Microsoft Defender for Endpoint: Monitoring & Nachverfolgung

Erkennung ist nur die halbe Miete: Wer Defender for Endpoint sauber betreiben will, braucht ein durchdachtes Monitoring und eine nachvollziehbare Nachverfolgung aller Aktionen. Dieser Teil der Serie führt durch die vier Bausteine, die im Alltag zusammenspielen: geplante und bedarfsgesteuerte Scans, die Analyse von Vorfällen (Incidents) im Defender-Portal, das Aktionscenter als zentrale Steuerung für Remediation und Quarantäne sowie das Übermitteln (Submissions) verdächtiger Dateien an Microsoft. Ziel ist ein Betrieb, in dem nichts unbemerkt bleibt und jede Reaktion dokumentiert und – wo nötig – reversibel ist.

Scans (Full/Quick/benutzerdefiniert)

Neben dem stets aktiven Echtzeitschutz (always-on) und bedarfsgesteuerten Prüfungen lassen sich in Microsoft Defender Antivirus geplante Scans einrichten. Beim Planen legt man den Scantyp fest, den Zeitpunkt und ob die Überprüfung erst nach einem Schutzupdate oder bei Leerlauf des Geräts starten soll. Die Funktion gilt für MDE Plan 1, MDE Plan 2 und Microsoft Defender Antivirus; unterstützt wird Windows.

Die Steuerung geplanter Scans ist über mehrere Wege möglich:

• PowerShell
• Windows-Verwaltungsinstrumentation (WMI)
• Windows-Aufgabenplaner (Task Scheduler)
• Gruppenrichtlinien (GPO)
• Microsoft Intune

Die drei Scan-Typen im Vergleich

In den meisten Fällen genügt eine Schnellüberprüfung, und sie ist die empfohlene Wahl für geplante Scans. Der Full Scan nutzt die Security-Intelligence-Definitionen, die zum Start der Überprüfung installiert waren – erscheinen währenddessen neue Updates, ist ein weiterer Full Scan nötig, um auch die neuesten Erkennungen zu berücksichtigen. Wegen des hohen Zeit- und Ressourcenbedarfs wird ein regelmäßig geplanter Full Scan generell nicht empfohlen.

Seit dem Plattformupdate vom Dezember 2023 (4.18.2311.x.x) gibt es die Option „Quick scan include exclusions": Damit werden während einer Schnellüberprüfung auch jene Dateien und Verzeichnisse geprüft, die vom Echtzeitschutz über kontextbezogene Ausschlüsse ausgenommen sind. Die Verwaltung ist im Intune-Einstellungskatalog verfügbar (Vorschau).

Den richtigen Scan-Typ wählen

Wichtige Punkte zur Planung

• Es gibt zwei Arten geplanter Überprüfungen: eine tägliche (nur Schnellscan) und eine wöchentliche (Schnell- oder Full Scan).
• Standardmäßig sucht Defender AV 15 Minuten vor einem geplanten Scan nach einem Update. Dieses Verhalten lässt sich über den Update-Zeitplan überschreiben.
• Läuft ein Gerät während eines geplanten Full Scans im Akkubetrieb (nicht am Netz), wird die Überprüfung mit Ereignis 1002 abgebrochen und beim nächsten geplanten Termin erneut gestartet.
• Geplante Scans laufen nach der lokalen Zeitzone des Geräts.
• Erkennt der Echtzeitschutz Schadsoftware und ist der Umfang der betroffenen Dateien zunächst unklar, initiiert Defender AV im Rahmen der Bereinigung automatisch einen Full Scan.
• War ein Gerät längere Zeit offline, kann ein Full Scan entsprechend länger dauern.
• Der On-Access-Schutz mit cloudgestütztem Schutz sorgt dafür, dass alle zugegriffenen Dateien gegen die neuesten Security-Intelligence- und Cloud-ML-Modelle geprüft werden.

Leistungsoptimierung für geplante Schnellscans

Zur Leistungsoptimierung überspringt Defender AV in bestimmten Situationen geplante Schnellscans. Das betrifft ausschließlich per Zeitplan gestartete Quick Scans – bedarfsgesteuerte Schnellscans bleiben unberührt, und der Schutz wird nicht geschwächt.

Wurde in den letzten sieben Tagen ein qualifizierter Schnellscan ausgeführt, startet standardmäßig kein neuer. Als qualifiziert gilt eine Schnellüberprüfung, wenn

• sie nach der Installation des letzten Security-Intelligence-Updates lief,
• der Echtzeitschutz in diesem Zeitraum nicht deaktiviert wurde und
• der Computer neu gestartet wurde.

Die Optimierung greift nicht unter folgenden Bedingungen:

• MDE ist verwaltet.
• MDE Endpoint Detection and Response (EDR) ist installiert.
• Der Computer wurde seit dem letzten Schnellscan neu gestartet.
• Der Echtzeitschutz wurde nach dem letzten Schnellscan deaktiviert.
• Die zuletzt gestartete Schnellüberprüfung wurde nicht abgeschlossen.

Gültig ist die Optimierung ab Windows 10 Anniversary Update (Version 1607) und allen späteren Windows-Versionen sowie ab Windows Server 2016 (Version 1607) – jedoch nicht für Core-Server-Installationen.

Tipp: Bei einem NAS (Network-Attached Storage) oder SAN (Storage Area Network) lässt sich die ICAP-Überprüfung (Internet Content Adaptation Protocol) mit der Defender-Antivirus-Engine nutzen.

Vorfälle & Incidents

Im Defender-Portal (security.microsoft.com) laufen unter Vorfälle alle Aktivitäten zusammen. Möchte man gezielt nur die Ereignisse von Defender for Endpoint sehen, setzt man einen Filter auf die Dienst-/Erkennungsquelle und wählt die passenden Quellen aus. Ein einmal definierter Filtersatz lässt sich speichern und immer wieder aufrufen – praktisch für wiederkehrende Auswertungen.

Ein Incident bündelt korrelierte Warnungen (Alerts), betroffene Ressourcen, Untersuchungen und Beweise über alle Workloads hinweg und gibt so einen umfassenden Blick auf die gesamte Bandbreite eines Angriffs. Innerhalb eines Vorfalls analysiert man die Warnungen, versteht ihren Zusammenhang und sortiert die Beweise, um einen wirksamen Wiederherstellungsplan aufzustellen.

Erste Untersuchung und Angriffsgeschichte

Vor dem Sprung in die Details lohnt sich ein Blick auf die Eigenschaften und die gesamte Angriffsgeschichte. Wählt man einen Incident aus, öffnet sich ein Zusammenfassungsbereich mit Details, empfohlenen Aktionen und verwandten Bedrohungen. Über „Vorfallseite öffnen" gelangt man zur Standardansicht mit Registerkarten für Warnungen, Geräte, Benutzer, Untersuchungen und Beweise.

Die Angriffsgeschichte zeigt den gesamten Verlauf auf einer Registerkarte und erlaubt Korrekturmaßnahmen (etwa eine Datei löschen oder ein Gerät isolieren), ohne den Kontext zu verlieren. Sie besteht aus der Warnungsseite und dem Incidentdiagramm. Die Warnungsseite gliedert sich in „Was ist passiert", „Durchgeführte Aktionen", „Verwandte Ereignisse" sowie die Warnungseigenschaften im rechten Bereich (Status, Details, Beschreibung).

Das Incidentdiagramm stellt den kompletten Umfang des Angriffs dar – wo er begann, wie er sich über die Zeit ausbreitete und wie weit der Angreifer kam. Es verbindet verdächtige Entitäten mit ihren Ressourcen (Benutzer, Geräte, Postfächer) und ermöglicht:

• die chronologische Wiedergabe von Warnungen und Knoten,
• das Öffnen eines Entitätsbereichs mit Korrekturaktionen (Datei löschen, Gerät isolieren),
• das Markieren von Warnungen nach zugehöriger Entität,
• die Suche nach Entitätsinformationen zu Gerät, Datei, IP, URL, Benutzer, E-Mail, Postfach oder Cloudressource.

Hinweis: Nutzer mit Zugriff auf Microsoft Security Copilot sehen beim Öffnen eines Incidents einen Copilot-Bereich mit Echtzeit-Einblicken und Empfehlungen zur Untersuchung.

Suche starten (Go Hunt)

Die Go-Hunt-Aktion nutzt Advanced Hunting, um relevante Informationen zu einer Entität zu finden. Die Abfrage prüft passende Schematabellen auf Ereignisse und Warnungen zur untersuchten Entität. Zur Auswahl stehen:

• Alle verfügbaren Abfragen anzeigen – liefert alle Abfragen für den jeweiligen Entitätstyp.
• Alle Aktivitäten – gibt sämtliche einer Entität zugeordneten Aktivitäten zurück (umfassender Kontext).
• Verwandte Warnungen – findet alle Sicherheitswarnungen, die eine bestimmte Entität betreffen.

Resultierende Protokolle oder Warnungen lassen sich über „Mit Incident verknüpfen" an den Vorfall anhängen. War der Incident das Ergebnis einer selbst definierten Analyseregel, kann man zusätzlich „Abfrage ausführen" wählen, um weitere verwandte Ergebnisse anzuzeigen.

Angriffspfade

Das Incidentdiagramm enthält auch Angriffspfade. Sie zeigen, welche weiteren Entitäten ein Angreifer wahrscheinlich als Nächstes ins Visier nimmt. Über einen Klick auf eine Entität und „Angriffspfade anzeigen" erscheinen die wichtigsten Pfade direkt im Diagramm; „Alle Angriffspfade anzeigen" öffnet einen Flyout mit allen möglichen Pfaden, filterbar nach Name, Einstiegspunkt, Einstiegspunkttyp, Zieltyp und Zielkritikalität. „Karte anzeigen" öffnet den vollständigen Pfad in einem neuen Fenster.

Voraussetzung: Für die Detailanzeige von Angriffspfaden werden Lesezugriffsberechtigungen im Defender-Portal sowie die Lizenz für Microsoft Security Exposure Management benötigt. Für die Ansicht mit Microsoft Sentinel im Defender-Portal ist eine Sentinel-Rolle Leser nötig, zum Erstellen neuer Pfade die Rolle Sicherheitsadministrator. Außerdem braucht man Berechtigungen für die im Pfad beteiligten Workloads – etwa für MDE, wenn ein verwaltetes Gerät enthalten ist.

Vorfalldetails

Im rechten Bereich einer Incidentseite stehen die Details: Zuweisung, ID, Klassifizierung, Kategorien sowie Datum und Uhrzeit der ersten und letzten Aktivität. Ergänzt werden sie um eine Beschreibung, die betroffenen Ressourcen, aktive Warnungen sowie ggf. zugehörige Bedrohungen, Empfehlungen und die Zusammenfassung von Unterbrechungen. In manchen Fällen dient die erste Warnung als Vorfallbeschreibung – diese wird dann nur im Portal angezeigt und nicht im Aktivitätsprotokoll, in Advanced-Hunting-Tabellen oder in Microsoft Sentinel im Azure-Portal gespeichert.

Registerkarten: Warnungen, Objekte, Untersuchungen, Beweise

Warnungen: Die Registerkarte zeigt die Warnungswarteschlange des Incidents – mit Schweregrad, beteiligten Entitäten, Quelle (Defender for Identity, Defender for Endpoint, Defender for Office 365, Defender for Cloud Apps und das App-Governance-Add-On) sowie dem Grund der Verknüpfung. Standardmäßig sind die Warnungen chronologisch angeordnet, sodass der zeitliche Ablauf sichtbar wird.

Objekte (Assets): Diese einheitliche Ansicht bündelt alle Ressourcen – Geräte, Benutzer, Postfächer und Apps – an einem Ort, jeweils mit Gesamtanzahl und Kategorien:

• Geräte – Auswahl öffnet eine Leiste zum Verwalten (Tags, automatisierte Untersuchung starten, exportieren). Über den Gerätenamen gelangt man in den Gerätebestand; auf der Geräteseite finden sich Warnungen, eine Zeitachse aller Ereignisse und Sicherheitsempfehlungen.
• Benutzer – zeigt Bedrohungs-, Offenlegungs- und Kontaktinformationen; über den Namen gelangt man zu weiteren Kontodetails.
• Postfächer – listet aktive Warnungen; der Postfachname führt zum Explorer von Defender for Office 365.
• Apps – listet aktive Warnungen; der App-Name führt zum Explorer von Defender for Cloud Apps.
• Cloudressourcen – zeigt Details und aktive Warnungen; „Cloudressource öffnen" führt weiter zu Microsoft Defender for Cloud.

Untersuchungen: Hier laufen alle automatisierten Untersuchungen (AIR) zusammen, die durch Warnungen des Incidents ausgelöst wurden. Sie führen Korrekturaktionen aus oder warten auf Genehmigung – abhängig von der Konfiguration in Defender for Endpoint und Defender for Office 365. Ausstehende Aktionen erscheinen unter „Ausstehende Aktionen". Ein Untersuchungsdiagramm verknüpft Warnungen, Entitäten und betroffene Ressourcen und macht den Umfang des Angriffs schnell greifbar.

Beweis und Antwort: Diese Registerkarte zeigt alle unterstützten Ereignisse und verdächtigen Entitäten aus den Warnungen. Defender XDR untersucht E-Mails, Dateien, Prozesse, Dienste, IP-Adressen und mehr automatisch und kennzeichnet jede Entität mit einem Urteil (Böswillig, Verdächtig, Bereinigt) und einem Korrekturstatus. Bei Vorfällen mit Status „Ausstehende Genehmigung" kann man eine Korrekturaktion direkt genehmigen oder ablehnen, in Explorer öffnen oder die Suche starten.

Zusammenfassung und ähnliche Vorfälle

Die Zusammenfassung liefert eine Momentaufnahme des Incidents:

Unter Ähnliche Vorfälle listet das Portal Incidents mit vergleichbaren Warnungen, Entitäten und Eigenschaften – hilfreich, um den Umfang eines Angriffs und mögliche Zusammenhänge zu erkennen.

Tipp: Defender Boxed – eine Kartensammlung mit den Sicherheitserfolgen, Verbesserungen und Reaktionsaktionen der Organisation aus den letzten sechs Monaten – erscheint jeweils befristet im Januar und Juli jedes Jahres.

Aktionscenter & Quarantäne

Das Aktionscenter (Action center) bietet eine „Single Pane of Glass"-Sicht auf alle Aufgaben rund um Incidents und Alerts. Es dient dazu,

• ausstehende Remediation-Aktionen zu genehmigen,
• das Audit-Log bereits genehmigter Aktionen einzusehen und
• abgeschlossene Remediation-Aktionen zu prüfen.

Damit reagiert das Security-Operations-Team zentral, effektiver und nachvollziehbarer.

Unified Action center

Das Unified Action center (unter https://security.microsoft.com/action-center) führt ausstehende und abgeschlossene Remediation-Aktionen für Geräte, E-Mail-/Collaboration-Inhalte und Identitäten an einem Ort zusammen. Es verknüpft Aktionen aus Defender for Endpoint und Defender for Office 365, nutzt eine einheitliche Terminologie und bietet so eine konsolidierte Untersuchungsumgebung. Zugriff besteht direkt über die URL oder im Portal über die Karte Automated investigation & response → Approve in Action Center.

Das Unified Action center bündelt ausstehende und abgeschlossene Aktionen für Geräte, E-Mails und Identitäten an einer zentralen Stelle.

Verwendung im Portal

1. Im Defender-Portal anmelden.
2. Links unter Actions and submissions → Action center wählen oder in der Karte Automated investigation & response auf View pending actions klicken.
3. Im Pending-Tab die Aktionen prüfen, die auf Genehmigung warten. Über das Flyout einer Aktion kann man:
   • Open investigation page – Untersuchungsdetails anzeigen,
   • die Aktion Approve oder Reject,
   • Go hunt – direkt in Advanced Hunting einsteigen.

Tipp: Genehmigungen sollten zeitnah erfolgen, damit automatisierte Untersuchungen reibungslos fortlaufen.

Abgeschlossene Aktionen rückgängig machen

Im History-Tab erscheinen alle durchgeführten Aktionen (automatisch oder manuell), und bestimmte lassen sich rückgängig machen – etwa Isolate device, Contain device/user, Quarantine file, Remove registry key, Stop service, Disable driver oder Remove scheduled task.

• Einzelaktion rückgängig machen: History-Tab öffnen → Aktion auswählen → Undo im Flyout.
• Mehrere Aktionen rückgängig machen: History-Tab öffnen → mehrere Aktionen desselben Typs auswählen → Undo im Flyout.
• Datei auf mehreren Geräten aus der Quarantäne entfernen: eine Datei mit Aktionstyp Quarantine file auswählen → im Flyout Apply to X more instances of this file → Undo.

Funktionen des Aktionscenters

Unterstützte Aktionen

Im Aktionscenter werden unter anderem folgende Aktionen angezeigt und verwaltet:

• Collect investigation package
• Isolate device (rückgängig möglich)
• Offboard machine
• Release code execution
• Release from quarantine
• Request sample
• Restrict code execution (rückgängig möglich)
• Run antivirus scan
• Stop and quarantine
• Contain devices from the network
• E-Mail-bezogene Aktionen (z. B. Block URL, Soft delete email, Quarantine email or attachment)
• Benutzeraktionen (Disable user, Reset user password, Confirm user as compromised)

Erfasst werden sowohl automationsgetriebene Aktionen als auch manuelle Eingriffe.

„Action source" – Herkunft der Aktionen

Die Spalte Action source zeigt, woher jede Aktion stammt:

• Manual device action – z. B. Isolate device oder Quarantine file
• Manual email action – z. B. Soft-delete oder Remediation von E-Mails
• Automated device action – z. B. Quarantäne, Prozess-Stopp oder Registry-Entfernung
• Automated email action – z. B. URL-Blockierung oder Soft-delete von E-Mails
• Advanced hunting action, Explorer action, Manual live response action und Live response action (über APIs)

Benötigte Berechtigungen

Zum Genehmigen oder Ablehnen von Aktionen sind spezielle Rollen erforderlich.

Microsoft Entra Rollen:

• Security Administrator – für Defender-Endpoint-Remediation
• Security Administrator + E-&-Collaboration-Rolle „Search and Purge" – für Defender-Office-365-Remediation (standardmäßig in Data Investigator und Organization Management enthalten)

Defender XDR RBAC:

• Security operations / Security data / Response (manage) – für Endpoint-Remediation
• Security operations / Security data / Email & collaboration advanced actions (manage) – für E-Mail-Remediation

Defender for Endpoint: Rolle Active remediation actions.

Hinweis: Mit der Rolle Global Administrator (Entra) ließen sich zwar alle ausstehenden Aktionen genehmigen – Best Practice ist jedoch, gezielte Sicherheits-Rollen nach dem Prinzip der geringsten Rechte zu nutzen.

Von hier aus geht es typischerweise weiter: Detailergebnisse automatisierter Untersuchungen prüfen, False Positives/Negatives adressieren, Advanced Hunting oder Live Response einsetzen und auf Quarantäne-Inhalte zugreifen.

Übermittlungen (Submissions)

Mit dem Feature Unified Submissions können Admins Dateien und Datei-Hashes (SHAs) zur Prüfung an Microsoft senden. Die vereinheitlichte Erfahrung ist ein zentraler Anlaufpunkt zum Übermitteln von E-Mails, URLs, E-Mail-Anhängen und Dateien. Die Übermittlung erfolgt entweder über das Defender-Portal oder direkt über die Alerts-Seite von Defender for Endpoint.

Voraussetzung: Die neue Unified-Submissions-Erfahrung steht nur in Abonnements mit Defender for Endpoint Plan 2 zur Verfügung.

Benötigte Berechtigungen

Defender-for-Endpoint-Berechtigungen:

• Dateien/Hashes übermitteln: „Alerts investigation" oder „Manage security settings in Security Center"
• Übermittlungen ansehen: „View Data – Security operations"

Defender XDR Unified RBAC:

• Dateien/Hashes übermitteln: „Alerts (Manage)" oder „Core security settings (manage)"
• Übermittlungen ansehen: „Security data basics (read)"

Datei oder Hash aus dem Defender-Portal übermitteln

1. Im Defender-Portal (security.microsoft.com) zu Actions & submissions → Submissions navigieren – oder direkt über https://security.microsoft.com/reportsubmission.
2. Auf der Seite Submissions den Reiter Files wählen.
3. Add new submission anklicken.
4. Im Flyout „Submit items to Microsoft for review" unter Select the submission type entweder Files oder File hash auswählen.

Über „Add new submission" auf dem Files-Reiter startet die Übermittlung einer Datei oder eines Hashes an Microsoft.

Bei „Files":

• Über Browse files die Datei(en) auswählen; der Schritt lässt sich beliebig oft wiederholen. Die maximale Gesamtgröße aller Dateien beträgt 500 MB.
• Zum Verschlüsseln von Archivdateien das Passwort infected verwenden.
• Unter „The file should have been categorized as" eine Kategorie wählen:
  • Malware (false negative)
  • Unwanted software
  • Clean (false positive)
• Unter Choose the priority die Dringlichkeit festlegen:
  • Low – Massen-Übermittlung von Datei oder Hash
  • Medium – Standard-Übermittlung
  • High – erfordert sofortige Aufmerksamkeit (maximal drei pro Tag)
• Optional eine Notiz für Microsoft hinterlegen.
• Datenschutzhinweis lesen und „Share feedback and relevant content with Microsoft" aktivieren.

Beim Übermitteln einer Datei legt man Kategorie, Priorität und optionale Notizen für Microsoft fest.

Bei „File hash":

• Den Hash-Wert ins leere Feld eingeben (z. B. 2725eb73741e23a254404cc6b5a54d9511b9923be2045056075542ca1bfbf3fe) und mit Enter bestätigen; beliebig oft wiederholbar.
• Kategorie wählen: Malware (false negative), Unwanted software oder Clean (false positive).
• Optional eine Notiz hinterlegen und den Datenschutzhinweis bestätigen.

Alternativ lässt sich statt einer Datei nur der Hash-Wert (SHA) mit Kategorie und Notiz übermitteln.

Zum Abschluss Submit wählen. Auf dem Files-Tab erscheint die Übermittlung; ein Klick in die Zeile (außerhalb der Checkbox) öffnet ein Details-Flyout.

Elemente von der Alerts-Seite übermitteln

1. Im Defender-Portal zu Incidents & alerts → Alerts navigieren – oder direkt über https://security.microsoft.com/alerts.
2. Die Warnung mit der betreffenden Datei finden – z. B. über Filter → Service sources → Microsoft Defender for Endpoint.
3. Die Warnung per Klick in die Zeile (außerhalb der Checkbox) öffnen.
4. Im Details-Flyout „Submit items to Microsoft for review" wählen.

Auch direkt aus einer Warnung auf der Alerts-Seite lässt sich die betroffene Datei an Microsoft übermitteln.

5. Die Optionen entsprechen weitgehend der Portal-Übermittlung. Einziger Unterschied: die Option „Include alert story", mit der sich eine JSON-Datei anhängen lässt, die Microsoft bei der Analyse hilft.

Aus der Warnung heraus lässt sich zusätzlich die „Include alert story" als JSON anhängen, um Microsoft mehr Kontext zu geben.

Nach Submit ist die Übermittlung auf dem Files-Tab der Submissions-Seite unter https://security.microsoft.com/reportsubmission?viewid=file einsehbar.

Nächster Teil der Serie: Finetuning.