Microsoft Defender for Endpoint: Überblick, Komponenten & Architektur

Dies ist der Auftakt einer Serie zu Microsoft Defender for Endpoint (MDE). Ziel ist es, das Produkt aus der Praxis heraus verständlich zu machen – als Ergänzung zur Microsoft-Dokumentation, mit den Fragen, die in echten Projekten immer wieder auftauchen. Der Fokus liegt auf der Windows-Plattform und auf Defender for Endpoint Plan 2 (P2). Alle Funktionen aus Plan 1 sind auch in Plan 2 enthalten.

Dieser erste Teil gibt den Überblick: Was ist MDE, wie ordnet es sich in Microsoft Defender XDR ein, aus welchen Komponenten besteht es, wie sieht die Architektur aus – und welche Schritte sich in der Umsetzung bewährt haben.

Was ist Microsoft Defender for Endpoint?

Microsoft Defender for Endpoint ist eine umfassende Sicherheitslösung zur Prävention, Erkennung, automatisierten Untersuchung und Reaktion auf Bedrohungen, die auf Endgeräte abzielen. MDE unterstützt mehrere Plattformen – Windows, Linux, macOS sowie iOS und Android. Wichtig zum Verständnis: Es ist kein einzelnes Produkt, sondern eine Plattform aus einer Vielzahl von Sicherheitsfunktionen, -diensten und -kontrollen.

MDE ist ein zentrales Element der Microsoft-Defender-Suite und teilt Daten, Signale und Architektur mit weiteren Lösungen:

• Microsoft Defender for Office 365 (MDO)
• Microsoft Defender for Cloud Apps (MDA/MDCA)
• Microsoft Defender for Identity (MDI)
• Microsoft Entra ID Protection (früher Azure AD Identity Protection)

Früher waren diese Lösungen auf getrennte Webportale verteilt. Heute führt Microsoft sie im Microsoft Defender-Portal (security.microsoft.com) zusammen. Der Vorteil: Untersuchungen und Gegenmaßnahmen laufen über die gesamte Angriffsfläche hinweg in einer Oberfläche – Incidents, Alerts, Threat Hunting, eingereichte Dateien/URLs und Analysen an einem Ort. Das beschleunigt die Reaktion und verbessert das Threat Hunting deutlich, weil sich Ereignisdaten aus verschiedenen Bereichen gemeinsam auswerten lassen.

Das zentrale Microsoft Defender-Portal führt alle Defender-Produkte in einer Oberfläche zusammen.

Einordnung: Microsoft Defender XDR

Microsoft Defender XDR ist das übergreifende, ganzheitliche Sicherheitsangebot (Pre- und Post-Breach). Es koordiniert Erkennung, Prävention, Untersuchung und Reaktion über Endpunkte, Identitäten, E-Mails und Cloud-Anwendungen hinweg. Defender for Endpoint ist ein Baustein dieser XDR-Suite. Zu XDR gehören unter anderem:

• Microsoft Defender for Endpoint
• Microsoft Defender for Office 365
• Microsoft Defender for Identity
• Microsoft Defender for Cloud Apps
• Microsoft Defender Vulnerability Management
• Microsoft Entra ID Protection
• Microsoft Data Loss Prevention (DLP)
• App Governance (Governance-Modul für Cloud Apps)

Die Kernkomponenten von MDE

Defender for Endpoint besteht aus mehreren Hauptkomponenten. Jede wird in späteren Teilen der Serie vertieft – hier der Überblick.

Die Hauptkomponenten von Microsoft Defender for Endpoint im Überblick. Bild: Microsoft.

Threat & Vulnerability Management (TVM)

Das Bedrohungs- und Schwachstellenmanagement gilt als eine der wichtigsten MDE-Funktionen. Es erkennt Schwachstellen nahezu in Echtzeit und ist bereits in MDE integriert (Teil der Defender-SENSE-/EDR-Dienste) – es braucht also keine zusätzliche Installation. Die Priorisierung der Funde richtet sich nach der aktuellen Bedrohungslage, damit die dringendsten Risiken zuerst sichtbar werden.

Microsoft bietet drei Leistungsstufen:

• Defender Vulnerability Management (Core) – Grundfunktionen, in MDE P2 enthalten
• Defender Vulnerability Management Add-on – Erweiterung für P2
• Defender Vulnerability Management Standalone – eigenständiges Produkt mit vollem Funktionsumfang

Die Kernfunktionen (in P2 enthalten) decken Geräteermittlung, Geräteinventar, Schwachstellen- und Softwarebewertung, risikobasierte Priorisierung, Nachverfolgung von Maßnahmen und kontinuierliches Monitoring ab. Das Add-on (und Standalone) ergänzen unter anderem: Bewertung von Security-Baselines, Blockieren verwundbarer Anwendungen, Überprüfung von Browser-Erweiterungen und digitalen Zertifikaten, Analyse von Netzfreigaben, Hardware-/Firmware-Bewertung sowie den authentifizierten Scan für Windows.

Hinweis: Defender for Servers Plan 2 enthält die Funktionen des Vulnerability-Management-Add-ons bereits – dafür ist keine zusätzliche Lizenz nötig.

Attack Surface Reduction (ASR)

Die Reduzierung der Angriffsfläche bündelt Funktionen, die potenzielle Angriffspfade auf Geräte verringern. ASR-Regeln blockieren zum Beispiel obfuskierte (verschleierte) Skripte oder unterbinden Persistenzmechanismen wie WMI-Event-Abonnements. Zu ASR gehören:

• Hardware-basierte Isolation
• Exploit-Schutz (Exploit Protection)
• Netzwerkschutz (Network Protection)
• Überwachter Ordnerzugriff (Controlled Folder Access)
• Gerätesteuerung (Device Control)
• Webschutz (Web Protection)
• Ransomware-Schutz
• ASR-Regeln (vordefinierte Regeln)
• Anwendungssteuerung (Application Control)

Next-Generation Protection (NGP)

Next-Generation Protection ist der modernisierte Schutz durch Defender Antivirus. Statt rein signaturbasiert zu arbeiten, setzt NGP stark auf cloudgestützte Mechanismen, Machine Learning und Big-Data-Analyse. Kernelemente:

• Verhaltensbasierter Schutz – Erkennung schädlichen Verhaltens zur Laufzeit
• Heuristischer Schutz – Identifikation von Malware anhand typischer Muster
• Echtzeit-Antivirenschutz – kontinuierliche Überwachung
• Cloud-gestützter Schutz – Nutzung von Cloud-Signalen und KI-Analysen

Der Cloud-basierte Schutz arbeitet mit dem Microsoft Intelligent Security Graph und KI-Modellen und bezieht Cloud-Metadaten, Proben-/Sandbox-Daten sowie Big-Data-Analysen in die Schutzentscheidung ein. Historisch stammt NGP aus Microsoft Security Essentials und System Center Endpoint Protection (SCEP); mit dem einheitlichen Defender-Agent stehen die Next-Gen-Funktionen auch auf Windows Server 2012 R2 und 2016 bereit.

Endpoint Detection & Response (EDR)

EDR ist die zweite Verteidigungslinie auf dem Endgerät. Während Next-Gen-Antivirus überwiegend vor der Ausführung eingreift (Pre-Execution Blocking), überwacht EDR die Phase nach einer möglichen Ausführung (Post-Execution). Hat Defender Antivirus eine Datei nicht als schädlich erkannt und ausgeführt, kann der EDR-Sensor deren verdächtige Aktivitäten dennoch feststellen (über die Defender-SENSE-Technologien).

MDE sammelt dazu kontinuierlich Verhaltensdaten (Telemetry). Diese stehen bis zu 6 Monate für Threat-Hunting-Abfragen zur Verfügung und lassen sich mit Identitäts- und Cloud-Daten korrelieren. Für Abfrage und Analyse kommt die Kusto Query Language (KQL) zum Einsatz. Die EDR-Komponente umfasst u. a. Untersuchungsfunktionen, automatische und manuelle Reaktionsaktionen, das Erkennen von Indicators of Compromise (IoCs), benutzerdefinierte Indikatoren und Advanced Hunting.

Automated Investigation and Response (AIR)

AIR analysiert Sicherheitswarnungen automatisch und leitet auf Basis vordefinierter Algorithmen Maßnahmen ab. Die Untersuchungen laufen lokal auf dem Endgerät (Prüfung von Dateien, Netzwerkverbindungen, Prozessen) und können erkannte schädliche Elemente eigenständig beseitigen sowie Alerts/Incidents automatisch schließen. Es gibt verschiedene Automatisierungsstufen – von rein beobachtend bis vollautomatisch. In sensiblen Umgebungen lassen sich Freigaben für bestimmte Aktionen erzwingen; im Idealfall läuft AIR jedoch im vollautomatischen Modus rund um die Uhr.

Microsoft Threat Experts

Ein verwalteter Threat-Hunting- und Beratungsdienst, der MDE ergänzt. Zwei Hauptfunktionen:

• Targeted Attack Notification – proaktive Benachrichtigung bei gezielten Angriffen (z. B. Hands-on-Keyboard-Attacken, APTs)
• Experts on Demand – direkte Konsultation von Microsoft-Sicherheitsexperten aus dem Portal heraus

Ergänzend hat Microsoft weitere Managed Services angekündigt: Defender Experts for Hunting, Defender Experts for XDR und Microsoft Security Services for Enterprises. Verfügbarkeit und Voraussetzungen sollten mit dem Microsoft-Ansprechpartner geklärt werden.

Asset Discovery (Geräteermittlung)

Asset Discovery findet bisher nicht verwaltete Geräte im Netzwerk. Unverwaltete Geräte sind ein häufiger Schwachpunkt – gerade mit zunehmendem BYOD. Die Funktion nutzt bereits onboardete Endpunkte, um das Netzwerk aktiv zu durchsuchen, und erkennt:

• Clients/Endpoints (Windows, Linux, macOS, iOS, Android), die noch nicht in MDE aufgenommen sind
• Netzwerkgeräte (Router, Switches)
• IoT-Geräte

Alle erkannten Geräte erscheinen im Geräteinventar – auch nicht onboardete oder nicht unterstützte. Über die Integration von RiskIQ-Daten erhalten exponierte Systeme zusätzlich den Hinweis „Internet facing", was besonders gefährdete Systeme sofort sichtbar macht.

Automatische Angriffsunterbrechung (Attack Disruption)

Automatic Attack Disruption ist Teil des XDR-Konzepts und soll laufende Angriffe automatisch eindämmen, ihre Auswirkungen minimieren und einzelne Schritte des Angriffs ohne manuelles Eingreifen neutralisieren. Die Funktion ist in die Plattform integriert und aktiviert sich automatisch, sobald ein Vorfall als „Disruption Alert" eingestuft wird. Dabei wertet Microsoft Signale aus dem gesamten Ökosystem aus, um kompromittierte Geräte oder Benutzer schnell zu identifizieren.

Angekündigt 2022, adressierte die Funktion zunächst Business Email Compromise (BEC) und menschlich gesteuerte Ransomware; seit dem 17. Mai 2023 stoppt sie auch AiTM-Phishing-Angriffe (Adversary-in-the-Middle) in Echtzeit. Fällt ein Incident darunter, erhält er das Tag Attack Disruption, und in der Detailansicht listet ein gelber Banner alle automatisch durchgeführten Aktionen auf.

Incident-Übersicht im Microsoft Defender-Portal.

Architektur

Defender for Endpoint ist als Plattform innerhalb der Defender-Familie konzipiert. Wichtige Eckpunkte:

• Mandantentrennung: Jede Kundeninstanz ist logisch getrennt – Daten und Konfigurationen sind mandantenspezifisch und nur für den jeweiligen Kunden zugänglich.
• Datenaufbewahrung: Telemetriedaten werden bis zu sechs Monate aufbewahrt (Plan 2).
• Speicherort: Je nach Tenant wählbar zwischen USA, Großbritannien oder Europa.

Für die Anbindung an andere Lösungen gibt es zahlreiche Integrationen, u. a.:

• Microsoft Sentinel – SIEM/SOAR zur zentralen Protokollierung und Korrelation
• Microsoft Defender for Cloud – gemeinsame Signalnutzung und vereinfachtes Server-Onboarding
• Microsoft Information Protection / Endpoint DLP – Klassifizierung und Schutz sensibler Daten
• Power BI / SIEM-Connector – Export von Sicherheitsdaten zur Visualisierung
• Microsoft Intune – zentrales Management von Richtlinien und Einstellungen (Onboarding, Konfiguration)
• Weitere Defender-Komponenten – MDO, MDI usw. zum Austausch von Warnungen

Empfohlene Schritte zur Umsetzung

Die folgende Liste dient als Referenz-Checkliste für eine vollständige MDE-Implementierung. Jeder Punkt wird in späteren Teilen der Serie vertieft.

1. Zentrale Verwaltung einsetzen – bevorzugt Intune bzw. das einheitliche MDE-Portal; alternativ GPO oder PowerShell. Erleichtert konsistente Ausnahmen und Richtlinien.
2. Cloud-Schutz aktivieren – Cloud-delivered Protection / NGP in Defender Antivirus sicherstellen (schnellere Updates, cloudbasierte Erkennung).
3. Defender AV optimieren – u. a. Local Admin Merge, Cloud-Block-Level, verlängerte Cloud-Timeouts, passende Update-Intervalle.
4. Automatische Untersuchungen nutzen (AIR) – automatische Bereinigung erkannter Bedrohungen ohne manuelles Eingreifen.
5. PUA-Bereinigung einschalten – „Always remediate PUA", damit potenziell unerwünschte Anwendungen konsequent entfernt/blockiert werden.
6. EDR im Blockmodus – bei Drittanbieter-AV aktivieren, damit MDE Bedrohungen nachträglich abfängt.
7. Tamper Protection aktivieren – für alle Geräte im Tenant, damit Angreifer Defender lokal nicht deaktivieren können.
8. Targeted Attack Notifications – falls verfügbar (Teil von Microsoft Threat Experts) aktivieren.
9. ASR-Regeln einführen – erst im Audit-Modus evaluieren, dann im Block-Modus aktiv schalten.
10. Compliance-Richtlinien nutzen – (bei Intune) Geräte mit hohem Risikostatus vom Zugriff ausschließen.
11. Integration mit Defender for Cloud Apps – tieferer Einblick in Cloud-Apps und Shadow IT auf Basis des Endpunkt-Netzwerkverkehrs.
12. Custom Indicators konfigurieren – IoCs (IPs, URLs, Dateihashes) hinterlegen und blockieren lassen.
13. Statusberichte erstellen – via Advanced Hunting, TVM-Dashboard oder Power BI; Trends messbar machen.
14. Gerätegruppen definieren – nach Standort, Abteilung oder Gerätetyp für segmentierte Einblicke und gezielte Ausnahmen.
15. Threat Hunting betreiben – Advanced-Hunting-Telemetrie mit TVM-Ergebnissen kombinieren, um Anomalien früh zu finden.
16. Kontinuierliches Follow-up – TVM-Ergebnisse, Alerts und Hunting-Resultate laufend nachverfolgen und Lücken zeitnah schließen.
17. Eigene Erkennungsregeln entwickeln – Custom Detections bzw. Sentinel-Analytics-Regeln ergänzen und laufend verbessern.

Informationsquellen

Neben den offiziellen Microsoft-Quellen (Defender-Dokumentation auf MS Learn, MDE Ninja Training, Tech Community) lohnt der Blick in die Community – etwa die Blogs von Jeffrey Appel, Ru Campbell, Fabian Bader (cloudbrothers.info) oder Sami Lamppu, sowie die Threat-Hunting- und KQL-Inhalte bekannter Defender-Experten.

Nächster Teil der Serie: Microsoft Defender Vulnerability Management (MDVM) im Detail – Dashboard, Exposure-Score, Sicherheitsempfehlungen und Advanced Hunting.