Windows Defender Exploit Guard Network Protection in Windows konfigurieren

Angesichts von Phishing-Betrug und anderen schädlichen Online-Inhalten kann Windows Defender Exploit Guard Network Protection eine zusätzliche Sicherheitsebene über Ihren Endpunkten aufbauen. Dieser Leitfaden zeigt Ihnen verschiedene Wege, Windows Defender Network Protection zu konfigurieren, damit Ihre IT-Infrastruktur Cyberangriffen standhält.

Schritte zur Konfiguration von Windows Defender Network Protection

• Über den lokalen Gruppenrichtlinien-Editor:

  • Drücken Sie die Windows-Taste + R, geben Sie gpedit.msc ein und drücken Sie die Eingabetaste.
  • Aktivieren Sie im Ordner Network Protection die Richtlinie „Zugriff von Benutzern und Apps auf gefährliche Websites verhindern“.

• Über eine PowerShell mit erhöhten Rechten:

  • Drücken Sie die Windows-Taste + S und geben Sie powershell ein. Klicken Sie unter dem Symbol für Windows PowerShell auf „Als Administrator ausführen“.
  • Geben Sie das Cmdlet Set-MpPreference -EnableNetworkProtection Enabled ein und drücken Sie die Eingabetaste.

• Über die App „Windows-Sicherheit“:

  • Öffnen Sie Windows-Sicherheit, indem Sie das Start-Menü aufrufen, Sicherheit eingeben und die Eingabetaste drücken.
  • Wählen Sie App- und Browsersteuerung, Exploit-Schutz-Einstellungen und Programmeinstellungen. Wählen Sie die Apps aus, auf die Sie die Minderungen des Exploit-Schutzes anwenden möchten.

• Einstellungen im Registrierungs-Editor überprüfen:

  • Drücken Sie die Windows-Taste + R, geben Sie regedit ein und drücken Sie die Eingabetaste. Navigieren Sie über diesen Pfad zum Registrierungsschlüssel Network Protection: Computer\HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Defender\Windows Defender Exploit Guard\Network Protection\EnableNetworkProtection.
  • Nachdem Sie im Ordner Network Protection die Richtlinie EnableNetworkProtection ausgewählt haben, prüfen Sie den zugehörigen Wert: Er zeigt, ob Network Protection deaktiviert (0), aktiviert (1) oder im Überwachungsmodus (2) ist.

• Webseiten manuell über die Windows-Ereignisanzeige prüfen:

  • Öffnen Sie das Start-Menü, geben Sie Ereignisanzeige ein und klicken Sie auf Ereignisanzeige.
  • Rufen Sie im Ordner Windows Defender (Betriebsbereit) die Ereignis-ID 1125 auf, um die Protokolle der von Network Protection markierten Webseiten zu prüfen.

Dieses kurze Video zeigt, wie Sie Windows Defender Exploit Guard Network Protection in Windows konfigurieren.

Network Protection in Windows 10/11 verstehen

Bevor wir zur Einrichtung kommen, klären wir zunächst, was Network Protection in Windows 10/11 überhaupt ist und wie die Funktion Ihre Geräte vor Online-Bedrohungen schützt.

Was ist Windows Defender Exploit Guard Network Protection?

Exploit Guard ist seit jeher ein fester Bestandteil von Windows Defender. Erstmals erschien die Komponente in Windows 10, Version 1709. Windows Defender Exploit Guard Network Protection nutzt den Intelligent Security Graph (ISG), eine umfangreiche Datenbank mit Erkenntnissen zur Sicherheitsintelligenz aus allen Microsoft-Produkten und -Diensten, um verbreitete Muster und Vorgehensweisen bei grassierenden Cyberangriffen zu ermitteln und zu analysieren.

Windows Defender Exploit Guard arbeitet mit vier Komponenten:

• Reduzierung der Angriffsfläche: Hier geht es darum, Bedrohungen zu blockieren, die aus Microsoft Office, Skripten und E-Mails stammen.
• Überwachter Ordnerzugriff: Damit wird der Zugriff auf sensible Daten in den Dateien und Ordnern Ihres Computers eingeschränkt.
• Exploit-Schutz: Dabei konfigurieren Sie Exploit-Minderungen für Ihr System und Ihre Anwendungen.
• Network Protection: Diese Komponente schützt das Gerät vor webbasierten Bedrohungen, die meist von betrügerischen Domains und IP-Adressen ausgehen.

In diesem Leitfaden konzentrieren wir uns auf die Komponente Network Protection von Exploit Guard.

So verhindert Windows Defender Network Protection den Zugriff auf potenziell gefährliche Domains und Phishing-Seiten

Trotz immer stärkerer Cybersicherheitsmaßnahmen haben sich Angreifer:innen im Internet angepasst und ihre Strategien zum Diebstahl von Informationen verfeinert. Dazu nutzen sie unter anderem Phishing, Betrugsmaschen, Social Engineering und den unbefugten Zugriff auf ein Command-and-Control-Center (C&C).

Network Protection in Windows 10/11 soll ausgehende Verbindungen zu potenziell gefährlichen Domains erkennen und beenden. Dafür nutzt die Funktion die vom ISG zusammengetragenen Informationen sowie Reputationsprüfungen auf Basis der IP-Adressen der Domains. Sobald eine Domain als möglicher Ausgangspunkt für Angriffe erkannt wird, blockiert dieser Filtermechanismus die Verbindung und unterbricht sie.

Windows Defender Network Protection im Vergleich zu anderen Sicherheitsfunktionen in Microsoft Defender

Network Protection von Windows Defender weist zahlreiche Gemeinsamkeiten mit Microsoft Defender SmartScreen auf, einem in Microsoft Edge integrierten Tool gegen Malware. Beide Werkzeuge schützen Computer vor Phishing-Angriffen sowie vor verdächtigen schädlichen Dateien und Programmen. Zudem greifen beide auf den ISG zurück, um mögliche Cyberangriffe zu erkennen.

Beide sollen zwar Ihr System schützen, unterscheiden sich aber im Mechanismus. SmartScreen analysiert verdächtige Webseiten, prüft aktuelle Downloads und weist Benutzer:innen über ein Frühwarnsystem auf eine mögliche Online-Bedrohung hin. Network Protection dagegen beendet die ausgehende Verbindung beim ersten Anzeichen einer Gefahr sofort und verhindert so, dass Angreifer:innen Kontakt zu gefährdeten Benutzer:innen aufnehmen.

Voraussetzungen und Systemanforderungen für Network Protection

Unterstützte Windows-Versionen für Exploit Guard Network Protection

Nachfolgend finden Sie die Windows-Versionen, die Windows Defender und damit auch Network Protection unter Exploit Guard unterstützen:

Lizenzanforderungen für Windows Defender Network Protection

Wenn auf Ihrem Computer die Sicherheitsplattform Microsoft Defender for Endpoint für Unternehmen zum Einsatz kommt, müssen die folgenden Lizenzanforderungen für Windows Defender Network Protection erfüllt sein:

• Microsoft Defender for Endpoint Plan 1
• Microsoft Defender for Endpoint Plan 2
• Microsoft Defender for Business

Die ersten beiden sind als eigenständige Lizenzen oder als Bestandteil anderer Microsoft-365-Pläne erhältlich, während die letzte in der Regel kleinen und mittleren Unternehmen vorbehalten ist.

Erforderliche Berechtigungen für Windows Defender Network Protection

Um Network Protection auf Ihrem Gerät zu aktivieren, benötigen Sie Administratorrechte, um die Einstellungen in Windows Defender zu konfigurieren. Bei einem privaten Computer verfügen Sie standardmäßig bereits über diese Rechte. Gehört das Gerät jedoch Ihrem Unternehmen, müssen Sie den Administratorzugriff möglicherweise bei Ihrem IT-Team anfragen.

Über Microsoft Defender for Endpoint können Administrator:innen mithilfe einer rollenbasierten Zugriffssteuerung (RBAC) Berechtigungen verwalten und verschiedenen Benutzer:innen oder Benutzergruppen Rollen zuweisen. Mit RBAC lässt sich der Zugriff anderer Benutzer:innen auf das Portal von Defender for Endpoint anpassen. Diese können Network Protection anschließend selbst auf ihren Geräten aktivieren.

Methoden zur Aktivierung von Windows Defender Exploit Guard Network Protection

Nachdem wir nun alles Wichtige zu Network Protection besprochen haben, zeigen wir Ihnen, wie Sie die Funktion aktivieren.

Windows Defender Network Protection über den Gruppenrichtlinien-Editor aktivieren

1. Öffnen Sie den lokalen Gruppenrichtlinien-Editor, indem Sie die Windows-Taste + R drücken. Geben Sie gpedit.msc ein und klicken Sie auf OK.
2. Navigieren Sie im linken Bereich des Fensters über die folgenden Schritte zum Ordner Network Protection:

Computerkonfiguration → Administrative Vorlagen → Windows-Komponenten → Windows Defender Antivirus → Windows Defender Exploit Guard → Network Protection

3. Doppelklicken Sie im rechten Bereich des Fensters auf Zugriff von Benutzern und Apps auf gefährliche Websites verhindern. So können Sie die Richtlinie bearbeiten.
4. Wählen Sie Aktiviert, unter „Optionen“ dann Blockieren, und klicken Sie auf OK.

Wenn Sie mehrere Endpunkte in einer Unternehmensumgebung verwalten und Network Protection dort bereitstellen möchten, gehen Sie folgendermaßen vor:

1. Öffnen Sie die Gruppenrichtlinienverwaltungskonsole (GPMC), indem Sie die Windows-Taste + R drücken. Geben Sie gpmc.msc ein und klicken Sie auf OK.
2. Doppelklicken Sie auf Gruppenrichtlinienobjekte und suchen Sie das Gruppenrichtlinienobjekt (GPO), das Sie bearbeiten möchten. Klicken Sie mit der rechten Maustaste darauf und wählen Sie Bearbeiten.
3. Wiederholen Sie die Schritte 2 bis 4 aus dem vorherigen Abschnitt.

Windows Defender Network Protection per PowerShell aktivieren

1. Öffnen Sie eine PowerShell mit erhöhten Rechten, indem Sie die Windows-Taste + S drücken. Geben Sie powershell ein und klicken Sie unter dem Symbol für Windows PowerShell auf Als Administrator ausführen.
2. Geben Sie Set-MpPreference -EnableNetworkProtection Enabled ein und drücken Sie die Eingabetaste.
3. Schließen Sie die PowerShell mit erhöhten Rechten und starten Sie Ihren Computer neu.

Mit dem Cmdlet „Get-MpPreference“ können Sie außerdem prüfen, ob Network Protection aktiviert wurde. Die Zahl neben der Eigenschaft „EnableNetworkProtection“ steht für einen der folgenden Zustände:

• 0, Deaktiviert
• 1, Aktiviert
• 2, Überwachungsmodus

Minderungen des Exploit-Schutzes über die App „Windows-Sicherheit“ aktivieren

1. Öffnen Sie die App Windows-Sicherheit, indem Sie das Start-Menü aufrufen, Sicherheit in die Suchleiste eingeben und die Eingabetaste drücken.
2. Klicken Sie auf die Kachel App- und Browsersteuerung und wählen Sie anschließend Exploit-Schutz-Einstellungen.
3. Wechseln Sie zu Programmeinstellungen und wählen Sie die App bzw. Apps aus, auf die Sie die Minderungen des Exploit-Schutzes anwenden möchten.

• • Wählen Sie die App und dann Bearbeiten, falls die App bereits aufgeführt ist.
  • Andernfalls wählen Sie Programm zum Anpassen hinzufügen, um die App hinzuzufügen.

4. Legen Sie fest, welche Minderungen Sie für die ausgewählte App aktivieren möchten. Wiederholen Sie diesen Vorgang, bis Sie alle gewünschten Konfigurationen vorgenommen haben. Beachten Sie, dass Sie unter Umständen aufgefordert werden, den Prozess, die App oder sogar Windows neu zu starten.
5. Um eine bestimmte Minderung des Exploit-Schutzes zu konfigurieren, wechseln Sie zu Systemeinstellungen und legen eine der folgenden Einstellungen fest:

• • Standardmäßig ein
  • Standardmäßig aus
  • Standard verwenden (abhängig von der Standardkonfiguration bei der Installation von Windows 10/11)

6. Klicken Sie zum Schluss auf Übernehmen, sobald Sie alle gewünschten Änderungen vorgenommen haben.

Network Protection in Windows 10/11 überprüfen und testen

Methoden, um die Aktivierung von Windows Defender Network Protection zu bestätigen

Im Abschnitt zu PowerShell haben wir kurz erklärt, wie Sie prüfen, ob Network Protection auf dem Gerät aktiviert ist. Das geht auch über den Registrierungs-Editor. So funktioniert es:

1. Öffnen Sie den Registrierungs-Editor, indem Sie auf die Start-Schaltfläche klicken. Geben Sie regedit ein und drücken Sie die Eingabetaste. Wählen Sie im linken Bereich HKEY_LOCAL_MACHINE.
2. Navigieren Sie zu Network Protection. Dafür stehen Ihnen diese beiden Pfade zur Verfügung:
   1. SOFTWARE → Policies → Microsoft → Windows Defender → Windows Defender Exploit Guard → Network Protection
   2. SOFTWARE → Microsoft → Windows Defender → Windows Defender Exploit Guard → Network Protection
3. Klicken Sie auf EnableNetworkProtection und prüfen Sie anhand der folgenden Werte, ob Network Protection aktiviert, deaktiviert oder im Überwachungsmodus ist:
   • 0, Deaktiviert
   • 1, Aktiviert
   • 2, Überwachungsmodus

Blockierte URLs und Protokolle im Microsoft Defender Security Center testen

Um bestimmte URLs und Protokolle zu prüfen, für die Sie den Zugriff über Network Protection auf mehreren Endpunkten blockiert haben, gehen Sie folgendermaßen vor:

1. Melden Sie sich im Microsoft Defender Portal an.
2. Klicken Sie im linken Bereich auf Einstellungen und anschließend auf Endpunkte.
3. Wählen Sie unter Regeln den Eintrag Indikatoren.
4. Die blockierten URLs sollten unter URLs/Domänen aufgeführt sein.

Fehlerbehebung bei der Konfiguration von Network Protection

Häufige Probleme beim Aktivieren von Windows Defender Network Protection

Da Ihr Gerät mit Network Protection die aufgerufenen Webseiten in Echtzeit protokolliert, kann es vorkommen, dass eine sichere Website als Bedrohung eingestuft wird (False Positive) oder eine schädliche Website als sicher gilt (False Negative).

Tritt ein solcher Fall ein, können Sie die eingestufte Website über dieses Formular von Windows Defender Security Intelligence als False Positive bzw. False Negative melden.

Zudem kann Network Protection die Leistung Ihres Computers oder Ihre Internetverbindung verlangsamen, da die Funktion potenzielle Online-Bedrohungen aktiv überwacht und blockiert. Besteht dieses Problem trotz eines aktuellen Windows Defender weiterhin, wechseln Sie wie folgt in den Überwachungsmodus von Network Protection:

1. Öffnen Sie eine PowerShell mit erhöhten Rechten.
2. Geben Sie Set-MpPreference -EnableNetworkProtection AuditMode ein und drücken Sie die Eingabetaste.

Im Überwachungsmodus lässt Network Protection alle Verbindungen zu, weist Sie aber weiterhin auf mögliche Risiken hin, sodass Sie diese selbst steuern können. Alle Protokolle lassen sich in der Windows-Ereignisanzeige einsehen, die wir im nächsten Abschnitt behandeln.

Protokolle und Erkenntnisse aus der Ereignisanzeige zur Fehlersuche in Network Protection

Um die im Überwachungsmodus protokollierten Ereignisse von Network Protection anzuzeigen, gehen Sie folgendermaßen vor:

1. Öffnen Sie die Windows-Ereignisanzeige, indem Sie auf die Start-Schaltfläche klicken, Ereignisanzeige eingeben und Ereignisanzeige auswählen.
2. Navigieren Sie über diesen Pfad zum Ordner Windows Defender (Betriebsbereit):

Anwendungs- und Dienstprotokolle → Microsoft → Windows → Windows Defender (Betriebsbereit)

3. Filtern Sie mit der Ereignis-ID 1125 die Ereignisse, die Network Protection im Überwachungsmodus ausgelöst hat. Von hier aus können Sie sich um die von Network Protection markierten Webseiten kümmern und sie als Bedrohungen kennzeichnen.

Windows Defender Network Protection bei Bedarf deaktivieren

Wir raten zwar grundsätzlich davon ab, Windows Defender abzuschalten. Denken Sie aber daran, dass Windows Defender beim Einsatz eines Antivirenprogramms von Drittanbietern ohnehin automatisiert deaktiviert wird. Werden beide Sicherheitswerkzeuge gleichzeitig verwendet, kann das zu Kompatibilitätsproblemen führen und die Leistung Ihres Endpunkts beeinträchtigen.

Wenn Sie lieber ein Antivirenprogramm eines anderen Anbieters nutzen und Windows Defender deaktivieren möchten:

1. Öffnen Sie eine PowerShell mit erhöhten Rechten.
2. Geben Sie Set-MpPreference -EnableNetworkProtection Disabled ein und drücken Sie die Eingabetaste.

Best Practices für IT-Administrator:innen beim Aktivieren von Network Protection in Windows

Network Protection mit anderen Sicherheitsfunktionen von Windows kombinieren

Um den Schutz Ihres Geräts vor Cyberangriffen weiter zu optimieren, empfehlen wir, Network Protection zusammen mit diesen Windows-Sicherheitsfunktionen zu aktivieren:

• Web Protection: Als Teil von Microsoft Defender for Endpoint bietet Web Protection Inhaltsfilterung zur Unterstützung benutzerdefinierter Kompromittierungsindikatoren.
• Exploit Protection: Diese Komponente von Windows Defender Exploit Guard ist fest im Betriebssystem verankert und bekämpft Malware (in Form von Programmen und Anwendungen).
• Windows Firewall: Auf jedem Windows-Gerät standardmäßig aktiviert, schränkt sie den Zugriff zwischen Ihrem Gerät und Online-Domains ein, die sie als nicht vertrauenswürdig einstuft (meist auf Basis Ihrer installierten Software und der vorab erteilten Berechtigungen).

Ausnahmen für vertrauenswürdige Domains in Network Protection konfigurieren

Eine Liste vertrauenswürdiger Domains und IP-Adressen in Network Protection senkt die Zahl der False Positives und reduziert unnötige Unterbrechungen für Endbenutzer:innen. Den Zugriff auf eine bestimmte Domain erlauben Sie so:

1. Melden Sie sich im Microsoft Defender Portal an.
2. Klicken Sie auf Einstellungen und anschließend auf Endpunkte.
3. Wählen Sie unter Regeln den Eintrag Indikatoren.
4. Klicken Sie auf URL/Domäne und danach auf Element hinzufügen.
5. Geben Sie die Domain der Website ein und setzen Sie die Richtlinienaktion auf Zulassen.

Sicherheitsprotokolle auf Bedrohungshinweise hin überwachen

Für einen direkteren Zugang zu Sicherheitsprotokollen und den passenden Maßnahmen können Sie den Überwachungsmodus von Network Protection, die Windows-Ereignisanzeige oder beides nutzen. Wenn Sie Ihre Listen erlaubter und blockierter Domains regelmäßig aktualisieren, sparen Sie außerdem Schritte beim Sperren potenziell gefährlicher Domains.

Darum ist Windows Defender Network Protection insgesamt so wichtig

Die Aktivierung von Network Protection in Windows Defender bringt mehrere Vorteile beim Schutz privater oder geschäftlicher Geräte und Daten. Sie stärkt gezielte Sicherheitsmaßnahmen im Internet für private Computer. Außerdem hilft sie dabei, den Zugriff zwischen einer unsicheren Domain und den vom Unternehmen verwalteten Endpunkten zu unterbinden.

Benutzer:innen können Windows Defender Network Protection auf unterschiedlichen Wegen aktivieren. Die Funktion ergänzt andere Windows-Werkzeuge gegen Malware und stärkt so die Abwehr gegen aktuelle Cyberangriffe und Viren. Denken Sie nur daran, Windows Defender Exploit Guard regelmäßig zu aktualisieren, damit der Schutz vor neuen Bedrohungen robust und aktuell bleibt.