Entra ID weisen unterschiedliche Zugriffsrichtlinien für dieselben Benutzer auf.

Gemeinsamkeiten innerhalb von Organisationen

Ein eklatanter Mangel, den wir bei allen Sicherheitstools – nicht nur bei Defender – feststellen, ist, dass zwar die Lizenz erworben und Defender aktiviert wurde, aber nicht alle Funktionen im täglichen Einsatz zum Tragen kommen. Möglicherweise wurde eine Richtlinie in ihrer Standardeinstellung belassen, eine Empfehlung des „Secure Score“ wurde nicht umgesetzt oder eine Zugriffsregel spiegelt noch immer Entscheidungen wider, die bei der ursprünglichen Einführung getroffen wurden. Das Problem liegt in der Regel nicht in einem Mangel an Tools. Es besteht eine Lücke zwischen dem, was das Unternehmen besitzt, und dem, was tatsächlich konfiguriert wurde.

Das ist in der Regel eine Frage der Prioritäten und keine Nachlässigkeit. Sicherheitsteams müssen Patches, Benutzerunterstützung, Projekte, Audits und alltägliche Vorfälle unter einen Hut bringen, sodass Konfigurationsarbeiten, die nicht dringend sind, oft auf der Prioritätenliste nach hinten rücken.

Wenn Sie sich nicht sicher sind, ob Ihre Umgebung Ihrer Lizenz entspricht, ist dies ein sinnvoller Ausgangspunkt. Bei unserer Microsoft 365-Mandantenbewertung werden die Konfigurationen auf Identitäts-, Geräte-, Daten- und Anwendungsebene mit den Leistungen abgeglichen, für die Sie tatsächlich bezahlen. So erfahren Sie, was Sie beheben müssen, bevor Sie entscheiden, ob Sie neue Lösungen benötigen. Einen umfassenderen Überblick darüber, wo diese Lücken typischerweise auftreten, finden Sie in unserer Aufschlüsselung der häufigsten Sicherheitsfehlkonfigurationen bei Microsoft 365. Und falls Identitäten der Schwachpunkt in Ihrer Umgebung zu sein scheinen, erklärt der Artikel „Identity Is the New Perimeter“, warum dies in der Regel der richtige Ansatzpunkt für eine erste Überprüfung ist.