Microsoft Defender for Endpoint: Initialkonfiguration & RBAC

Bevor die ersten Endpoints angebunden werden, sollte Microsoft Defender for Endpoint sauber über das Portal vorkonfiguriert werden. Dieser Teil der Serie zeigt, welche Einstellungen wichtig sind: Datenaufbewahrung, die zahlreichen Advanced Features, die Rechtevergabe über RBAC, die Strukturierung per Gerätegruppen und die Automatisierungsstufen für die automatische Remediation. Der Fokus liegt auf der Windows-Plattform; die Konfiguration erfolgt vollständig cloudbasiert und ist in Entra ID (Azure AD) integriert. Die gesamte Serie behandelt Funktionen von Defender for Endpoint Plan 2 (P2) – Plan 1 ist darin enthalten.

Konfiguration im Microsoft Defender-Portal

Die Verwaltung von MDE erfolgt zentral im Microsoft Defender-Portal unter security.microsoft.com. Die Einstellungen gelten tenant-weit, also für alle in diesem Mandanten angebundenen Geräte. Im Portal gliedern sich die relevanten Bereiche wie folgt:

• Microsoft 365 Defender: E-Mail-Benachrichtigungen, Vorschaufunktionen, Streaming-API, Berechtigungen und Rollen, Alarmoptimierung (Alert Tuning)
• Microsoft Defender for Endpoint → Allgemein: Datenaufbewahrung, E-Mail-Benachrichtigungen, erweiterte Funktionen (Service-Einstellungen), automatische Remediation
• Berechtigungen: Rollen und Gerätegruppen
• Regeln: Warnungsunterdrückung, Indikatoren, Prozessspeicher-Indikatoren, Web-Content-Filterung, Automatisierungs-Uploads, Automatisierungs-Ordnerausschlüsse
• Konfigurationsverwaltung: Geltungsbereich (Enforcement Scope)
• Netzwerkbewertungen: Bewertungsaufträge (Assessment Jobs)

Wichtig: Die erstmalige Aktivierung im Tenant (Lizenzierung, Wahl des Datenstandorts) ist nicht Teil dieses Beitrags. Der Datenspeicherort lässt sich nach der Erstkonfiguration nicht mehr ändern – diese Entscheidung sollte von Beginn an unter Berücksichtigung von Compliance- und Governance-Vorgaben getroffen werden.

Allgemein: Datenaufbewahrung

Der Aufbewahrungszeitraum der Daten lässt sich – anders als der Speicherort – anpassen. Standardmäßig speichert Defender for Endpoint Daten 180 Tage. Aus Compliance-Gründen kann dieser Wert für alle in MDE erfassten Daten zwischen 30 und 180 Tagen konfiguriert werden.

Wenn keine Governance-Vorgabe dagegenspricht, empfiehlt sich die maximale Aufbewahrung von 180 Tagen, um den vollständigen sicherheitsrelevanten Verlauf verfügbar zu haben. Eine Verringerung unter 30 Tage ist im Portal nicht möglich und nur über eine Anfrage beim Microsoft-Support machbar.

Hinweis: Advanced-Hunting-Daten sind hiervon ausgenommen und stehen unabhängig maximal 30 Tage zur Verfügung.

Allgemein: E-Mail-Benachrichtigungen

MDE kann E-Mail-Benachrichtigungen versenden, allerdings nur für Ereignisse aus Defender for Endpoint selbst – also keine dienstübergreifend aggregierten Incidents. Konfigurierbar sind Benachrichtigungen für Warnungen (Alerts) und für Schwachstellen.

Von den Alert-Mails direkt in MDE wird aus der Praxis eher abgeraten. Stattdessen bietet das Microsoft 365 Defender-Portal einen zentralen, flexibleren Mechanismus, der Warnungen mehrerer Defender-Dienste bündelt (Pfad: Settings → Microsoft 365 Defender → Email notifications). Diese E-Mails beziehen sich auf Incidents, die oft mehrere Alerts zusammenfassen.

Benachrichtigungseinstellungen im Microsoft 365 Defender-Portal (Incident Notifications).

Möchte man über neu erkannte Schwachstellen benachrichtigt werden, richtet man dies direkt in Defender for Endpoint unter den E-Mail-Benachrichtigungen für Schwachstellen ein. Beispiel: eine E-Mail, sobald eine neue Schwachstelle mit Schweregrad Kritisch (CVSS ≥ 9.0) bekannt wird und ein öffentlicher Exploit dafür existiert.

E-Mail-Benachrichtigungen für Schwachstellen in Defender for Endpoint.

Allgemein: Erweiterte Funktionen (Advanced Features)

Die Advanced Features aktivieren zahlreiche Schutzfunktionen und Integrationen mit anderen Diensten. Einige davon sind für eine gute EDR/XDR-Strategie geradezu kritisch. Nachfolgend die wichtigsten Schalter im Detail.

Die Seite „Advanced features" im Microsoft 365 Defender-Portal mit den ein- und ausschaltbaren Optionen.

Automatisierte Untersuchung

Diese Option ist Voraussetzung für Automated Investigation and Response (AIR). Bei erkannten Vorfällen leitet MDE automatisch Maßnahmen ein und entfernt als schädlich eingestufte Dateien, Prozesse, Registry-Einträge oder geplante Tasks. Über Gerätegruppen lässt sich anschließend festlegen, bis zu welchem Grad automatisch bereinigt wird.

Empfehlung: Aktivieren. Bei Bedarf lassen sich über einzelne Gerätegruppen Ausnahmen beim Remediationsgrad umsetzen (z. B. bestimmte Gruppen nur halbautomatisch behandeln).

Schalter „Automatisierte Untersuchung" in den Advanced Features.

Live Response (auch für Server)

Live Response ermöglicht dem Sicherheitsteam den Zugriff auf ein Gerät über eine direkte Remote-Konsole – für detaillierte Untersuchungen, gezielte Suchen und tiefergehende Analysen. Live Response lässt sich mit einer Geräteisolation kombinieren, um einen laufenden Angriff während der Untersuchung einzudämmen.

Empfehlung: Aktivieren, die Berechtigungen aber mit Bedacht vergeben – über Live Response lassen sich unter anderem benutzerdefinierte PowerShell-Skripte auf den Geräten ausführen.

Schalter „Live Response" in den Advanced Features.

Ausführung unsignierter Skripte in Live Response

Erlaubt die Ausführung unsignierter PowerShell-Skripte im Rahmen von Live Response. Das erhöht allerdings die Angriffsfläche.

Empfehlung: Nur aktivieren, wenn es keine Alternative gibt und dies in Ausnahmefällen wirklich benötigt wird. Idealerweise sind PowerShell-Skripte stets signiert.

Schalter „Ausführung unsignierter Skripte in Live Response" in den Advanced Features.

Warnungskorrelation auf Gerätegruppen beschränken

Diese Einstellung eignet sich für Szenarien, in denen ein lokales SOC die Alert-Korrelation auf bestimmte Gerätegruppen begrenzen will. Ist sie aktiv, werden Alerts über verschiedene Gruppen hinweg nicht mehr zu einem gemeinsamen Incident zusammengefasst – das lokale SOC sieht getrennte Incidents pro Gerätegruppe. Standardmäßig (deaktiviert) würde ein globales SOC zusammengehörige Alerts gruppenübergreifend in einem gemeinsamen Incident sehen.

Empfehlung: Nur einschalten, wenn eine getrennte Incident-Bildung nach Gerätegruppen wirklich gewünscht ist. Die Umstellung wirkt nur auf zukünftige Alerts – bereits korrelierte Alerts/Incidents bleiben unberührt.

Schalter „Warnungskorrelation auf Gerätegruppen beschränken" in den Advanced Features.

EDR im Blockmodus

Wird ein Drittanbieter-Antivirus genutzt, ergänzt Defender for Endpoint im EDR-Blockmodus dessen Erkennungen. Auch nachträglich (post-breach) erkannte Bedrohungen, die der Fremd-AV übersehen hat, werden dann automatisch bereinigt. Die Option gilt nach Aktivierung für alle unterstützten, onboarded Systeme. Seit Version 4.18.2202.x lässt sich der EDR-Blockmodus zusätzlich gezielt für einzelne Geräte per Intune-CSPs aktivieren.

Empfehlung: Diese Funktion hat keine Nachteile und sollte im Zweifel immer aktiviert werden – besonders, wenn Defender Antivirus im passiven Modus läuft oder Angreifer versuchen könnten, Defender durch einen anderen AV zu ersetzen. Beim Parallelbetrieb mit anderer Sicherheitssoftware empfiehlt sich ein Pilotversuch mit wenigen Geräten, um unerwünschte Blockierungen auszuschließen.

Schalter „EDR im Blockmodus" in den Advanced Features.

Warnungen automatisch schließen

Funktioniert in Kombination mit der automatisierten Untersuchung: Wurde ein Alert im Rahmen einer AIR bereinigt, wird er durch diese Einstellung automatisch auf geschlossen gesetzt.

• Vorteil: Bei Nutzung gerätebasierter Risikorichtlinien (Conditional Access) erhalten Nutzer nach automatischer Bereinigung schneller wieder Zugriff, da der Alert sofort geschlossen wird und der Gerätezustand wieder als sicher gilt.
• Nachteil: Microsoft schließt die Alerts selbstständig. In großen Umgebungen können Vorfälle so „unter dem Radar" bleiben und nur in der Historie auftauchen. Trotz entfernter Malware kann zusätzliche Untersuchung nötig sein, um Initial Cause und Angriffsverlauf nachzuvollziehen.

Empfehlung: In größeren Organisationen mit ausreichend Security-Ressourcen kann es sinnvoll sein, die Automatik deaktiviert zu lassen, damit jede Warnung manuell geprüft wird. Kleinere Organisationen profitieren eher davon, automatisch bereinigte Alerts schließen zu lassen, um sich auf kritische Warnungen zu konzentrieren. Ist die Funktion aktiv, sollte die Historie im Action Center regelmäßig (etwa wöchentlich) kontrolliert werden. Setzt ein Analyst den Status manuell auf „In Bearbeitung" oder „Gelöst", schließt Auto-Close diesen nicht erneut.

Schalter „Warnungen automatisch schließen" in den Advanced Features.

Datei zulassen oder blockieren

Läuft Defender Antivirus im aktiven Modus und ist der Cloud-Schutz aktiv, lassen sich potenziell schädliche Dateien über Datei-Hash-Indikatoren blockieren (oder als Ausnahme zulassen). Die Indikatoren können gezielt auf bestimmte Gerätegruppen beschränkt werden.

Empfehlung: Aktivieren – hilfreich, um Dateien zentral über Defender for Endpoint zu blockieren oder im Bedarfsfall per Whitelist zuzulassen.

Schalter „Datei zulassen oder blockieren" in den Advanced Features.

Benutzerdefinierte Netzwerkindikatoren

Über benutzerdefinierte Netzwerkindikatoren lassen sich IP-Adressen, Domains oder URLs blockieren. Voraussetzung ist, dass Network Protection im Blockmodus aktiv ist. Die Web-Content-Filterung in Defender baut auf diesen Netzwerkindikatoren auf.

Empfehlung: Aktivieren – nützlich, um bekannte bösartige Domains/IPs zu blockieren oder bestimmte Sites vom Filter auszunehmen. Auch hier lassen sich die Indikatoren auf definierte Gerätegruppen eingrenzen.

Schalter „Benutzerdefinierte Netzwerkindikatoren" in den Advanced Features.

Manipulationsschutz (Tamper Protection)

Der Manipulationsschutz ist ein kritischer Mechanismus: Er verhindert unautorisierte Änderungen an den Sicherheitseinstellungen von Microsoft Defender. Ohne ihn könnte ein lokaler Administrator Defender AV einfach deaktivieren; bei gezielten Angriffen versuchen Täter häufig, Echtzeitschutz oder Verhaltensüberwachung abzuschalten. Tamper Protection verriegelt Defender Antivirus auf seinem sicheren Standardwert und unterbindet Änderungen über typische Methoden:

• Registry-Einträge
• PowerShell-Cmdlets
• Gruppenrichtlinien

Über die Advanced Features aktiviert, gilt der Manipulationsschutz global für alle unterstützten Geräte. Dafür muss der Cloud-basierte Schutz eingeschaltet sein – seit Defender-Version 4.18.2111.5 wird der Cloud-Schutz beim Aktivieren von Tamper Protection automatisch mit eingeschaltet, falls er noch nicht aktiv ist. Der Schutz lässt sich bereits während der Erstbereitstellung über MEM/Intune aktivieren und später auf den globalen Modus umstellen. Für Server ist eine Anbindung über Tenant Attach nötig, um Tamper Protection per Intune durchzusetzen. Ist der Schutz global aktiv, kann er in Einzelfällen über Intune für bestimmte Geräte gezielt deaktiviert werden.

Empfehlung: Tamper Protection über das Portal für alle Geräte aktivieren – idealerweise sowohl global im Portal als auch (als Rückfallebene) via MECM/Intune. Nach gängiger Expertenmeinung sollte er immer aktiv sein. Muss Defender aus Troubleshooting-Gründen vorübergehend deaktiviert werden, ist der Troubleshooting Mode die sichere Alternative – nicht das Abschalten von Tamper Protection.

Schalter „Manipulationsschutz (Tamper Protection)" in den Advanced Features.

Microsoft hat die Option „Tamper Protection for Exclusions" ergänzt, die mehr Kontrolle über Ausnahmen bietet. In Kombination mit der Einstellung DisableLocalAdminMerge werden auch Ausschlüsse durch den Manipulationsschutz geschützt: Jegliche über andere Prozesse gesetzten Ausschlüsse werden ignoriert – es gelten nur die explizit vorgesehenen Ausschlüsse. Ob die Funktion aktiv ist, lässt sich in der Registry prüfen:

HKLM\SOFTWARE\Microsoft\Windows Defender\Features
TPExclusions = 1   → Ausschluss-Schutz aktiv

Integration mit Microsoft Defender for Identity

Die Integration liefert Defender for Endpoint erweiterte Benutzer- und Gerätedaten und leitet MDE-Signale an Defender for Identity weiter. Beide Produkte gewinnen an Transparenz, liefern zusätzliche Erkennungen und ermöglichen effizientere Untersuchungen.

Empfehlung: Bei vorhandener Lizenz aktivieren – solange Defender for Identity verfügbar ist, gibt es keine Nachteile. Hinweis: Seit Januar 2023 ist die manuelle Integration nicht mehr erforderlich; Defender for Identity ist Teil von Microsoft 365 Defender und automatisch eingebunden.

Schalter „Integration mit Microsoft Defender for Identity" in den Advanced Features.

Nutzerdetails anzeigen

Aktiviert man diese Option, sind im Portal die in Entra ID (Azure AD) hinterlegten Benutzerinformationen sichtbar – etwa Profilbild, Name, Position und Abteilung, wenn man ein Konto in einem Vorfall betrachtet. Die Informationen erscheinen u. a. im Security Operations Dashboard, in der Alert Queue und auf der Geräte-Detailseite.

Empfehlung: Aktivieren, sofern keine spezifischen Datenschutzgründe dagegensprechen.

Schalter „Nutzerdetails anzeigen" in den Advanced Features.

Office 365 Threat Intelligence-Verbindung

Verfügbar mit einer Office 365 E5-Lizenz oder dem Threat-Intelligence-Add-on. Aktiviert bezieht Defender for Endpoint auch Signaldaten aus Microsoft Defender for Office 365 ein. Für die vollständige Einrichtung sind einige zusätzliche Konfigurationen im Security & Compliance Center nötig.

Empfehlung: Bei entsprechender Lizenz aktivieren – ohne Nachteil. Hinweis: Seit Januar 2023 ist auch diese Integration nicht mehr separat erforderlich, da Defender for Office Teil von Microsoft 365 Defender ist.

Schalter „Office 365 Threat Intelligence-Verbindung" in den Advanced Features.

Microsoft Defender for Cloud Apps & Web-Content-Filterung

Beide Themen werden in eigenen Beiträgen der Serie behandelt (Integrationen bzw. Web-Content-Filterung).

Herunterladen quarantänierter Dateien

Erlaubt Security-Teams, isolierte (quarantänierte) Dateien direkt aus dem Portal herunterzuladen. Über Download file lassen sich die von Defender isolierten Dateien eines Vorfalls in einem sicheren Bereich abrufen – ohne Eingriff des Endbenutzers, was Untersuchungen erheblich erleichtert.

Empfehlung: Wenn möglich aktivieren, um weiterführendes Troubleshooting zu ermöglichen.

Schalter „Herunterladen quarantänierter Dateien" in den Advanced Features.

Endpunkt-Warnungen an Microsoft Purview weiterleiten

Aktiviert werden Sicherheitswarnungen von Endpunkten (samt Bearbeitungsstatus) an das Microsoft Purview Compliance Center übermittelt, wo sie z. B. im Insider Risk Management weiterverwendet werden können.

Empfehlung: Aktivieren – nur deaktivieren, wenn ein solcher Datenaustausch aus rechtlichen Gründen unterbunden werden muss.

Schalter „Endpunkt-Warnungen an Microsoft Purview weiterleiten" in den Advanced Features.

Authentifizierte Telemetrie

Stellt sicher, dass keine gefälschten (spoofed) Telemetriedaten in Defender for Endpoint eingespeist werden können.

Empfehlung: Immer aktivieren, um Schutz vor manipulierten Telemetriedaten zu gewährleisten.

Schalter „Authentifizierte Telemetrie" in den Advanced Features.

Vorschaufunktionen (Preview Features)

Sind sie aktiviert, erhält der Tenant neue Features bereits im Public Preview, bevor sie allgemein verfügbar (GA) sind. Preview-Funktionen genießen denselben Support-Level wie GA-Funktionen und dürfen in Produktivumgebungen eingesetzt werden. Nach dem offiziellen Release bleiben die Features automatisch aktiv.

Empfehlung: Abhängig von der Umgebung – manche Organisationen setzen ausschließlich auf GA-Funktionen. In der Praxis kann es hilfreich sein, Preview zu aktivieren, um früh Erfahrungen zu sammeln; kritische Probleme treten dabei erfahrungsgemäß selten auf.

Schalter „Vorschaufunktionen" in den Advanced Features.

Benachrichtigungen über Endpunktangriffe (Endpoint Attack Notifications)

Teil des Microsoft Threat Experts-Programms. Diese Benachrichtigungen liefern proaktive Warnhinweise auf Basis echter Telemetriedaten und erscheinen als besondere Alerts im Portal. Sie sind kostenlos, erfordern aber eine Antragstellung und Freischaltung durch Microsoft (Pfad: Settings → Endpoints → Advanced features → Endpoint Attack Notification).

Empfehlung: Wenn möglich aktivieren – die Hinweise liefern nützliche zusätzliche Erkenntnisse zu realen Angriffsdaten.

Schalter „Benachrichtigungen über Endpunktangriffe" in den Advanced Features.

Berechtigungen: Rollen und RBAC

Korrekt eingerichtete Rollen, Berechtigungen und zugeordnete Entra-ID-Gruppen sind die Basis für ein stufenbasiertes, rollenbezogenes Zugriffsmodell. Bei einer frischen MDE-Einrichtung gelten zunächst die Azure-AD-Standardrollen mit folgenden Rechten:

Bereich „Rollen" im Microsoft Defender-Portal.

Es gibt zwei Wege, RBAC-Rollen in MDE zu nutzen: die klassische Rollenverwaltung direkt in Defender for Endpoint sowie das neue, vereinheitlichte RBAC über Microsoft 365 Defender. Empfohlen wird das einheitliche RBAC, da sich damit Rollen erstellen lassen, die bereichsübergreifend für mehrere Sicherheitsprodukte gelten.

Einheitliches RBAC in Microsoft 365 Defender

Mit dem einheitlichen RBAC lassen sich Rollen mit erweiterten Berechtigungen produktübergreifend definieren – etwa eine gemeinsame Rolle für Defender for Endpoint, Defender for Office 365 und Defender for Identity. Vorhandene Berechtigungen lassen sich in das neue Modell überführen; Microsoft stellt dazu eine Zuordnungstabelle bereit (Map Microsoft 365 Defender RBAC permissions to existing RBAC permissions). Das einheitliche RBAC ist im Portal verfügbar und wird derzeit für Endpunkt, E-Mail & Zusammenarbeit, Sicherheit und Identität unterstützt.

Einheitliches RBAC im Microsoft 365 Defender-Portal.

Klassische Rollen in Defender for Endpoint

Auch die eigenständige RBAC-Funktion von MDE bleibt nutzbar. Über „Turn on roles" im Bereich Rollen wird sie aktiviert; danach lassen sich eigene Rollen mit individuellen Berechtigungen definieren. Beispiele:

• First-Level-Support: darf Sicherheitsdaten einsehen (Security Operations) und Schwachstellen-Informationen abrufen (Threat & Vulnerability Management).

Auszug aus den konfigurierbaren Berechtigungen einer benutzerdefinierten Rolle für den First-Level-Support.

• Tier-2-Analyst (SOC): zusätzlich aktive Response-Maßnahmen, Bearbeiten von Ausnahmen, tiefergehende Alarm-Untersuchungen und grundlegende Live-Response-Aktionen.

Berechtigungsumfang einer erweiterten Rolle für Tier-2-/SOC-Analysten.

Anschließend werden unter Assigned user groups die passenden Entra-ID-Gruppen den Rollen zugewiesen, um die Benutzer zu berechtigen.

Berechtigungen: Gerätegruppen

Gerätegruppen sind aus der Praxis heraus essenziell – aus mehreren Gründen:

• RBAC-Verwaltung: Teams lässt sich die Verwaltung nur eines bestimmten Geräte-Teilsets erlauben.
• Zuweisung von Richtlinien: Sicherheitseinstellungen (Web-Content-Filter, Indikatoren, Hash-Sperren usw.) lassen sich gezielt je Gerätegruppe ausrollen.
• Zielgruppen für Defender for Cloud Apps: Profile lassen sich auf bestimmte Geräte beschränken.
• Automatisierungsgrad anpassen: Der Grad der automatischen Remediation kann je Gerätegruppe flexibel eingestellt werden.
• Filter im Portal: Im Schwachstellen-Management (TVM) lassen sich Empfehlungen gezielt für bestimmte Gerätetypen anzeigen (z. B. nur Domain-Controller).
• Sichtbarkeit für SOC/SIEM: Direkter Überblick über Gerätetypen (Kiosk-Terminals, virtuelle Desktops, Domain-Controller, SQL-Server). So ist sofort erkennbar, wenn ein Incident z. B. einen Domain-Controller betrifft – das erleichtert die Priorisierung.

Mitgliedschaftsregeln

Bei der Definition einer Gerätegruppe legt man eine Mitgliedschaftsregel anhand folgender Attribute fest:

• Gerätename
• Gerätedomäne
• Betriebssystem
• Geräte-Tag

Geräte-Tags lassen sich unkompliziert setzen (per Registry, PowerShell, API, Logic App, manuell oder über Intune). Mehrere Kriterien werden mit UND verknüpft. Beispiel: eine Gruppe „NL-Geräte" mit der Regel Gerätename beginnt mit „NL" UND Betriebssystem = Windows 10/11.

Mitgliedschaftsregel einer Gerätegruppe für alle Windows-10/11-Geräte, deren Name mit „NL" beginnt.

Wichtig: Ein Gerät kann immer nur Mitglied einer einzigen Gerätegruppe sein. Die Gruppen werden mit einer Priorität (Rank) versehen. Passt ein Gerät in mehrere Gruppen, landet es in der Gruppe mit der höchsten Priorität. Geräte, die keine Regel erfasst, fallen in die Standardgruppe Ungrouped devices („Nicht zugewiesene Geräte"). In der Praxis hätte etwa die Gruppe „Servers – All Windows Servers" den höchsten Rang (1) und die ungruppierten Geräte den niedrigsten.

Gerätegruppen mit Priorisierung (Rank) und jeweils zugewiesenem Remediation-Level im Microsoft 365 Defender-Portal.

Benutzerzugriff und Asset Rule Management

Über die Option Benutzerzugriff (User access) lässt sich der Zugriff auf eine Gerätegruppe auf definierte Rollen beschränken. Beispiel: Nur Administratoren der Region USA sollen die Gruppe „USA" sehen. Dazu weist man die Gruppe zunächst einer Rolle zu (Berechtigungen → Rollen) und wählt anschließend in den Einstellungen der Gerätegruppe unter User access genau diese Rolle aus.

Benutzerzugriff (User access) einer Gerätegruppe auf bestimmte Rollen beschränken.

Mit Asset Rule Management (Einstellungen → Endpunkte → Asset Rule Management) lassen sich zudem Regeln definieren, die Geräte automatisch taggen – auf Basis von Bedingungen wie Name, Domäne, Betriebssystem, Internetzugang, Onboarding-Status oder vorhandenen Tags. Als Aktion erhält ein passendes Gerät ein benutzerdefiniertes Tag, über das sich wiederum eine Gerätegruppe bilden lässt.

Asset Rule Management: automatisches Taggen von Geräten anhand von Bedingungen.

Allgemein: Automatische Remediation und Automatisierungsstufen

Für jede Gerätegruppe lässt sich ein Automatisierungsgrad der Remediation festlegen. Standardmäßig steht die automatische Remediation für alle Geräte auf Vollständig (Full). Ist AIR im Tenant aktiviert, erstellt Defender bei erkannten schädlichen Aktivitäten automatisch einen Remediationsvorschlag und entfernt die schädlichen Elemente. Über die Einstellung Automatische Remediation wird gesteuert, ob dies ohne Eingriff oder nur nach Bestätigung erfolgt.

Empfehlung: Wenn möglich, Vollautomatisch einstellen und nur in Ausnahmefällen abweichen. Ist Vollautomatisch für kritische Geräte (z. B. POS-Terminals, Kiosk-Systeme) ungeeignet, sollte eine der halbautomatischen Stufen gewählt werden. Für die Standardgruppe Ungrouped devices sollte grundsätzlich keine Ausnahme definiert werden – hier ebenfalls Vollautomatisch nutzen.

Hinweis: Für die Funktion Attack Disruption (automatisches Unterbrechen laufender Angriffe) wird Vollautomatisch empfohlen, da deren Aktionen auf diesen Einstellungen basieren.

Remediation-Einstellungen pro Gerätegruppe (Auto remediation) im Defender-Portal.

Nächster Teil der Serie: Onboarding – Grundlagen & Voraussetzungen.