So automatisieren Sie die Alarm-Eskalation von Defender an PSA-Systeme

Microsoft Defender for Endpoint bietet leistungsstarke Sicherheitsalarmierungen in Echtzeit. Techniker:innen können diese Alarmierungen allerdings übersehen, wenn sie nicht an das PSA-System des MSP eskaliert werden. Eine automatisierte Alarm-Eskalation samt Ticketerstellung schließt die Lücke zwischen Erkennung und Reaktion. Durch die Integration von Defender mit einer PSA-Software können Techniker:innen zudem sofort auf Bedrohungen reagieren.

Eine anschauliche Aufbereitung des Themas finden Sie im Video So automatisieren Sie die Alarm-Eskalation von Defender an PSA-Systeme.

Alarm-Eskalation mit Microsoft Power Automate

Microsoft Defender bietet mit Power Automate ein integriertes Tool, mit dem sich Defender-Alarmierungen ohne eigene Skripte automatisiert in bearbeitbare Service-Tickets umwandeln lassen. Um damit die Alarm-Eskalation von Defender an PSA-Systeme zu automatisieren, benötigen Sie Administrator-Zugriff auf Microsoft Power Automate.

So erstellen Sie in Microsoft Defender ein API-Token für PSA-Systeme:

1. Verwenden Sie den Connector „Defender for Cloud Apps“ und wählen Sie „Wenn eine Warnung generiert wird“ als Trigger aus.
2. Fügen Sie Aktionen hinzu, um Ihre Reaktionslogik zu definieren, etwa benachrichtigen, eskalieren oder isolieren.
3. Wechseln Sie zu Defender for Cloud Apps > Richtlinienverwaltung und bearbeiten Sie die entsprechende Richtlinie.
4. Aktivieren Sie „Warnungen an Power Automate senden“ und wählen Sie Ihr Playbook aus.

Erfahren Sie mehr darüber, wie Sie mit Power Automate MSP-Workflows vereinfachen.

Falls Ihr Unternehmen kein Abonnement für Microsoft Power Automate besitzt, können Sie die folgenden Schritte nutzen, um IT-Leistungsberichte zu erstellen.

Methoden zur automatisierten Alarm-Eskalation von Defender an PSA-Systeme

Sie können die Alarm-Eskalation von Defender an PSA-Systeme automatisieren, indem Sie Defender-Alarmierungen abrufen, die Alarm-Payload formatieren, einen Webhook auslösen, das Abfragen von Alarmierungen planen, einen Audit-Trail ergänzen oder per Gruppenrichtlinie Protokollierung und Alarmkontext verbessern.

📌 Voraussetzungen:

• Microsoft 365 Defender Plan 2 oder Microsoft 365 E5
• API-Zugriff auf Ihr PSA-System
• Microsoft Graph-Berechtigungen: SecurityEvents.Read.All, Incident.Read.All, Alert.Read.All
• App-Registrierung in Azure AD für die Authentifizierung der Automatisierung
• Administrator-Zugriff auf NinjaOne, ein RMM oder eine Skript-Engine
• PowerShell 7+ und das Graph SDK-Modul

📌 Empfohlene Bereitstellungsstrategien:

Methode 1: Mit Microsoft Graph verbinden und Defender-Alarmierungen abrufen

📌 Anwendungsfall: IT-Teams, die Defender-Alarmierungen live abrufen möchten

Teil 1: App in Entra ID (Azure AD) registrieren

1. Melden Sie sich im Microsoft Entra Admin Center an.
2. Wechseln Sie zu Entra ID > App-Registrierungen und klicken Sie auf Neue Registrierung.
3. Geben Sie einen Namen für Ihre App ein.
4. Legen Sie unter Unterstützte Kontotypen fest, wer die Anwendung verwenden darf.
5. Klicken Sie auf Registrieren, um die Registrierung abzuschließen.
6. Notieren Sie sich die Anwendungs-ID (Client), die auf der Übersichtsseite der Anwendung angezeigt wird.

Teil 2: Microsoft Graph API-Berechtigungen zuweisen

1. Gehen Sie zu App-Registrierungen > wählen Sie die erstellte Anwendung aus > API-Berechtigungen.
2. Klicken Sie auf Berechtigung hinzufügen > Microsoft Graph
3. Wählen Sie:
   • Delegierte Berechtigungen: wenn ein angemeldeter Benutzer bzw. eine angemeldete Benutzerin beteiligt ist
   • Anwendungsberechtigungen: wenn Ihre App im Hintergrund läuft

Teil 3: Geheimen Clientschlüssel erzeugen und speichern

1. Wählen Sie App-Registrierungen > wählen Sie die erstellte Anwendung aus > Zertifikate & Geheimnisse.
2. Klicken Sie auf Neuer geheimer Clientschlüssel.
3. Ergänzen Sie eine Beschreibung und ein Ablaufdatum und klicken Sie dann auf Hinzufügen.
4. Kopieren Sie den Wert sofort, da er nur einmal angezeigt wird.

Teil 4: Client-ID, Mandanten-ID und geheimen Clientschlüssel notieren

Teil 5: Mit Microsoft Graph verbinden und Defender-Alarmierungen abrufen

1. Drücken Sie Win, geben Sie PowerShell ein und klicken Sie dann auf Als Administrator ausführen.
2. Kopieren Sie das folgende Skript, fügen Sie es in die Eingabeaufforderung ein und drücken Sie die Eingabetaste:

• PowerShell-Verbindungsskript:

• Alarmierungen abrufen:

💡 Hinweis: Das Cmdlet Select-MgProfile -Name beta ist ab Microsoft Graph PowerShell v2.0 veraltet. Bei neueren Versionen sollten Sie stattdessen das Modul Microsoft.Graph.Beta installieren und verwenden.

⚠️ Warnung: Bevor Sie die Einstellungsänderung auf verschiedenen Endpunkten ausrollen, sollten Sie sie zuerst auf einem lokalen Rechner testen. (Mehr dazu unter: Worauf Sie achten sollten)

Methode 2: Alarm-Payload für die PSA-Ticketerstellung formatieren

📌 Anwendungsfälle: IT-Administrator:innen, die Alarmdetails für die schnelle Übergabe an das Helpdesk-System aufbereiten möchten

So bereiten Sie Ticketinhalte aus Microsoft Defender-Alarmierungen auf und formatieren sie als JSON-Payload, die per Webhook an ein PSA-System übergeben wird.

Schritt 1: Ticket-Titel formatieren

• Erstellen Sie einen Titel aus Schweregrad und Bezeichnung:
  • „[$($_.Severity)] $($_.Title)“
• Beispiel:
  • [High] Ransomware activity detected

Schritt 2: Ticket-Text verfassen

• Achten Sie darauf, beim Erstellen des Ticket-Texts alle relevanten Details aufzunehmen:
  • Defender-Alarmierung: $alert.Description
  • Gerät: $alert.DeviceName
  • Benutzer:in: $alert.UserPrincipalName
  • Erkannt am: $alert.CreatedDateTime
  • Alarm-ID: $alert.Id
• Beispiel:
  • Defender-Alarmierung: Auf dem Gerät LAPTOP-1234 wurde ein Verschlüsselungsverhalten bei Dateien erkannt.
  • Gerät: LAPTOP-1234
  • Benutzer:in: [email protected]
  • Erkannt am: 2025-07-01T14:00:00Z
  • Alarm-ID: 3d7f2ae1-xxxx-yyyy-zzzz-abc123

💡 Hinweis: Die Feldnamen können je nach Umgebung und Microsoft Graph-Version abweichen.

Schritt 3: Kategorie auf PSA-Ticketart abbilden

Anschließend müssen Sie die Alarmkategorie einer PSA-Ticketart zuordnen. Nutzen Sie dafür die folgende Übersicht als Referenz:

💡 Hinweis: Die genaue Zuordnung kann je nach PSA-System abweichen.

Schritt 4: JSON-Payload aufbauen

Auf Basis der obigen Beispiele sollte die JSON-Payload so aussehen:

Methode 3: Webhook oder API-Aufruf an das PSA-System auslösen

📌 Anwendungsfall: Defender-Alarmierungen direkt in die PSA-Ticket-Warteschlange übergeben

1. Drücken Sie Win + R, geben Sie PowerShell ein und klicken Sie dann auf Als Administrator ausführen.
2. Kopieren Sie das folgende Skript, fügen Sie es in die Eingabeaufforderung ein und drücken Sie die Eingabetaste, um ein Ticket per PowerShell und Webhook zu senden:

Invoke-RestMethod -Method Post -Uri $psaWebhookUrl -Body
($alertJson | ConvertTo-Json -Depth 5) -ContentType „application/json“

💡 Hinweis: $psaWebhookUrl und $alertJson sind Platzhalter und sollten durch Ihren tatsächlichen PSA-Webhook-Endpunkt und eine korrekt formatierte JSON-Payload ersetzt werden.

Für Systeme mit tokenbasiertem API-Zugriff:

• Authentifizierung über REST-Token
• HTTP POST an den Endpunkt /tickets verwenden
• Antwortstatus 200/201 und zurückgegebene Ticket-ID prüfen

💡 Tipp: Protokollieren Sie die Ticketerstellung lokal oder in den Ereignisprotokollen, um sie nachvollziehbar zu machen.

Methode 4: Abfrage von Alarmierungen mit PowerShell oder Azure Automation planen

📌 Anwendungsfall: Skript alle 5 bis 15 Minuten ausführen, um Alarmierungen zu erfassen und automatisiert zu eskalieren

1. Drücken Sie Win + R, geben Sie PowerShell ein und klicken Sie dann auf Als Administrator ausführen.
2. Kopieren Sie das folgende Skript, fügen Sie es in die Eingabeaufforderung ein und drücken Sie die Eingabetaste, um alle 5 bis 15 Minuten neue Alarmierungen zu erkennen und zu eskalieren:

Sie können das Skript ausführen über:

• Azure Automation mit verwalteter Identität
• Windows-Aufgabenplanung auf einem per RMM verwalteten Endpunkt
• NinjaOne-Skriptrichtlinie

💡 Hinweis: Bevor Sie dieses Skript ausführen, müssen Sie sich zunächst mit Connect-MgGraph verbinden und sicherstellen, dass die App über die richtigen Berechtigungen verfügt.

Methode 5: Registry-basierten Audit-Trail auf eskalierten Endpunkten ergänzen

📌 Anwendungsfall: Zeitpunkt der letzten Alarm-Eskalation für Audit-Prüfungen am Endpunkt festhalten

1. Protokollieren Sie den Vorgang während der Ticketerstellung in der Registry des betroffenen Geräts.
2. Drücken Sie Win + R, geben Sie PowerShell ein und klicken Sie dann auf Als Administrator ausführen.
3. Kopieren Sie das folgende Skript, fügen Sie es in die Eingabeaufforderung ein und drücken Sie die Eingabetaste:

So können RMM-Agents die Alarmbearbeitung auf Geräteebene prüfen und validieren.

⚠️ Warnung: Schreibvorgänge in der Registry können mit vorhandenen Schlüsseln oder Richtlinien kollidieren. (Mehr dazu unter: Worauf Sie achten sollten)

Methode 6: Protokollierung und Alarmkontext per Gruppenrichtlinie verbessern

📌 Anwendungsfall: Künftige Alarmierungen enthalten mehr Kontext und lassen sich leichter untersuchen

1. Drücken Sie Win + R, geben Sie gpmc.msc ein und drücken Sie die Eingabetaste, um den lokalen Gruppenrichtlinien-Editor zu öffnen.
2. Navigieren Sie zu:

Computerkonfiguration > Administrative Vorlagen > Windows-Komponenten > Microsoft Defender Antivirus > Berichterstattung

3. Aktivieren Sie Folgendes:
   • Alarminformationen an Microsoft Defender for Endpoint senden
   • Erkannte Bedrohungen überwachen und protokollieren

Überwachungsrichtlinien anwenden

1. Navigieren Sie zu:

Computerkonfiguration > Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinienkonfiguration > Überwachungsrichtlinien > Objektzugriff

2. Aktivieren Sie Folgendes, um die Alarm-Telemetrie anzureichern:
   • Dateisystem überwachen (Protokollierung von Dateilöschungen).
   • Registrierung überwachen (Änderungen an der Registry).
3. Navigieren Sie anschließend zu:

Computerkonfiguration > Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinienkonfiguration > Überwachungsrichtlinien > Detaillierte Nachverfolgung > Prozesserstellung überwachen

4. Aktivieren Sie die Prozessausführung

⚠️ Warnung: Detaillierte Überwachungsrichtlinien vergrößern die Protokolldateien. (Mehr dazu unter: Worauf Sie achten sollten)

⚠️ Worauf Sie achten sollten

Weitere Überlegungen

Die folgenden Praktiken sorgen dafür, dass Ihr PSA Sicherheitsalarmierungen in mandantenfähigen Umgebungen präzise verarbeitet.

Deduplizierung

Vermeiden Sie doppelte Tickets, indem Sie die Alarm-ID vor dem Anlegen eines neuen Tickets in einem Cache oder einer Datenbank prüfen. So verhindern Sie eine Ticketflut durch wiederholte Alarmierungen.

Lebenszyklus von Alarmierungen

Halten Sie PSA-Tickets mit den Defender-Alarmierungen synchron, damit der Ticketstatus immer dem aktuellen Alarmstatus entspricht. Das verbessert die Nachvollziehbarkeit von Vorfällen und reduziert unnötige Tickets.

Mandantenbewusstsein

Ergänzen Sie Kontext wie Mandanten-ID oder Kundenname, damit Tickets in mandantenfähigen Umgebungen dem richtigen Kunden, Mandanten oder Standort zugeordnet werden.

Datenaufbewahrung

Bewahren Sie die Zuordnung von Alarmierung zu Ticket auf, um Defender-Alarm-IDs und PSA-Ticket-IDs für Compliance, Audits oder die Vorfallprüfung dauerhaft verknüpfen zu können. Die Datenaufbewahrung ermöglicht außerdem tiefergehende Analysen von Bedrohungsmustern und der Reaktionsfähigkeit des PSA.

Häufige Probleme bei der Alarm-Eskalation beheben

Nachfolgend finden Sie typische Probleme bei Defender-zu-PSA-Integrationen und die passenden Lösungen.

Graph API schlägt fehl

Wenn Sie keine Alarmierungen aus Defender abrufen können oder ähnliche Fehler auftreten, liegt das meist an abgelaufenen Tokens oder einem falschen API-Endpunkt. Achten Sie auf das korrekte Endpunktformat, um die Probleme zu beheben.

Webhook-Timeouts

Mitunter wird eine Defender-Alarmierung ausgelöst, im PSA erscheint aber kein Ticket, weil die PSA-Plattform aus der Microsoft-Cloud nicht erreichbar ist. In diesem Fall sollten Sie die Erreichbarkeit der Webhook-URL prüfen.

Doppelte Tickets

Doppelte PSA-Tickets entstehen, wenn die Alarm- oder Vorfall-ID nach der ersten Ticketerstellung nicht nachverfolgt wird. Prüfen Sie daher immer, ob die Alarmierung bereits eskaliert wurde, bevor Sie ein neues Ticket anlegen.

Ticket nicht sichtbar

Manche Tickets sind schwer zu finden oder tauchen in einer anderen Warteschlange auf, weil sie im falschen Board, in der falschen Warteschlange oder im falschen Service-Desk erstellt wurden. In diesem Fall sollten Sie prüfen, ob alle erforderlichen Felder enthalten und korrekt zugeordnet sind.

NinjaOne-Services, die die automatisierte Alarm-Eskalation stärken

Mit NinjaOne können MSPs ihre Workflows von der Bedrohung bis zum Ticket verschlanken, Reaktionszeiten verkürzen und über ihren gesamten Kundenstamm hinweg auditfähige Nachvollziehbarkeit schaffen. Zu den Services, die die automatisierte Alarm-Eskalation stärken, gehören:

• Skriptplanung und -verteilung: Führen Sie Microsoft Graph-Abfragen und Skripte zur Ticket-Eskalation über alle Kundenmandanten hinweg aus.
• Webhook-Trigger: Binden Sie Ticketing-Systeme oder Slack-Kanäle direkt an, um Alarmierungen weiterzuleiten.
• Registry-Überwachung: Verfolgen Sie Eskalations-Tags auf Geräteebene über eigene Registry-Scans.
• Steuerung von Alarmrichtlinien: Legen Sie mit NinjaOne fest, welche Alarmierungen eskaliert, unterdrückt oder behoben werden sollen.
• Zentrale Dashboards: Zeigen Sie Defender-Alarmstatus, Eskalationsergebnisse und betroffene Endpunkte mandantenübergreifend an.

Wenn Sie als MSP diesen Workflow zentralisieren und automatisieren möchten, erfahren Sie mehr in den RMM-FAQ von NinjaOne.

Manuelle Alarmüberwachung durch automatisierte Alarm-Eskalation ersetzen

Die automatisierte Alarm-Eskalation von Defender an PSA-Plattformen ist für MSPs unverzichtbar, die Erkennungs- und Reaktionsabläufe in den Betrieb überführen wollen. Automatisierung entlastet zudem von der manuellen Alarmüberwachung und sorgt für eine dokumentierte Eskalation mit Service-Level-Nachverfolgung.

NinjaOne PSA bündelt Abrechnung, Dokumentation und Asset-Management auf einer einheitlichen Benutzeroberfläche und verwandelt automatisierte Defender-Alarmierungen in detaillierte, nachverfolgbare Behebungsworkflows. Durch die Integration von Defender-Alarmierungen in NinjaOne PSA werden Sicherheitsvorfälle automatisiert protokolliert, zugewiesen und nach Schweregrad eskaliert. Das verkürzt die Reaktionszeiten und verhindert übersehene Alarmierungen. Erleben Sie mehr Effizienz mit NinjaOne PSA. Melden Sie sich noch heute für eine 14-tägige kostenlose Testversion an.

Verwandte Themen:

• Cloud Incident Response: Best Practices in 2026
• So automatisieren Sie das Schwachstellenmanagement
• Umfassender Leitfaden: Was ist IT-Krisenmanagement?
• Was ist Professional Services Automation (PSA)-Software?
• PSA oder RMM? Wo liegt der Unterschied?