Microsoft Defender

Unter dem Namen Microsoft Defender fasst Microsoft eine ganze Familie von Sicherheitsprodukten zusammen. Viele kennen ihn als den in Windows eingebauten Virenschutz, der früher Windows Defender hieß. Daneben gibt es Dienste für Endgeräte, E-Mail und Zusammenarbeit, Identitäten, Cloud-Anwendungen und Cloud-Infrastruktur, von denen viele über ein gemeinsames Portal verwaltet werden.

Weil Microsoft Produktnamen und Paketzuschnitte immer wieder ändert, ist es hilfreicher, nach Schutzbereichen zu fragen als nach Namen: Welche Bereiche sind abgedeckt, welche Funktionen sind aktiv, und wer reagiert auf Warnungen?

Wie Microsoft Defender aufgebaut ist

• Endgeräte: Über den Virenschutz hinaus erkennt Defender verdächtiges Verhalten auf Geräten und ermöglicht Gegenmaßnahmen, siehe Endpoint Detection and Response. Unterstützt werden neben Windows auch weitere Betriebssysteme.
• E-Mail und Zusammenarbeit: Links und Anhänge in E-Mails und in Diensten wie Teams werden auf Phishing und Schadsoftware geprüft.
• Identitäten: Verdächtige Aktivitäten rund um Benutzerkonten werden erkannt, etwa im lokalen Active Directory.
• Cloud-Anwendungen: Das Unternehmen erhält Sichtbarkeit und Kontrolle darüber, welche Cloud-Dienste genutzt werden.
• Cloud-Infrastruktur: Server und Dienste in Azure und anderen Cloud-Umgebungen werden bewertet und geschützt.

Die Warnungen aus diesen Bereichen werden zu zusammenhängenden Vorfällen verknüpft. Microsoft bezeichnet diesen übergreifenden Ansatz als XDR (Extended Detection and Response). So wird sichtbar, wenn eine Phishing-Mail, eine verdächtige Anmeldung und ein auffälliger Prozess auf einem Laptop zum selben Angriff gehören. Für bestimmte Fälle lassen sich automatische Untersuchungen und Gegenmaßnahmen auslösen.

Typische Beispiele

• Ein geöffneter Anhang startet verdächtige Skripte. Der Endgeräteschutz erkennt das Verhalten und isoliert den Laptop vom Netzwerk.
• Ein Link in einer E-Mail wird beim Anklicken erneut geprüft, weil die Zielseite erst nach der Zustellung schädlich wurde.
• Im lokalen Active Directory fallen ungewöhnliche Abfragen von Kontoinformationen auf, wie sie Angreifende zur Vorbereitung nutzen.
• Berichte zu Schwachstellen und Konfiguration zeigen, auf welchen Geräten Updates oder Schutzeinstellungen fehlen.

Worauf Unternehmen achten sollten

• Bestand klären: Welche Defender-Funktionen sind in den vorhandenen Lizenzen enthalten, und welche davon sind tatsächlich aktiviert und konfiguriert?
• Abdeckung prüfen: Alle Endgeräte und Server sollten angebunden sein. Geräte ohne aktiven Schutz müssen auffallen.
• Zuständigkeit für Warnungen festlegen: Klären, wer Alarme bewertet, auch außerhalb der Bürozeiten, etwa ein Security Operations Center.
• Schutzfunktionen bewusst einstellen: Zusätzliche Regeln, etwa zur Verringerung der Angriffsfläche, zuerst im Überwachungsmodus testen und dann schrittweise erzwingen.
• Identitäten mitdenken: Defender ersetzt keine sichere Anmeldung. Dazu gehören Multi-Faktor-Authentifizierung und Zugriffsregeln in Microsoft Entra ID.

Abgrenzung

Der in Windows eingebaute Virenschutz ist nicht dasselbe wie der zentral verwaltete Endgeräteschutz für Unternehmen. Dieser ergänzt den Virenschutz um Verhaltensanalyse, zentrale Auswertung und Reaktionsmöglichkeiten über alle Geräte hinweg.