Microsoft Defender for Endpoint: AV-Konfiguration (Next-Generation Protection)

Microsoft Defender Antivirus ist die Next-Generation-Protection-Komponente von Defender for Endpoint (MDE) – und damit weit mehr als ein klassischer Virenscanner. Diese Komponente kombiniert Machine Learning, Big-Data-Analysen, Threat Research und Microsofts Cloud-Infrastruktur zu mehreren Schutzebenen (verhaltensbasiert, heuristisch und in Echtzeit). Anders als Fremdlösungen (z. B. CrowdStrike oder Symantec) ist Defender AV tief in den Windows-Kernel integriert und in aktuellen Windows-10/11- sowie Windows-Server-Versionen bereits fester Bestandteil des Betriebssystems. Die Einstellungen liegen in vorhandenen Registry-Schlüsseln und lassen sich über verschiedene Management-Tools setzen.

Dieser Teil zeigt, welche zusätzlichen AV-Konfigurationen es gibt, welche Werte in einer Sicherheits-Baseline sinnvoll sind und wie sich die einzelnen Settings verhalten. Grundlage ist ein dediziertes Endpoint-Security-Profil „Microsoft Defender Antivirus" in Intune (unter Endpoint Security → Antivirus).

Übersicht: zusätzliche Konfigurationen

Neben den Grundeinstellungen im Defender-Portal (security.microsoft.com) gibt es zahlreiche weitere Konfigurationen, die das Schutzniveau anheben. Grob lassen sich diese in drei Bereiche gliedern:

Next-Generation Protection / Defender Antivirus – zusätzliche Optionen für den integrierten Virenschutz:

• Cloud-Schutz (Cloud-delivered protection)
• Echtzeitschutz (Real-time protection)
• Block at First Sight
• Signaturupdate-Einstellungen
• Scan-Einstellungen
• Weitere Antivirus-Konfigurationen

Attack Surface Reduction (ASR) – Einstellungen zur Verringerung der Angriffsfläche: ASR-Regeln, Controlled Folder Access, Device Control, Exploit Protection, Network Protection, Web Protection, Ransomware-Schutz, Application Control und HW-basierte Isolation.

Weitere Defender-Schutzfunktionen – ergänzende Sicherheitsfeatures: Windows Defender Credential Guard, Microsoft Defender SmartScreen und Windows Defender Firewall.

Insbesondere Defender AV (Next-Generation Protection) und die Angriffsflächenreduzierung erhöhen das Schutzniveau deutlich und liefern MDE zusätzliche sicherheitsrelevante Telemetrie.

Warum Next-Generation Protection?

Defender AV schützt auch vor modernen, dateilosen Angriffen (fileless attacks). Der Next-Gen-Schutz kombiniert dazu lokale (clientseitige) und cloudbasierte Machine-Learning-Modelle. Die erste Schicht ist ein leichtgewichtiges, lokal auf dem Rechner laufendes ML-Modell; viele dieser Modelle sind auf Dateitypen spezialisiert, die häufig von Malware missbraucht werden (JavaScript, VBScript, Office-Makros und ausführbare Dateien).

Der Schutz teilt sich in Cloud- und Client-Komponenten auf:

• Cloud-Schutz: Metadaten-basiertes ML (schnelle Erkennung anhand von Datei-Metadaten), reputationsbasiertes ML, Dateiklassifizierungs-ML (neuronale Netze), detonationsbasiertes ML (Ausführen verdächtiger Dateien in isolierter Umgebung) sowie experten­basierte „Smart Rules".
• Client-Schutz: Heuristiken, Emulation (Ausführen in virtueller Umgebung), clientseitiges ML, Verhaltensüberwachung (Behavior Monitoring), AMSI-Integration (Anti-Malware Scan Interface), Speicherscans (Memory Scanning) und Netzwerküberwachung.

Wichtige Fähigkeiten von MDE hängen direkt vom aktivierten Cloud-Schutz ab: der Abgleich von Datei-Metadaten mit Cloud-Datenbanken, das Einsenden verdächtiger Dateien, Manipulationsschutz (Tamper Protection), Block at First Sight, Notfall-Signatur-Updates aus der Cloud, EDR im Blockmodus sowie mehrere ASR-Regeln (u. a. das Blockieren von Dateien mit geringer Verbreitung/Vertrauenswürdigkeit, erweiterter Ransomware-Schutz und das Blockieren nicht vertrauenswürdiger Programme von Wechseldatenträgern). Ohne Cloud-Anbindung stehen diese Funktionen nicht zur Verfügung – der Cloud-Schutz sollte daher auf allen Geräten aktiv sein.

Überblick über die Next-Generation-Protection-Engines: clientseitige (Heuristiken, Emulation, ML, Verhaltensüberwachung) und cloudseitige Modelle greifen ineinander (Quelle: Microsoft).

Cloud-Schutz (Cloud Protection)

Der cloudbasierte Schutz ist ein kritischer Bestandteil und muss korrekt aktiviert sein. Für den Cloud-Block-Level stehen vier vordefinierte Stufen zur Verfügung:

• Not configured (Nicht konfiguriert)
• High (Hoch)
• High Plus (Hoch Plus)
• Zero Tolerance

Zero Tolerance blockiert alle unbekannten ausführbaren Dateien und eignet sich für stark eingeschränkte Endpunkte. Erfahrungsgemäß bietet High bereits einen guten Durchschnittsschutz, High Plus ergänzt zusätzliche Schutzmaßnahmen.

Empfehlung: Wenn möglich High Plus verwenden, mindestens jedoch High. Der Cloud-Schutz sollte niemals deaktiviert oder auf „Not configured" belassen werden – ohne ihn fehlen zentrale Schutzmechanismen und Funktionen von MDE.

Konfiguration in Intune (Profil Microsoft Defender Antivirus):

Endpoint-Security-Profil „Microsoft Defender Antivirus" in Intune (Endpoint Security → Antivirus) mit Verhaltensüberwachung, Cloud-Schutz, Echtzeitschutz und Cloud-Block-Level.

Probenübermittlung (Sample Submission)

Die Probenübermittlung ist ein zentraler Bestandteil des Cloud-Schutzes: Bei verdächtigen Dateien sendet Defender bestimmte Metadaten an den Cloud-Dienst, wenn die lokale AV-Instanz per Machine Learning oder Verhaltensanalyse keine eindeutige Entscheidung treffen kann. Kann auch der Cloud-Schutz kein schnelles Urteil fällen, wird ggf. die Datei selbst zur weiteren Untersuchung angefordert.

So funktioniert die Probenübermittlung: Kann der Cloud-Schutz kein schnelles Urteil fällen, fordert er die verdächtige Datei zur weiteren Analyse an (Quelle: Microsoft).

Es gibt vier Stufen:

Empfehlung: Entweder „Unbedenkliche Proben automatisch senden" oder „Alle Proben automatisch senden". Ersteres fragt nur nach, wenn eine Datei möglicherweise persönliche Daten enthält; Letzteres sendet alle verdächtigen Dateien ohne Rückfrage. „Nicht senden" niemals wählen – damit wird auch Block at First Sight deaktiviert, und die Analyse beschränkt sich auf reine Metadaten.

In Intune wird dazu die Einstellung Submit Samples Consent auf eine der empfohlenen Optionen gesetzt (z. B. Send safe samples automatically).

Die Einstellung „Submit Samples Consent" im Antivirus-Profil – hier auf eine der empfohlenen Optionen setzen.

Cloud-Timeout für Blockierungen

Das erweiterte Cloud-Timeout (Cloud Extended Timeout) bestimmt, wie lange Defender die Ausführung einer Datei verhindern kann, während die Cloud sie bewertet. Standardmäßig blockiert Microsoft eine unbekannte Datei 10 Sekunden. Eine Verlängerung erhöht die Wahrscheinlichkeit, ein eindeutiges Cloud-Ergebnis zu erhalten.

Das Timeout lässt sich zwischen 1 und 50 Sekunden einstellen. Der konfigurierte Wert wird zum Standardwert addiert – bei 50 Sekunden konfiguriertem Timeout ergibt das eine Blockierzeit von 50 + 10 = 60 Sekunden.

Empfehlung: Das Maximum von 50 Sekunden zusätzlichem Timeout konfigurieren (Cloud Extended Timeout = 50).

Block at First Sight (BAFS)

Die Kombination der drei obigen Einstellungen aktiviert Block at First Sight (BAFS) – eine Technologie, die neue Malware innerhalb von Sekunden erkennt und blockiert. Damit BAFS greift, müssen alle folgenden Komponenten korrekt gesetzt sein:

• Cloud-Schutz aktiv
• Probenübermittlung aktiv (nicht „Nicht senden")
• strikter Cloud-Block-Level (High oder höher, z. B. High Plus / Zero Tolerance)

Sind alle Komponenten korrekt konfiguriert, ist BAFS vollständig aktiviert.

Scanoptionen

Täglicher Schnellscan statt wöchentlichem Full Scan

Früher galt der wöchentliche Full Scan als Best Practice. Ein Vollscan führt jedoch zu Doppelprüfungen und beansprucht viel Zeit und Systemressourcen. Mit heutigen Cloud-Schutzfunktionen und Automated Investigation ist ein regelmäßiger Full Scan nicht mehr nötig – Echtzeit- und Cloud-Schutz prüfen alle Dateien beim Öffnen und Schließen sowie in allen Ordnern, auf die zugegriffen wird.

Empfehlung: Einen täglichen Schnellscan (Quick Scan) konfigurieren. Einmalig nach Erstaktivierung oder Neuinstallation kann ein Full Scan sinnvoll sein, um das System initial zu prüfen und bereits vorhandene Bedrohungen zu erkennen.

In Intune wird dazu Schedule Quick Scan Time auf die gewünschte Uhrzeit gesetzt. Ein Schedule Scan Day muss nicht angegeben werden – ein festgelegter Schnellscan-Zeitpunkt läuft automatisch täglich.

„Schedule Quick Scan Time" legt die Uhrzeit des täglichen Schnellscans fest – ein Wochentag muss dabei nicht angegeben werden.

Weitere Scanoptionen

Signaturen

Defender AV ist auf täglich aktualisierte Signatur- und Bedrohungsdefinitionen angewiesen. Das Update KB2267602 stellt mehrmals täglich aktualisierte Security Intelligence bereit; in Kombination mit dem Cloud-Schutz kann Microsoft zusätzlich Signatur- oder kritische Updates außer der Reihe ausliefern.

Defender AV unterstützt mehrere Bezugsquellen für Signatur-Updates:

• Microsoft Update – direkt über Microsoft-Update-Dienste (empfohlen)
• Windows Server Update Services (WSUS)
• Microsoft Endpoint Configuration Manager (SCCM)
• Network file share – über eine Netzwerkfreigabe
• Manuelles Herunterladen der Security-Intelligence-Update-Pakete

Ein häufiger Fehler ist, die Update-Frequenz zu verringern, um potenziell fehlerhafte Signaturen zu überspringen. Microsoft stellt jedoch bei Problemen umgehend Korrektur-Updates bereit. Bei hoher Frequenz wird ein Fix sofort mit dem nächsten Update verteilt; bei einem Intervall von z. B. 48 Stunden dauert es entsprechend länger, bis der Fix die Endpunkte erreicht.

Wichtig: WSUS/SCCM sollten nicht als primäre Updatequelle für Defender-AV-Signaturen dienen. Bei WSUS/SCCM muss der Definitionskatalog erst synchronisiert werden (oft täglich oder wöchentlich); veröffentlicht Microsoft in der Zwischenzeit einen kritischen Fix, muss bis zur nächsten Katalog-Synchronisation gewartet werden. Das verkompliziert den Prozess, verzögert Updates und verursacht oft Probleme.

Signaturquelle

Empfehlung: Microsoft Update als primäre Bezugsquelle einstellen und WSUS/SCCM nicht als Hauptquelle nutzen.

In Intune ist keine explizite Konfiguration der Signaturquelle nötig. Standardmäßig nutzt der Client die Update-Reihenfolge MicrosoftUpdateServer | MMPC (Microsoft Update gefolgt vom Microsoft Malware Protection Center).

Signaturaktualisierungsintervall

Je kürzer das Intervall, desto kleiner die herunterzuladenden Delta-Pakete. Bei 1–4 Stunden bleiben die Pakete klein und die Netzwerklast gering; längere Intervalle (mehrere Stunden oder Tage) erzeugen größere Deltas.

Empfehlung: Ein Intervall von 1 Stunde (Signature Update Interval = 1) für Defender-Signaturupdates.

Zusätzlicher Schutz

Local Admin Merge deaktivieren

Eine oft unterschätzte Option ist das Deaktivieren der lokalen Administrator-Ausnahmen (Local Admin Merge). Diese Einstellung gehört in jede Sicherheits-Baseline. Ist die Zusammenführung lokaler Einstellungen aktiv, können lokale Administratoren eigene Ausschlusslisten für den Virenscanner anlegen. Durch Disable Local Admin Merge gelten hingegen ausschließlich die zentral (Intune, MECM) konfigurierten Ausnahmen.

Sowohl für Defender AV als auch für die Windows-Firewall sollte „Disable Local Admin Merge" aktiviert werden. Andernfalls könnte ein lokaler Administrator viele Schutzmechanismen über die Windows-Sicherheitsoberfläche oder das PowerShell-Modul aushebeln. (Anmerkung: Einige Umgehungsmöglichkeiten für Ausschlüsse bleiben selbst dann bestehen.)

Empfehlung: In jedem Fall aktivieren. Ist die lokale Zusammenführung abgeschaltet, muss allerdings zentral verwaltet werden, wenn Anwendungen während der Installation selbst Ausschluss- oder Firewall-Regeln hinzufügen (in der Praxis z. B. bei Firewall-Regeln beobachtet).

In Intune wird dazu Disable Local Admin Merge auf Disabled gesetzt – lokale Administratoren können dann keine AV-Ausnahmen mehr über die Oberfläche oder PowerShell hinzufügen.

Die Einstellung „Disable Local Admin Merge" im Antivirus-Profil.

Auf „Disabled" gesetzt gelten nur noch die zentral verwalteten Ausnahmen – lokale Admins können keine eigenen AV-Ausschlüsse mehr hinzufügen.

PUA-Schutz (Potentially Unwanted Applications)

Potenziell unerwünschte Anwendungen (PUA) verlangsamen z. B. das System, blenden Werbung ein oder installieren weitere unerwünschte Programme. PUA gelten nicht als Virus oder Malware, können aber die Performance beeinträchtigen oder als Umgehungssoftware dienen. Typische Beispiele: CCleaner, gebündelte Installer (z. B. uTorrent Bundle), Toolbar-Software und Software mit versteckten Zusatzinstallationen.

Empfehlung: Den PUA-Schutz aktivieren – zunächst im Audit Mode – und die Protokolle bzw. Advanced-Hunting-Logs auswerten, um die Auswirkungen abzuschätzen, bevor der Blockiermodus erzwungen wird.

In Intune wird PUA Protection aktiviert; für Tests zunächst Audit Mode, später Enable (Blockieren).

„PUA Protection" im Antivirus-Profil – für den Einstieg empfiehlt sich der Audit Mode, bevor auf Blockieren umgestellt wird.

Benutzerdefinierte Einstellungen

Einige Settings sind in den Standard-Intune-Richtlinien für Defender AV noch nicht verfügbar und müssen über benutzerdefinierte Profile (Settings Catalog) gesetzt werden:

• EnableFileHashComputation: Die Berechnung von Datei-Hashes verbessert die Indikator-Verarbeitung – mehr gesammelte Hashes ermöglichen ein besseres und schnelleres Abgleichen kundenspezifischer Datei-Indikatoren. Die Option kann jedoch Leistungsaufwand verursachen, besonders auf Systemen mit hohem Dateidurchsatz (z. B. Dateiserver) – daher vorab unbedingt auf Performance testen. Für besonders sicherheitskritische Systeme ist sie sehr empfehlenswert. Konfiguration über den Settings Catalog in Intune.

„EnableFileHashComputation" wird über den Settings Catalog in Intune gesetzt.

• Ausschlusslisten ausblenden: Über zwei Optionen lässt sich die Ansicht von Ausschlüssen einschränken – Hide Exclusions from Local Admins und Hide Exclusions from Local Users. Selbst mit Adminrechten kann ein Benutzer die Defender-Ausschlüsse (Registry oder GUI) dann weder einsehen noch ändern, was das Umgehen zentraler Richtlinien erschwert. Beide Optionen blenden Ausschlüsse in der Windows-Sicherheitsoberfläche für lokale Administratoren wie Standardbenutzer aus.

Die beiden Optionen „Hide Exclusions from Local Admins" und „Hide Exclusions from Local Users" im Settings Catalog.

Netzwerkschutz (Network Protection)

Der Netzwerkschutz ist – zusammen mit benutzerdefinierten Netzwerkindikatoren und Web Content Filtering – ein essenzielles MDE-Feature. Damit Indikatoren (Schad­adressen, URLs usw.) tatsächlich blockiert werden, muss der Netzwerkschutz im Blockiermodus aktiv sein. Er ist eine ASR-Fähigkeit und verhindert den Zugriff auf gefährliche Domänen sowie auf benutzerdefinierte, blockierte Indikatoren. Besonders wichtig: Er erkennt und blockiert Verbindungen zu Command-and-Control-(C2)-Infrastrukturen, wie sie bei Ransomware-Angriffen genutzt werden.

Für Microsoft Edge muss zusätzlich SmartScreen aktiviert sein; bei anderen Browsern oder Nicht-Browser-Prozessen greift SmartScreen nicht, dort ist allein der Netzwerkschutz im Block-Modus relevant:

Für den Netzwerkschutz müssen zudem Echtzeitschutz und Cloud-Schutz aktiv sein. Die Optimierung des Netzwerkschutzes ist standardmäßig eingeschaltet (-AllowSwitchToAsyncInspection per Default aktiv) und kann Kompatibilitätsprobleme verringern sowie Bandbreite sparen.

Windows Server & Multi-Session: Für Server und Multi-Session-Umgebungen (z. B. Windows Virtual Desktop) ist zusätzliche Konfiguration erforderlich, sofern sie nicht über Intune verwaltet werden. Microsoft hat dafür u. a. die Richtlinien Allow Network Protection Down Level und Allow Datagram Processing on Win Server ergänzt:

Set-MpPreference -EnableNetworkProtection Enabled
Set-MpPreference -AllowNetworkProtectionOnWinServer 1
Set-MpPreference -AllowNetworkProtectionDownLevel 1
Set-MpPreference -AllowDatagramProcessingOnWinServer 1

Die zusätzlichen Server-Richtlinien (u. a. „Allow Network Protection Down Level" und „Allow Datagram Processing on Win Server") lassen sich über Intune bzw. MDE verwalten.

Hinweis: AllowDatagramProcessingOnWinServer betrifft die Untersuchung von UDP-Verkehr auf Windows Server und sollte auf hoch belasteten Servern (Exchange, SQL usw.) gründlich getestet werden.

Empfehlung: Netzwerkschutz im Block-Modus aktivieren (Enable Network Protection = Enabled/Block). Zur Auswertung kann zunächst der Audit Mode dienen – dieser blockiert allerdings keine Webadressen oder Netzwerkverbindungen.

„Enable Network Protection" auf „Enabled (Block)" gesetzt – nur so werden Indikatoren und schädliche Verbindungen tatsächlich blockiert.

Manipulationsschutz (Tamper Protection)

Der Manipulationsschutz sollte immer aktiv sein, idealerweise direkt im Defender-Portal für alle Geräte eingeschaltet (siehe Kapitel „Initialkonfiguration"). Er sollte nie deaktiviert werden – selbst für Administrationszwecke; für Troubleshooting steht stattdessen der temporäre Troubleshooting Mode zur Verfügung. Eine häufige Angreifertaktik besteht darin, Sicherheitsfunktionen zu deaktivieren, um Malware zu platzieren oder Daten und Identitäten auszunutzen – Tamper Protection erschwert genau das erheblich.

Ist der Manipulationsschutz aktiv, unterbindet er insbesondere folgende Aktionen durch unerlaubte Benutzer oder Malware:

• Deaktivieren des Viren- und Bedrohungsschutzes
• Deaktivieren des Echtzeitschutzes
• Ausschalten der Verhaltensüberwachung
• Deaktivieren des Antivirenschutzes über IOAV-Schnittstellen (z. B. IOfficeAntivirus)
• Deaktivieren des Cloud-Schutzes
• Entfernen von Security-Intelligence-Updates (Signatur-/Definitions-Updates)
• Deaktivieren automatischer Aktionen bei erkannten Bedrohungen
• Unterdrücken von Benachrichtigungen in der Windows-Sicherheit-App
• Deaktivieren des Scanvorgangs für Archive und Netzlaufwerke

Tamper Protection für Ausschlüsse

Wird Tamper Protection über Intune und die Defender-Diensteinstellungen aktiviert, greift – in Kombination mit dem deaktivierten Local Admin Merge – ein zusätzlicher Schutz für Ausschlusslisten: Jede Ausschlussregel, die über andere Prozesse oder Drittanwendungen hinzugefügt wurde, wird von Defender ignoriert. So gelten bei Intune-Verwaltung ausschließlich die zentral vorgegebenen Einstellungen; alles, was über andere Methoden, Anwendungen oder Gruppenrichtlinien gesetzt würde, wird ignoriert. Das verhindert das übliche Verhalten mancher Installer, während der Installation im Hintergrund Ausschlüsse hinzuzufügen.

Überprüfung: Unter HKLM\SOFTWARE\Microsoft\Windows Defender\Features liegt der Wert TPExclusions. Ein Wert von 1 zeigt an, dass Ausschlüsse durch Tamper Protection geschützt sind; 0 oder ein fehlender Eintrag bedeuten, dass diese Schutzfunktion noch nicht aktiv ist. (Ein manuelles Ändern des Schlüssels hat keine Auswirkung – er dient nur als Indikator.)

Konfiguration überprüfen

Mit PowerShell lässt sich prüfen, ob Defender for Endpoint korrekt konfiguriert und aktiv ist:

• Get-MpPreference – listet die Konfiguration von Defender AV auf. Hier kontrollieren, ob alle wichtigen Schutzmechanismen (Cloud-Schutz, Echtzeitschutz, Verhaltensüberwachung usw.) auf Enabled/Allowed stehen.

Beispielausgabe von Get-MpPreference: hier lässt sich prüfen, ob die wichtigen Schutzmechanismen aktiviert bzw. erlaubt sind.

• Get-MpComputerStatus – gibt den Laufzeit-Status aus (ob AV aktiv ist, wann der letzte Scan lief, Definitionsversionen usw.). Das Feld AMRunningMode zeigt den aktuellen AV-Modus (Normal = aktiv), AMProductVersion die installierte Plattformversion.

Beispielausgabe von Get-MpComputerStatus: Das Feld AMRunningMode zeigt den AV-Modus, AMProductVersion die installierte Plattformversion.

PowerShell-Konfiguration (Beispiel)

Wichtig: PowerShell nur verwenden, wenn keine andere Management-Lösung (Intune, GPO usw.) zur Verfügung steht.

# Cloud protection
Set-MpPreference -MAPSReporting Advanced
Set-MpPreference -CloudBlockLevel High
Set-MpPreference -CloudExtendedTimeout 50
Set-MpPreference -SubmitSamplesConsent 3        # Send all samples
Set-MpPreference -DisableBlockAtFirstSeen $False
Set-MpPreference -DisableBehaviorMonitoring $False
Set-MpPreference -DisableRealtimeMonitoring $False
Set-MpPreference -DisableIOAVProtection $False

# Scan settings
Set-MpPreference -ScanAvgCPULoadFactor 20
Set-MpPreference -DisableScriptScanning $False
Set-MpPreference -DisableEmailScanning $False
Set-MpPreference -DisableRemovableDriveScanning $False
Set-MpPreference -DisableCatchupFullScan $False
Set-MpPreference -DisableCatchupQuickScan $False
Set-MpPreference -DisableScanningMappedNetworkDrivesForFullScan $True
Set-MpPreference -RandomizeScheduleTaskTimes $True
Set-MpPreference -CheckForSignaturesBeforeRunningScan $True
Set-MpPreference -RealTimeScanDirection 0

# Update / signature schedule
Set-MpPreference -SignatureUpdateInterval 1
Set-MpPreference -SignatureUpdateCatchupInterval 1
Set-MpPreference -ScanScheduleQuickScanTime 02:00:00

# Quarantine
Set-MpPreference -QuarantinePurgeItemsAfterDelay 60

# PUA + Network Protection
Set-MpPreference -PUAProtection AuditMode
Set-MpPreference -EnableNetworkProtection Enabled
Set-MpPreference -AllowNetworkProtectionOnWinServer 1
Set-MpPreference -AllowNetworkProtectionDownLevel 1
Set-MpPreference -AllowDatagramProcessingOnWinServer 1

# Defender for Endpoint – expedite telemetry
Set-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows Advanced Threat Protection" `
  -Name "latency" -Value expedite -Force

Verwaltung von Defender AV

Defender AV lässt sich über mehrere Wege verwalten: Microsoft Intune, Microsoft Configuration Manager (SCCM), die Security Management for Defender for Endpoint (für nicht bei Intune registrierte, aber onboardete Geräte), Gruppenrichtlinien (GPO) sowie notfalls PowerShell/DSC.

Intune ist der modernste und am weitesten verbreitete Weg. Dort gibt es drei Methoden: Gerätekonfigurationsprofile (ADMX / Settings Catalog), Sicherheitsbaselines und Endpoint Security Profile. Letztere werden von Microsoft am aktivsten weiterentwickelt und unterstützen neue Funktionen in der Regel zuerst – sie sind daher zu bevorzugen.

Beispielansicht der verfügbaren Sicherheitsbaselines im Intune Admin Center – vordefinierte Best-Practice-Vorlagen zum schnellen Härten von Geräten.

Praxis: Sicherheitsbaselines eignen sich für allgemeines Hardening. Alle Defender-AV-bezogenen Einstellungen sollten jedoch aus der Baseline entfernt und stattdessen über dedizierte Endpoint-Security-Profile abgebildet werden. So vermeidet man Doppelkonfigurationen (z. B. bei ASR-Regeln kam es zu Konflikten, wenn Baseline und Endpoint-Security-Profil dieselbe Regel setzten) und behält gezielte Ein-/Ausschlüsse im Griff.

Auswahl eines passenden Endpoint-Security-Profils (Plattform Windows 10/11/Server, Profiltyp „Microsoft Defender Antivirus") zur Konfiguration der Defender-Einstellungen.

Die Security Management for Defender for Endpoint ermöglicht es, Konfigurationen direkt aus Intune an MDE-onboardete Geräte zu übermitteln, ohne diese vollständig in Intune enrollen zu müssen. Für Windows-Geräte läuft der Prozess wie folgt ab:

Ablaufdiagramm für Windows-Geräte bei Verwendung der Sicherheitsverwaltung (MDE Security Management).

Über die Policy-Sync-Schaltfläche auf der Geräteseite im Defender-Portal lässt sich eine Synchronisierung manuell auslösen, um neue Richtlinien zeitnah abzurufen:

Die „Policy sync"-Schaltfläche auf der Geräteseite im Defender-Portal stößt eine sofortige Richtlinien-Synchronisierung an.

Referenz: die einzelnen Konfigurations-Settings

Zur schnellen Orientierung eine Erklärung der wichtigsten Einstellungen im Defender-AV-Profil samt empfohlenem Wert.

Scan- und Echtzeitschutz

• Allow Archive Scanning – prüft komprimierte Dateien (ZIP, RAR) auf enthaltene Malware. Empfohlen: Allowed.
• Allow Behavior Monitoring – Verhaltensüberwachung zur frühen Erkennung verdächtiger Aktivitäten (z. B. Ransomware-Verhalten). Empfohlen: Allowed.
• Allow Cloud Protection – nutzt die Cloud-Schutzdienste für schnellere Erkennung/Reaktion. Empfohlen: Allowed.
• Allow Email Scanning – prüft E-Mail-Inhalte und -Anhänge. Empfohlen: Allowed.
• Allow Full Scan On Mapped Network Drives – Vollscan auf zugeordneten Netzlaufwerken. Empfohlen: Not configured.
• Allow Full Scan Removable Drive Scanning – Vollscan auf Wechseldatenträgern (USB, externe HDD). Empfohlen: Allowed.
• [Deprecated] Allow Intrusion Prevention System – veraltetes IPS. Empfohlen: Not configured.
• Allow scanning of all downloaded files and attachments – prüft alle Downloads und Anhänge. Empfohlen: Allowed.
• Allow Realtime Monitoring – Echtzeitschutz; Dateien werden bei Zugriff/Änderung überwacht. Empfohlen: Allowed.
• Allow Scanning Network Files – prüft über das Netzwerk aufgerufene Dateien. Empfohlen: Allowed.
• Allow Script Scanning – analysiert Skripte (PowerShell, JavaScript) auf bösartige Inhalte. Empfohlen: Allowed.
• Allow User UI Access – ob Benutzer die Defender-Oberfläche aufrufen dürfen. Empfohlen: Allowed.
• Allow On Access – aktiviert/deaktiviert das On-Access-Scannen (Dateien bei Zugriff/Ausführung sofort prüfen).
• Real Time Scan Direction – ob eingehende, ausgehende oder beide Datenrichtungen gescannt werden.
• Scan Parameter – welche Objekte (nur lokale Laufwerke oder auch Netzlaufwerke) bei geplanten Scans geprüft werden.

Performance und Archive

• Avg CPU Load Factor – begrenzt die CPU-Auslastung während Scans, um die Systemleistung zu schonen.
• Enable Low CPU Priority – lässt Scans mit niedriger CPU-Priorität laufen.
• Archive Max Depth – wie tief verschachtelte Archive (ZIP in ZIP) gescannt werden.
• Archive Max Size – maximale Archivgröße, die gescannt wird; größere werden ggf. übersprungen.

Cloud und Proben

• Cloud Block Level – wie aggressiv Cloud-Schutzmaßnahmen blockieren (auch bei Verdacht ohne vollständige Analyse).
• Cloud Extended Timeout – Wartezeit auf eine Cloud-Antwort, bevor lokal entschieden wird.
• Submit Samples Consent – ob und wie Proben verdächtiger Dateien automatisch an Microsoft gesendet werden.
• Days To Retain Cleaned Malware – wie lange bereinigte oder in Quarantäne verschobene Bedrohungen aufbewahrt werden.

Scan-Zeitplan

• Check For Signatures Before Running Scan – sucht vor jedem Scan nach den neuesten Signaturen.
• Disable Catchup Full Scan – verhindert das automatische Nachholen eines verpassten Full Scans.
• Disable Catchup Quick Scan – verhindert das Nachholen eines verpassten Schnellscans.
• Schedule Quick Scan Time – Uhrzeit des geplanten Schnellscans.
• Schedule Scan Day – Wochentag des geplanten Full Scans.
• Schedule Scan Time – Uhrzeit des geplanten Full Scans.

Ausschlüsse und Administration

• Excluded Extensions – vom Scan ausgeschlossene Dateierweiterungen (z. B. .log, .bak).
• Excluded Paths – nicht gescannte Ordner/Verzeichnisse (Performance oder Kompatibilität).
• Excluded Processes – vom Echtzeitschutz ausgenommene Prozesse.
• Disable Local Admin Merge – verhindert, dass lokale Administratoren eigene Defender-Einstellungen setzen, wenn Richtlinien greifen.
• PUA Protection – Schutz vor potenziell unerwünschten Anwendungen (Adware, unerwünschtes Verhalten).

Signatur- und Update-Kanäle

• Signature Update Fallback Order – Reihenfolge alternativer Quellen, falls die primäre Signaturquelle nicht erreichbar ist.
• Signature Update File Shares Sources – Netzwerkpfade, von denen Signatur-Updates bezogen werden können.
• Signature Update Interval – Zeitintervall, in dem nach neuen Signaturen gesucht wird.
• Engine Updates Channel – Update-Kanal für die Scan-Engine (stabil, preview).
• Platform Updates Channel – Update-Kanal für die Defender-Plattform (Funktionen/Features).
• Security Intelligence Updates Channel – Kanal für Signatur-Updates (stabil oder Vorab-Kanal).
• Metered Connection Updates – ob Updates auch bei getakteten Verbindungen durchgeführt werden.
• Randomize Schedule Task Times – verteilt geplante Aufgaben (Scans, Updates) zufällig, um Lastspitzen zu vermeiden.
• Scheduler Randomization Time – um wie viele Minuten geplante Aufgaben zufällig verschoben werden dürfen.

Netzwerk- und Kernel-Optionen

• Enable Network Protection – blockiert Verbindungen zu potenziell schädlichen Domains/IPs, auch ohne installierte Malware.
• Allow Network Protection Down Level – Netzwerkschutz auch auf älteren Windows-Versionen.
• Allow Datagram Processing On Win Server – Verarbeitung von UDP-Datagrammen zur Bedrohungserkennung auf Servern.
• Disable Dns Over Tcp Parsing – verhindert die Analyse von DNS-Verkehr über TCP (schränkt die Erkennung ein).
• Disable Http Parsing – deaktiviert die HTTP-Analyse (webbasierte Bedrohungen bleiben ggf. unentdeckt).
• Disable Ssh Parsing – verhindert die Analyse von SSH-Datenströmen.
• Disable Tls Parsing – schaltet die Analyse von TLS-verschlüsseltem Verkehr aus (verschlüsselte Bedrohungen bleiben ggf. verborgen).
• [Deprecated] Enable Dns Sinkhole – veraltet; leitete verdächtige DNS-Anfragen um (Sinkholing).
• Disable Core Service ECS Integration – deaktiviert die Integration mit dem Enhanced Cloud Service (ECS).
• Disable Core Service Telemetry – verhindert die Übermittlung von Telemetriedaten an Microsoft.

Threat Severity Default Actions

Standardmaßnahmen je nach Bedrohungsschwere:

• Remediation action for High severity threats – Maßnahme bei hoher Schwere (z. B. entfernen, in Quarantäne verschieben).
• Remediation action for Severe threats – Maßnahme bei besonders schwerwiegenden Bedrohungen (z. B. Wurm, Ransomware).
• Remediation action for Moderate severity threats – Verhalten bei mittlerer Schwere (z. B. potenziell unerwünschte Programme).
• Remediation action for Low severity threats – Umgang mit Bedrohungen niedriger Schwere (z. B. Adware, Tracking-Cookies).

Nächster Teil der Serie: Attack Surface Reduction (ASR).