Microsoft Defender for Endpoint: Security Baselines

Rund um Defender for Endpoint tauchen zwei Dinge auf, die beide „Security Baseline" heißen, aber technisch verschiedene Aufgaben haben: die Baseline-Bewertung im Defender Vulnerability Management (MDVM) und die Security Baselines, die über Microsoft Intune als Konfigurationsvorlage auf Geräte ausgerollt werden. Das eine misst die Compliance gegen einen Industrie-Benchmark, das andere erzwingt empfohlene Einstellungen. Dieser Teil grenzt beide voneinander ab und zeigt, wie die Baseline-Bewertung in MDVM praktisch funktioniert.

Zwei Bedeutungen von „Baseline"

• Security-Baseline-Bewertung (MDVM): Ein Analyse-Feature, das Geräte in Echtzeit gegen anerkannte Härtungs-Benchmarks (CIS, STIG) prüft und die Compliance kontinuierlich überwacht. Es verändert nichts an der Konfiguration – es bewertet nur.
• Security Baselines (Intune): Vorkonfigurierte Gruppen von Windows-Einstellungen, die als Profil auf Geräte deployt werden und die empfohlenen Werte tatsächlich durchsetzen. Dazu gehört unter anderem die Microsoft Defender for Endpoint Security Baseline, die alle Sicherheitskontrollen des MDE-Stacks optimal setzt.

Kurz gesagt: MDVM sagt dir, wie weit ein Gerät von einem Benchmark entfernt ist; Intune bringt es dorthin.

Security-Baseline-Bewertung in MDVM

Neu in MDVM ist die Baseline-Bewertung: Statt punktueller, „endloser" Compliance-Scans überwacht sie fortlaufend und in Echtzeit, wie gut die Endpunkte gegen ein Industrie-Sicherheitsprofil abschneiden – und meldet Abweichungen, sobald sie auftreten.

Ein Security-Baseline-Profil ist dabei eine anpassbare Vorlage aus mehreren Gerätekonfigurations-Einstellungen plus einem Basis-Benchmark, gegen den verglichen wird.

Der Overview-Tab der Baseline-Bewertung: Geräte-Compliance, auffälligste Geräte und die am häufigsten fehlkonfigurierten Einstellungen auf einen Blick.

Unterstützt werden aktuell:

• CIS-Benchmarks (Level 1 & 2) für Windows 10 und Windows 11
• CIS-Benchmark für Windows Server 2008 R2 und neuer
• STIG-Benchmarks für Windows 10 und Windows Server 2019

Level 1 entspricht grundlegenden Empfehlungen, die schnell umsetzbar sind und nur geringe Performance-Auswirkungen haben. Level 2 steht für „Defense in Depth" mit deutlich strengeren Vorgaben.

Lizenz: Die Baseline-Bewertung erfordert Defender Vulnerability Management Standalone oder – als Plan-2-Kunde – das MDVM-Add-on. Sie ist nicht in den Core-Funktionen von Plan 2 enthalten (vgl. Teil 2 zu MDVM).

Voraussetzungen und Grenzen

Ein paar technische Rahmenbedingungen sind für belastbare Ergebnisse wichtig:

• Die Benchmarks setzen derzeit auf Group-Policy-Object-(GPO)-Konfigurationen auf, nicht auf Intune/Configuration-Manager-Konfigurationen.
• Die Bewertung wird auf nicht-englischer Windows-Systemgebietsschema-Einstellung nicht unterstützt.
• Der PowerShell Constrained Language Mode muss auf den Geräten ausgeschaltet sein. Bei WDAC-Script-Enforcement lassen sich Allow-Regeln setzen, damit MDE-Skripte im FullLanguage-Modus laufen.
• Unterstützt wird momentan Windows; weitere Betriebssysteme (macOS, Linux) sind angekündigt.

Profil erstellen

Die Erstellung läuft im Microsoft Defender-Portal (security.microsoft.com):

1. Navigiere zu Vulnerability Management → Baselines assessment und öffne den Tab Profiles (bei Exposure-Management-Kunden liegt der Pfad unter Exposure management → Vulnerability management → Baseline assessments).
2. Klicke Create profile, vergib Namen und Beschreibung.
3. Im Schritt Baseline profile scope legst du Betriebssystem/Software, Basis-Benchmark (CIS oder STIG) und das Compliance-Level (Level 1 oder 2) fest.

Im Baseline profile scope wählst du zuerst das Betriebssystem und den Basis-Benchmark – hier die Auswahl zwischen CIS und den verschiedenen STIG-Versionen.

Danach folgt das Compliance-Level: von Level 1 (Corporate/Enterprise) über BitLocker- und Next-Generation-Security-Zusätze bis Level 2 für hochsensible Umgebungen.

4. Wähle die Konfigurationseinstellungen aus, die ins Profil einfließen sollen – etwa Objektzugriff, Defender Antivirus, Firewall, Netzwerkfreigaben, Zuweisung von Benutzerrechten oder Echtzeitschutz. Über Customize kannst du den Schwellenwert einer Einstellung an die eigene Organisation anpassen; ein Icon markiert danach die abweichende Einstellung, ein Reset stellt den empfohlenen Wert wieder her.

Die Konfigurationseinstellungen sind nach Kategorien gruppiert (Object Access, Defender Antivirus, Network Sharing, User Rights Assignment …); über „Customize" lassen sich einzelne Einstellungen anpassen.

5. Wähle die Gerätegruppen und Geräte-Tags aus, für die das Profil gelten soll. Später neu hinzugefügte Geräte in diesen Gruppen werden automatisch einbezogen.
6. Prüfe das Profil in der Zusammenfassung und submitte es.

Manuelle Prüfungen: Einige Konfigurationen lassen sich nicht automatisch bewerten (weil sie manuell geprüft werden müssen oder nicht unterstützt sind). Sie werden in der Liste als Manual check markiert und fließen nicht in die automatische Compliance-Wertung ein.

Für dasselbe Betriebssystem lassen sich mehrere Profile mit unterschiedlichen Anpassungen anlegen – praktisch, um etwa Server und Clients oder verschiedene Abteilungen getrennt zu bewerten.

Ergebnisse auswerten

Nach der Bereitstellung zeigt die Profil-Übersicht:

• die Geräte-Compliance (Anteil konformer Geräte),
• die Top-Fehler, also die am häufigsten fehlenden oder abweichenden Einstellungen,
• sowie den zeitlichen Verlauf der Compliance.

Der Profiles-Tab listet alle aktiven Profile mit Benchmark, Benchmark-Version, OS-Plattform, Anteil konformer Geräte und Compliance-Level.

Unter Settings gibt es eine Detailansicht aller definierten Einstellungen mit Filtermöglichkeiten nach Gerätegruppen – so erkennt man schnell, welche Kontrolle auf welchen Geräten aus dem Ruder läuft.

Der Settings-Tab zeigt jede einzelne Konfiguration mit ID, Kategorie, Benchmark-Version und dem Anteil konformer Geräte – filter- und exportierbar.

Auswertung mit Advanced Hunting (KQL)

Die Rohdaten der Baseline-Bewertung stehen über Advanced Hunting zur Verfügung. Drei Tabellen sind relevant:

• DeviceBaselineComplianceProfiles – Details zu den erstellten Profilen.
• DeviceBaselineComplianceAssessment – die geräteweise Compliance-Bewertung.
• DeviceBaselineComplianceAssessmentKB – die allgemeinen Benchmark-Definitionen für CIS und STIG (nicht an ein Gerät gebunden).

Über einen Join dieser Tabellen lassen sich zum Beispiel alle nicht-konformen Geräte für eine bestimmte Benchmark-Prüfung auflisten oder eigene Compliance-Reports bauen – analog zu den DeviceTvm*-Abfragen aus dem MDVM-Teil.

Bekannte Datenlücken: Microsoft weist darauf hin, dass einzelne Prüfungen in bestimmten CIS-, STIG- und Microsoft-Benchmark-Versionen ungenaue oder unvollständige Ergebnisse liefern können. Solange das nicht behoben ist, empfiehlt sich, die betroffenen Tests im Profil auszuschließen.

Abgrenzung: die Intune-Security-Baselines

Die Baseline-Bewertung in MDVM verändert nichts – für das tatsächliche Härten kommen die Security Baselines in Intune ins Spiel. Jede Baseline ist eine Gruppe vorkonfigurierter Windows-Einstellungen, die Security-Experten empfehlen. Beim Anlegen eines Profils erzeugst du im Grunde eine Vorlage aus vielen Gerätekonfigurations-Einstellungen, die du bei Bedarf noch anpasst.

Zwei Baselines sind hier zentral:

• Windows Security Baseline für Intune: ein umfassender Satz empfohlener Einstellungen, um Windows-Geräte grundlegend abzusichern – inklusive Browser-, PowerShell- und einiger Defender-Antivirus-Einstellungen.
• Microsoft Defender for Endpoint Security Baseline: setzt darauf auf und optimiert gezielt alle Kontrollen des Defender-for-Endpoint-Stacks, inklusive EDR-Einstellungen und Attack-Surface-Reduction-Regeln.

Microsofts Empfehlung: Für an Defender for Endpoint onboardete Geräte beide Baselines deployen – zuerst die Windows-Baseline zur Grundsicherung, dann die MDE-Baseline darüber, um die Defender-Kontrollen optimal zu konfigurieren.

Praxis-Details zum Baseline-Lifecycle:

• Erscheint eine neue Baseline-Version, ersetzt sie die vorherige. Bereits erstellte Profile älterer Versionen werden read-only – Name, Beschreibung und Zuweisungen bleiben editierbar, Einstellungen nicht mehr. Ein Profil lässt sich aber auf die aktuelle Version aktualisieren und danach wieder anpassen. Trage stets die neueste Version aus, um von aktuellen Bedrohungsdaten zu profitieren und Konflikte zu minimieren.
• Voraussetzung fürs Ausrollen und Nachverfolgen der Compliance: Die Geräte müssen ins Intune-Management onboardet sein und du brauchst die passenden Berechtigungen.
• Die MDE-Security-Baseline ist für physische Geräte optimiert und wird für VMs bzw. VDI-Endpunkte derzeit nicht empfohlen – einzelne Einstellungen können interaktive Remote-Sitzungen in virtualisierten Umgebungen beeinträchtigen.

Die Baseline lässt sich direkt aus dem Defender-Portal heraus über die Karte Security baseline zuweisen (Sprung nach Intune) oder in Intune unter Endpoint security → Security baselines. Beim Profil-Anlegen kannst du einzelne Einstellungen prüfen und anpassen und das Profil anschließend der passenden Gerätegruppe zuweisen.

Zusammenspiel in der Praxis

In Kombination ergibt sich ein sauberer Regelkreis:

1. Härten über die Intune-Security-Baselines (Windows-Baseline + MDE-Baseline).
2. Messen über die MDVM-Baseline-Bewertung gegen CIS oder STIG.
3. Nachsteuern anhand der Top-Fehler und Advanced-Hunting-Auswertungen – abweichende Geräte identifizieren und die Konfiguration korrigieren.

So verhindert man den typischen Zustand, in dem Baselines zwar einmal ausgerollt, ihre tatsächliche Compliance aber nie kontinuierlich überprüft wird.

Nächster Teil der Serie: Monitoring & Nachverfolgung.