Microsoft Defender for Business: Geräte sauber onboarden

Microsoft Defender for Business ist die EDR-Lösung (Endpoint Detection and Response) für kleine und mittlere Unternehmen – enthalten in Microsoft 365 Business Premium oder als Standalone. Der wichtigste erste Schritt nach der Lizenzierung ist das Onboarding: Erst wenn ein Gerät onboarded ist, liefert es Signale an das Defender-Portal und wird durch die Security-Policies geschützt.

Dieser Artikel zeigt die Onboarding-Wege für Windows, Mac, Mobilgeräte und Server – und worauf du in kleinen Umgebungen achten solltest.

Voraussetzungen

Bevor du loslegst, sollten diese Punkte stehen:

• Lizenz vorhanden: Defender for Business (standalone) oder Microsoft 365 Business Premium. Für Server brauchst du zusätzlich eine Defender for Business servers-Lizenz.
• Benutzer angelegt und lizenziert im Microsoft 365 Admin Center (admin.microsoft.com).
• Rollen vergeben: Security Administrator (darf Einstellungen ändern und auf Bedrohungen reagieren) bzw. Security Reader (nur lesend) im Defender-Portal.
• Provisioning abgeschlossen: Öffne im Defender-Portal unter Assets → Devices. Erscheint die Meldung „Hang on! We’re preparing new spaces for your data", läuft das Provisioning noch – das kann bis zu 24 Stunden dauern.

Windows-Clients müssen unter Windows 10/11 in der Edition Business, Pro oder Enterprise laufen. Home-Editionen werden nicht unterstützt.

Der schnelle Weg: Setup-Assistent

Für die Ersteinrichtung gibt es einen Setup-Assistenten (Setup Wizard). Er führt dich durch Rollenvergabe, E-Mail-Benachrichtigungen und das Onboarding der Windows-Geräte. Wichtig: Den Assistenten kannst du nur einmal durchlaufen. Alles, was du dort nicht erledigst, holst du später manuell nach – das ist kein Problem.

Wenn in deiner Umgebung bereits Geräte in Intune enrolled sind, fragt Defender, ob du bei Intune bleiben oder auf die vereinfachte Konfiguration im Defender-Portal wechseln willst. Für reine SMB-Umgebungen ohne bestehendes Intune ist der Defender-Weg meist der einfachere.

Windows 10 und 11 onboarden

Für Windows-Clients gibt es drei Wege:

1. Local Script (empfohlen für wenige Geräte)

Das lokale Skript ist der schnellste Weg, wenn du keine bestehende Verwaltung hast. Es erledigt in einem Rutsch:

1. Vertrauensstellung mit Microsoft Entra ID herstellen (falls noch nicht vorhanden)
2. Gerät in Intune enrollen (falls noch nicht enrolled)
3. Gerät an Defender for Business onboarden

So gehst du vor:

1. Im Defender-Portal → Settings → Endpoints → Device management → Onboarding.
2. Windows 10 and 11 auswählen.
3. Unter Connectivity type die Option Streamlined wählen.
4. Bei Deployment method → Local script → Download onboarding package. Speichere das Paket z. B. auf einen USB-Stick.
5. Auf dem Zielgerät den Inhalt entpacken – du erhältst die Datei WindowsDefenderATPLocalOnboardingScript.cmd.
6. Eine Eingabeaufforderung als Administrator öffnen und das Skript ausführen:

%userprofile%\Desktop\WindowsDefenderATPLocalOnboardingScript.cmd

7. Danach einen Detection Test ausführen, um das Onboarding zu prüfen.

Empfehlung von Microsoft: Mit dem Local-Script-Verfahren maximal 10 Geräte gleichzeitig onboarden. Für größere Rollouts nimm Group Policy oder Intune.

2. Group Policy

Wenn du bereits Active Directory / Group Policy nutzt, kannst du das Onboarding per GPO verteilen. Die Schritte entsprechen im Wesentlichen dem Onboarding für Defender for Endpoint.

3. Intune (automatisches Onboarding)

Nutzt du Intune, ist die automatische Enrollment der sauberste Weg. Einmal eingerichtet, joinen Geräte im Hintergrund Entra ID, werden in Intune enrolled und – bei aktiviertem automatischem Onboarding – direkt an Defender for Business angebunden.

Automatische Enrollment aktivieren:

1. Im Azure-Portal → Microsoft Entra ID → Mobility (MDM and MAM) → Microsoft Intune.
2. MDM User scope auf All setzen (dann können alle Nutzer ihre Windows-Geräte automatisch enrollen).
3. Speichern.

Microsoft empfiehlt für das automatische Defender-Onboarding die Option „all devices enrolled" – so wird jedes neu in Intune enrollte Windows-Gerät automatisch an Defender angebunden.

Mac onboarden

Für Macs empfiehlt Microsoft ebenfalls das lokale Skript als einfachsten Weg (Intune-Enrollment geht auch, ist aber aufwändiger).

1. Im Defender-Portal → Settings → Endpoints → Onboarding → macOS → Streamlined.
2. Download onboarding package und Download installation package herunterladen.
3. Auf dem Mac das Installationspaket als wdav.pkg, das Onboarding-Paket als WindowsDefenderATPOnboardingPackage.zip ins selbe Verzeichnis legen.
4. wdav.pkg im Finder öffnen, Lizenzbedingungen bestätigen, Passwort eingeben.
5. Wichtig: Die System Extension von Microsoft erlauben (System Preferences → Security & Privacy → Allow). Ohne diese Freigabe funktioniert der Schutz nicht vollständig.
6. Das Onboarding-Paket per Bash-Befehl ausführen.

Auch bei Macs gilt: nicht mehr als 10 Geräte gleichzeitig per Local Script.

Mobilgeräte (Android & iOS) onboarden

Defender for Business bringt Mobile Threat Defense mit. Zwei Wege:

• Microsoft Defender App: Nutzer installieren die App aus Google Play bzw. App Store, melden sich mit dem Microsoft-365-Arbeitskonto an und durchlaufen das Onboarding. Voraussetzung ist meist eine vorherige Registrierung im Microsoft Authenticator.
• Microsoft Intune: Wenn im Abo enthalten, kannst du Android- und iOS/iPadOS-Geräte über Intune enrollen.

Auf iOS erlaubt die Defender-App eine lokale VPN-Verbindung – die ist für den Web-/Phishing-Schutz nötig und verlässt das Gerät nicht.

Server onboarden

Für Windows Server oder Linux Server brauchst du eine separate Defender for Business servers-Lizenz. Zusätzlich muss der Enforcement-Scope aktiviert sein:

Settings → Endpoints → Configuration management → Enforcement scope → Use MDE to enforce security configuration settings from MEM → Windows Server aktivieren → Save.

Anschließend wieder per Local Script onboarden. Für Windows Server 2012 R2 und 2016 gibt es zwei Pakete – ein Installationspaket (MSI) und das Onboarding-Paket:

Msiexec.exe /i md4ws.msi /quiet

Danach das Onboarding-Skript ausführen.

Nach dem Onboarding: Policies prüfen

Onboarding ist nur der erste Schritt. Defender for Business bringt vorkonfigurierte Security-Policies für Next-Generation Protection und Firewall mit, die auf empfohlenen Einstellungen basieren – deine Geräte sind also ab dem Onboarding grundgeschützt. Trotzdem solltest du die Policies unter Configuration durchgehen und an deine Umgebung anpassen.

Sinnvolle nächste Schritte:

• E-Mail-Benachrichtigungen für Alerts einrichten
• Device Groups anlegen (z. B. Server vs. Clients)
• Attack Surface Reduction (ASR) Rules aktivieren – dazu folgt ein eigener Artikel

Kurz-Checkliste