Microsoft Defender for Endpoint: Lizenzübersicht & Vergleiche

In Teil 1 ging es um Architektur und Komponenten, in Teil 2 um das Vulnerability Management. Dieser Teil klärt eine Frage, die vor jedem Rollout steht: Welchen Plan braucht man eigentlich? Microsoft bietet unter der Defender-Marke eine ganze Reihe an Produkten und Add-ons – von der Consumer-App bis zum vollwertigen Server-Schutz aus der Cloud. Der Beitrag ordnet die Varianten ein, zeigt was in welchem Plan steckt und grenzt Defender for Cloud, Defender for Endpoint und Defender for Servers voneinander ab.

Welche Defender-Pläne gibt es?

Microsoft führt derzeit mehrere Defender-Pläne parallel. Für Privatanwender ist Defender for Individuals gedacht – das spielt im Unternehmenskontext keine Rolle. Für Organisationen sind vor allem drei Angebote relevant:

• Defender for Business – auf kleine und mittlere Unternehmen (KMU) zugeschnitten, mit vereinfachter Verwaltung.
• Defender for Endpoint Plan 1 (P1) – Enterprise-Einstiegsvariante mit den grundlegenden Schutzfunktionen.
• Defender for Endpoint Plan 2 (P2) – Enterprise-Vollausstattung inklusive EDR, automatisierter Untersuchung und Threat Hunting.

Ergänzend dazu gibt es rund um das Schwachstellenmanagement zwei weitere Angebote:

• Defender Vulnerability Management Add-on – erweitert einen bestehenden Plan um zusätzliche TVM-Funktionen (siehe Teil 2).
• Microsoft Defender Vulnerability Management (Standalone) – eigenständiges Produkt für reines Schwachstellenmanagement, ohne dass ein Endpoint-Plan nötig ist.

Defender for Business vs. Endpoint P1 vs. P2

Für den direkten Vergleich zwischen Defender for Business und den Enterprise-Plänen (P1 gegen P2) stellt Microsoft eine offizielle Übersicht bereit. Die folgende Tabelle fasst die wichtigsten Funktionen vereinfacht zusammen:

Kurz eingeordnet:

• Plan 1 liefert den reaktiven Basisschutz (NGP, ASR, Web-Filterung), verzichtet aber auf EDR, automatisierte Reaktion und Schwachstellenmanagement.
• Plan 2 ist der volle Enterprise-Umfang inklusive EDR, AIR, Threat Hunting mit sechs Monaten Datenhaltung, benutzerdefinierten Erkennungsregeln und Server-Support.
• Defender for Business deckt für KMU überraschend viel ab – inklusive EDR, AIR und TVM – bleibt aber bei den fortgeschrittenen Enterprise-Funktionen (Threat Hunting, Sandbox, Timeline, Threat Experts) außen vor und ist beim Cross-Plattform-Support eingeschränkt.

Defender for Cloud vs. Defender for Endpoint vs. Defender for Servers

Spätestens beim Server-Schutz kommt die Frage auf: Worin unterscheiden sich Defender for Endpoint, Defender for Cloud, Defender for Servers und Azure Arc? Und warum braucht man diese Komponenten überhaupt, wenn doch Defender for Endpoint bereits auf den Servern läuft? Die Abgrenzung lohnt sich, weil hier häufig Verwirrung entsteht.

Was ist Defender for Cloud?

Defender for Cloud ist eine cloudnative Plattform zum Schutz von Ressourcen. Sie kombiniert zwei Aufgaben: Cloud Security Posture Management (CSPM) zur Bewertung und Härtung der Sicherheitskonfiguration und eine Cloud Workload Protection Platform (CWPP) zum Schutz laufender Workloads. Innerhalb von Defender for Cloud lassen sich mehrere optionale Defender-Pläne für spezifische Bereiche aktivieren – unter anderem:

• Defender CSPM
• Defender for Servers
• Defender for App Service
• Defender for Databases
• Defender for Storage
• Defender for Containers
• Defender for Key Vault
• Defender for Resource Manager
• Defender for DNS

Defender for Servers: P1 und P2

Der Defender for Servers-Plan schützt Server-Workloads und ist Teil von Defender for Cloud. Er wird in zwei Stufen angeboten:

P1 bietet also einen begrenzten Funktionsumfang mit Fokus auf die Endpoint-Technologien, während P2 die vollständigen, erweiterten Cloud-Sicherheitsfunktionen ergänzt.

Wichtig: Defender for Servers Plan 1 beinhaltet bereits Microsoft Defender for Endpoint Plan 2. Beide Server-Pläne (P1 und P2) enthalten damit den vollen Funktionsumfang von Defender for Endpoint P2.

Vorteile der Integration von MDE in Defender for Cloud

Wird Defender for Endpoint über Defender for Cloud betrieben, ergeben sich mehrere praktische Vorteile:

• Automatisiertes Onboarding von Servern – neue Server werden automatisch für Defender for Endpoint registriert.
• Einfache Bereitstellung über Azure Arc – On-Premises-Server lassen sich mithilfe von Azure Arc direkt über Defender for Cloud einbinden.
• Zentrale Alarmansicht – die Defender-for-Cloud-Oberfläche zeigt Warnungen und Incidents aus Defender for Endpoint direkt an.

Aktiviert man die Integration zu Defender for Endpoint, übernimmt Defender for Cloud die Bereitstellung des MDE-Agenten auf den ausgewählten Maschinen. Konfiguration und Installation laufen dabei automatisch über Azure Policies ab und umfassen das notwendige Onboarding-Skript sowie weitere Einstellungen. Das Ergebnis ist die Installation der VM-Erweiterung MDE.Windows auf Windows-Servern (2012 R2 und neuer) in der Azure-Arc-Umgebung.

Die Rolle von Azure Arc

Azure Arc fungiert als Brücke, um die Azure-Plattform auf lokale Server und Multi-Cloud-Umgebungen (AWS/GCP) auszudehnen. Damit Server an Azure Arc angebunden werden können, müssen sie als Arc-fähige Maschinen registriert sein und den Azure Connected Machine-Agent installiert haben.

Vereinfacht sieht der Ablauf so aus:

1. In Defender for Cloud wird der Plan Defender for Servers (P1 oder P2) aktiviert.
2. Dadurch werden die Server automatisch mit Defender for Endpoint P2 onboarded – die Bereitstellung des Agenten erfolgt über Azure Policy.

So kombiniert man die zentrale Sicht und das automatisierte Onboarding von Defender for Cloud mit dem vollen Endpoint-Schutz von MDE P2 – ohne jeden Server manuell einzeln registrieren zu müssen.

Nächster Teil der Serie: Initialkonfiguration + RBAC – Grundeinrichtung, Rollen und Gerätegruppen.