Microsoft Defender Vulnerability Management (MDVM)

In Teil 1 ging es um den Überblick. Dieser Teil widmet sich einer der wichtigsten Komponenten: Microsoft Defender Vulnerability Management (MDVM). MDVM ist ein integriertes Modul von Defender for Endpoint, das ohne zusätzlichen Agenten oder separate Konfiguration Schwachstellen erkennt, kontinuierlich priorisiert und daraus konkrete Sicherheitsempfehlungen zur Risikominderung ableitet.

MDVM-Angebote und Lizenzen

MDVM gibt es in mehreren Varianten:

• Defender for Endpoint Plan 2 – enthält die Kernfunktionen des Vulnerability Managements.
• Add-on für Plan 2 – schaltet erweiterte Funktionen frei (siehe unten).
• Standalone – vollständiges Vulnerability-Management-Paket, ohne dass ein Endpoint-Plan nötig ist.

Defender for Servers Plan 2 enthält die Funktionalität des Add-ons ohne zusätzliche Kosten.

Funktionsweise

MDVM arbeitet agentenlos und nutzt den bereits vorhandenen MDE-Sensor zur Datenerfassung. Die Daten liegen in der Cloud – bis zu 180 Tage im Portal und 30 Tage in Advanced Hunting. Dadurch werden Schwachstellen in Echtzeit erkannt und Empfehlungen abgeleitet, ohne auf geplante Scans warten zu müssen. Bei der Erstregistrierung eines Geräts werden bereits alle vorhandenen Schwachstellendaten erfasst; neue oder behobene Schwachstellen werden anschließend sofort sichtbar.

Ohne ein solches System bleiben in Organisationen typische Lücken bestehen:

• Unklarheit über den Schutzstatus von Geräten (fehlende Konfigurations-Compliance)
• Unentdeckte Schwachstellen durch CVEs
• Nicht erkannte Zero-Day-Schwachstellen
• Fehlender oder falsch konfigurierter Antiviren-Schutz
• Alte, unsichere Komponenten (z. B. SMBv1, veraltetes .NET) und aktive Standard-Accounts

MDVM zeigt standardmäßig nur Geräte an, die in den letzten 30 Tagen aktiv waren. Dabei können Duplikate entstehen (z. B. beim Neuaufsetzen). Über „Gerät ausschließen" lassen sich inaktive oder doppelte Einträge sofort aus den MDVM-Daten entfernen.

Geräteinventar mit der Option zum Ausschließen einzelner Geräte.

MDVM im Portal: das Dashboard

Alle MDVM-Daten liegen im Microsoft Defender-Portal (security.microsoft.com) unter Vulnerability Management. Das Dashboard bündelt die zentralen Kennzahlen:

Der Bereich Vulnerability Management im Defender-Portal.

• Exposure-Score – Gesamt-Exposure aller Geräte (Skala 0–100)
• Top-Sicherheitsempfehlungen – wichtigste Maßnahmen nach größter Auswirkung
• Microsoft Secure Score for Devices – Konfigurations-Score der Gerätebasis
• Top-Ereignisse (7 Tage) – neueste Schwachstellen-Ereignisse (z. B. Chrome-CVEs)
• Ablaufende Zertifikate – nur im Add-on
• Exposure-Verteilung – Geräte nach Low/Medium/High Exposure
• Top-Remediation-Aktivitäten – häufigste Behebungsaufgaben
• Top verwundbare Software – Software mit den meisten CVEs
• Top exponierte Geräte – Geräte mit den meisten Empfehlungen/Schwachstellen

Das MDVM-Dashboard mit Exposure-Score, Secure Score und Top-Kennzahlen.

Praxis-Tipp: Eine saubere Struktur in Gerätegruppen ermöglicht gezieltes Filtern – etwa nach Tier-0-Systemen oder Betriebssystemen über einzelne Unternehmensbereiche hinweg.

Exposure-Score

Der Exposure-Score gibt die Gesamtexposition der Organisation an. Ein hoher Wert deutet auf viele oder kritische Schwachstellen hin:

• 0–29: niedriges Exposure
• 30–69: mittleres Exposure
• 70–100: hohes Exposure

Der Score-Verlauf wird über die Zeit dargestellt. Änderungen lassen sich über die Ereignis-Timeline zurückverfolgen (z. B. neu entdeckte CVEs und deren Auswirkung auf die Geräte).

Der Exposure-Score mit Verlaufsdiagramm über die Zeit.

Sicherheitsempfehlungen

MDVM liefert nach Risiko priorisierte Empfehlungen – konkrete Maßnahmen wie Updates oder Konfigurationsänderungen, um die Exposition zu senken. Jede Empfehlung enthält im Portal umfangreiche Details:

• Name der Empfehlung (z. B. „Update Microsoft Defender Antivirus Definition")
• Anzahl der Schwachstellen (bekannte CVEs)
• betroffene Komponente (Software/Feature)
• erkannte Bedrohungen (aktive Angriffe/Exploits)
• exponierte Geräte (Anzahl)
• empfohlene Maßnahme
• verknüpfte Remediation-Aufgaben
• geschätzte Auswirkung auf Exposure/Secure Score
• Tags (z. B. „Zero-Day", „Ransomware", „EOS-Software")

Die Liste der nach Risiko priorisierten Sicherheitsempfehlungen.

Zwei Symbole markieren besondere Dringlichkeit: Breach insights (mögliche aktive Bedrohungen) und Threat insights (zugehörige öffentliche Exploits).

Die Symbole für Breach insights und Threat insights.

In der Detailansicht sieht man die konkreten CVEs und Exploits – etwa für einen Server mit hunderten bekannten Schwachstellen inklusive eines aktiven RCE-Exploits.

Detailansicht einer Empfehlung mit den zugehörigen CVEs und Exploits.

Ebenfalls einsehbar ist die Software-Detailseite: Hier sind alle zugehörigen Empfehlungen und Schwachstellen aufgeführt.

Die Software-Detailseite mit allen zugehörigen Empfehlungen und Schwachstellen.

So sieht man beispielsweise für Google Chrome Hinweise wie „Passwort-Manager deaktivieren" oder „Drittanbieter-Cookies blockieren".

Empfehlungen für Google Chrome, etwa zum Passwort-Manager.

Auch eine Event-Timeline zur Software ist verfügbar.

Die Event-Timeline auf der Software-Detailseite.

Die Empfehlungen basieren auf Best Practices. Vor der Umsetzung sollten sie immer in der eigenen Umgebung geprüft werden.

Ereignis-Timeline

Die Ereignis-Timeline funktioniert wie ein Newsfeed für Schwachstellen: Sie zeigt, welche Schwachstellen wann aufgetreten sind und wie viele Geräte ursprünglich bzw. aktuell betroffen sind. Filter nach Datum oder Typ helfen, die Risikoentwicklung nachzuvollziehen.

Die Ereignis-Timeline als Newsfeed für neue Schwachstellen.

Konfigurationsprüfung über die UI

MDVM hilft auch bei der Konfigurationsprüfung: Im Portal lässt sich prüfen, ob die wichtigen Sicherheitskontrollen aktiv sind – Antivirus, Firewall, Attack Surface Reduction, BitLocker, Credential Guard, SmartScreen und weitere. Dazu filtert man die Empfehlungen nach der Komponente „Security controls" und erkennt auf einen Blick, welche Schutzmechanismen fehlen oder abweichen.

Empfehlungen gefiltert nach der Komponente „Security controls".

Bei ASR-Regeln werden die Empfehlungen zusätzlich mit dem User-Impact angezeigt – berechnet auf Basis der Sensortelemetrie der letzten 45 Tage.

ASR-Empfehlungen mit Angabe des User-Impacts.

Daten mit Advanced Hunting (KQL)

Alle MDVM-Daten sind über Advanced Hunting per KQL abrufbar. Die DeviceTvm*-Tabellen enthalten die MDVM-Informationen und erlauben flexible, eigene Analysen. Typische Anwendungsfälle: Status aller ASR-Regeln, Defender-Plattform-/Signaturversionen, AV-Modus (Active/Passive/EDR-Block) je Gerät.

Advanced Hunting mit den DeviceTvm-Tabellen für eigene KQL-Abfragen.

Jede Empfehlung hat eine SCID (Secure Configuration ID). scid-2011 ist z. B. „Update Microsoft Defender Antivirus Definition". Der Rohdatensatz:

DeviceTvmSecureConfigurationAssessment
| where ConfigurationId == "scid-2011"

Rohdatensatz der KQL-Abfrage für scid-2011.

Mit geparstem Context-Feld werden Signatur-/Engine-/Produktversion lesbar:

DeviceTvmSecureConfigurationAssessment
| where ConfigurationId == "scid-2011"
| mv-expand body = parse_json(Context)
| project DeviceName, DeviceId, OSPlatform,
          SignatureVersion = tostring(body[0]),
          SignatureDate    = todatetime(body[2]),
          EngineVersion    = body[1],
          ProductVersion   = body[3]

Abfrageergebnis für scid-2011 mit geparstem Context-Feld.

Alle Geräte, auf denen Defender AV deaktiviert ist (scid-2010, anwendbar und nicht konform):

DeviceInfo
| summarize arg_max(Timestamp, *) by DeviceId
| project DeviceId, Timestamp, DeviceName, ClientVersion, OnboardingStatus, DeviceType, MachineGroup
| project-rename LatestDeviceData = Timestamp
| join kind=inner (
    DeviceTvmSecureConfigurationAssessment
    | where ConfigurationId == "scid-2010"
    | project DeviceId, Timestamp, ConfigurationId, ConfigurationSubcategory, IsApplicable, IsCompliant, Context
    | project-rename TimeStampTVMEval = Timestamp
    | join kind=inner (
        DeviceTvmSecureConfigurationAssessmentKB
        | project ConfigurationId, ConfigurationName, ConfigurationDescription
      ) on ConfigurationId
  ) on DeviceId
| where IsApplicable == 1 and IsCompliant == 0

Abfrageergebnis: Geräte, auf denen Defender AV deaktiviert ist.

Für MAPS/Cloud Protection deaktiviert ist die Abfrage identisch mit scid-2016.

Abfrageergebnis: Geräte, bei denen MAPS/Cloud Protection deaktiviert ist.

AV-Modus je Gerät (Active/Passive/EDR-Block) – zusammengeführt mit Signatur-/Engine-Version:

let avmodetable = DeviceTvmSecureConfigurationAssessment
| where ConfigurationId == "scid-2010" and isnotnull(Context)
| extend avdata = parsejson(Context)
| extend AVMode = iif(tostring(avdata[0][0]) == '0', 'Active',
                   iif(tostring(avdata[0][0]) == '1', 'Passive',
                   iif(tostring(avdata[0][0]) == '4', 'EDR Blocked', 'Unknown')))
| project DeviceId, AVMode;
DeviceTvmSecureConfigurationAssessment
| where ConfigurationId == "scid-2011" and isnotnull(Context)
| extend avdata = parsejson(Context)
| extend AVSigVersion       = tostring(avdata[0][0])
| extend AVEngineVersion    = tostring(avdata[0][1])
| extend AVSigLastUpdateTime = tostring(avdata[0][2])
| project DeviceId, DeviceName, OSPlatform, AVSigVersion, AVEngineVersion, AVSigLastUpdateTime, IsCompliant, IsApplicable
| join avmodetable on DeviceId
| project-away DeviceId1

Abfrageergebnis: erkannter AV-Modus je Gerät.

Überblick über den ASR-Aktivierungsstatus aller Regeln (Enabled/Audit/Block/Off) je Gerät:

DeviceTvmSecureConfigurationAssessment
| where ConfigurationId in ("scid-2500","scid-2501","scid-2502","scid-2503","scid-2504",
    "scid-2505","scid-2506","scid-2507","scid-2508","scid-2509","scid-2510","scid-2511",
    "scid-2512","scid-2513","scid-2514","scid-2515","scid-2021")
| extend ASR = case(
    ConfigurationId == "scid-2500", "BlockMailExe",
    ConfigurationId == "scid-2501", "BlockOfficeChildProc",
    ConfigurationId == "scid-2502", "BlockOfficeExe",
    ConfigurationId == "scid-2503", "BlockOfficeInjection",
    ConfigurationId == "scid-2504", "BlockJavaScriptVBScriptExe",
    ConfigurationId == "scid-2505", "BlockObfuscatedScripts",
    ConfigurationId == "scid-2506", "BlockOfficeMacroW32API",
    ConfigurationId == "scid-2507", "BlockUntrustedExecutables",
    ConfigurationId == "scid-2508", "AdvancedRansomwareProtection",
    ConfigurationId == "scid-2509", "BlockCredentialStealing",
    ConfigurationId == "scid-2510", "BlockProcPSexecWMI",
    ConfigurationId == "scid-2511", "BlockUnsignedEXEonUSB",
    ConfigurationId == "scid-2512", "BlockOfficeCommunicationChildProc",
    ConfigurationId == "scid-2513", "BlockAdobeReaderChildProc",
    ConfigurationId == "scid-2514", "BlockWMIPersist",
    ConfigurationId == "scid-2515", "BlockExploitedVulnerableSignedDrivers",
    ConfigurationId == "scid-2021", "ControlledFolderAccess", "N/A"),
  Result = case(
    IsApplicable == 0, "N/A",
    IsCompliant == 1, "Enabled",
    Context contains "Audit", "Audit",
    Context contains "Enabled", "Enabled",
    Context contains "Block", "Block",
    Context contains "Off", "Off", "N/A")
| extend packed = pack(ASR, Result)
| summarize ASRPack = make_bag(packed), DeviceName = any(DeviceName), OSPlatform = any(OSPlatform) by DeviceId
| evaluate bag_unpack(ASRPack)

Die KQL-Abfrage für den ASR-Aktivierungsstatus.

Abfrageergebnis: ASR-Status (Enabled/Audit/Block/Off) je Gerät.

Premium-Funktionen (Add-on)

Das Add-on bzw. die Standalone-Variante ergänzen:

• Sicherheits-Baseline-Assessment
• Blockieren verwundbarer Anwendungen (siehe unten)
• Bewertung von Browser-Erweiterungen
• digitale Zertifikats-Analyse
• Analyse von Netzwerkfreigaben

(Mit Defender for Servers Plan 2 sind diese Funktionen automatisch enthalten.)

Remediation-Aufgaben

Gefundene Schwachstellen lassen sich über Remediation-Aufgaben verfolgen. Zwei Optionen: reine Remediation oder Remediation mit zusätzlichem Task in Microsoft Intune (für Entra-ID-verbundene Geräte). Bei der Einrichtung legt man Fälligkeitsdatum, Priorität und Zielgeräte fest; optional startet eine Automation in Intune. Alle Aufgaben erscheinen unter Vulnerability Management → Remediation – inklusive Fortschritt (Status und Prozentwert) je Gerät.

Praxis-Tipps für MDVM

• Gerätegruppen organisieren, damit Teams nur ihre relevanten Geräte sehen.
• Inventar exportieren (z. B. wöchentlich als CSV) und auf unerwünschte Software prüfen.
• Advanced Hunting nutzen, um Signatur-/Engine-Versionen, AV-Modus oder Plattformversionen auf Ausreißer zu prüfen.
• Alerts einrichten für hohe CVSS-Werte (z. B. ≥ 7,0) mit neuen öffentlichen Exploits.
• EOS/EOL-Tags für Software am Supportende vergeben.
• Teams schulen und klare Prozesse für Prüfung und Patching etablieren.
• Neue Images validieren, bevor sie produktiv gehen.
• Top-Exposure-Geräte beobachten und dort priorisiert beheben.

Verwundbare Anwendungen blockieren

Mit dem Add-on lassen sich gezielt veraltete, anfällige Software-Versionen blockieren, sodass nur die aktuellen, sicheren Versionen laufen dürfen.

Voraussetzungen:

• Defender Antivirus muss im aktiven Modus laufen (EDR-Block oder Passiv reicht nicht).
• Cloud-delivered Protection und die erweiterten Funktionen für Datei-Blockierung müssen aktiv sein.
• Der Defender-AV-Client sollte auf Version ≥ 4.18.1901.x aktualisiert sein.

Vorgehen im Portal: In den Sicherheitsempfehlungen nach dem Remediation-Typ „Software update / Software upgrade" filtern, die passende Empfehlung wählen (z. B. „Update Google Chrome to version …") und Request remediation klicken. Dabei legt man Fälligkeitsdatum, Priorität und betroffene Gerätegruppen fest.

Über die Mitigation action stellt man ein, ob alle bekannten anfälligen Versionen blockiert oder nur gewarnt werden. Bei „Warn" erscheint beim Nutzer ein Hinweis (Standard-Link aka.ms/TvmApplicationBlockSupport), der Start kann aber fortgesetzt werden. Nach dem Erstellen fügt Defender automatisch Indikatoren (Datei-Hashes) für alle betroffenen Versionen hinzu; das Anwenden kann bis zu 30 Minuten dauern.

Erfolgreiche Block-/Warn-Ereignisse lassen sich über Advanced Hunting nachvollziehen – in DeviceEvents über ActionType == "AntivirusDetection" mit den AdditionalFields-Werten TVMBlock bzw. TVMWarn:

DeviceEvents
| where ActionType == "AntivirusDetection"
| where AdditionalFields has_any ("TVMBlock", "TVMWarn")
| project Timestamp, DeviceName, FileName, SHA1, AdditionalFields

Nächster Teil der Serie: Lizenzübersicht & Vergleiche – Defender for Cloud vs. Defender for Endpoint vs. Defender for Servers.