Schlüsselpunkte
- Microsoft Defender for Business bringt Virenschutz, Endpunkt-Erkennung und Reaktion (EDR) sowie Werkzeuge zur automatisierten Behebung mit und eignet sich damit ideal für KMU und MSPs, die mehrmandantenfähige Umgebungen betreuen.
- Binden Sie Windows-Geräte über PowerShell-Skripte, Gruppenrichtlinienobjekte (GPO) oder die RMM-Integration ein, um skalierbaren und einheitlichen Schutz zu erreichen.
- Konfigurieren und überwachen Sie alle Kund:innen über das Microsoft 365 Defender-Portal oder Microsoft Lighthouse, inklusive Echtzeit-Transparenz und Reaktion auf Vorfälle.
- Feinjustieren Sie ASR-Regeln, Firewall-Richtlinien, Ransomware-Schutz und Manipulationsschutz pro Kund:in oder Gerätegruppe.
- Nutzen Sie Advanced Hunting mit KQL für Bedrohungsanalysen, aktivieren Sie Alarmierungen per Benachrichtigung und binden Sie SIEM-Werkzeuge wie Microsoft Sentinel an.
- Kombinieren Sie Microsoft Defender mit der Plattform für Unified Endpoint Management von NinjaOne, um über mehrere Kund:innen hinweg vollständige Kontrolle, Patching und automatisierte Behebung zu erhalten.
Dieser Leitfaden zeigt, wie Sie Microsoft Defender for Business in MSP-Umgebungen einrichten, von der Bereitstellung über die Konfiguration bis zum laufenden Betrieb. Enthalten sind Anleitungen zum Einbinden von Geräten per PowerShell oder Gruppenrichtlinienobjekte (GPO) sowie Hinweise dazu, wie Sie Sicherheitsrichtlinien konfigurieren und Ihre Endpunkte dauerhaft überwachen und auswerten.
Für interne IT-Administrator:innen und MSPs, die mehrere Kund:innen betreuen, ist ein gutes Verständnis von Microsoft Defender for Business entscheidend. Virenschutz, Endpunkt-Erkennung und Reaktion (EDR), Firewall-Verwaltung sowie automatisierte Untersuchung und Behebung bieten starken Schutz. Zusätzlich lässt sich die Lösung mit Ihrer MSP-Plattform oder Ihrer Lösung für Fernwartung und -Verwaltung (RMM) verbinden, was die Transparenz erhöht und Bearbeitungszeiten verkürzt.
Einen schnellen Überblick gibt unser Video-Leitfaden So richten Sie Microsoft Defender for Business in MSP-Umgebungen ein
Das sollten Sie über MS Defender for Business wissen
Microsoft Defender for Business schützt Ihre Geräte vor Bedrohungen wie Malware und Hackerangriffen und ist in Abonnements von Microsoft 365 Business Premium ohne Aufpreis enthalten. Für Kund:innen anderer Microsoft 365-Stufen gibt es die Lösung außerdem als eigenständiges Add-on.
Microsoft Defender kann von internen IT-Abteilungen oder von Managed Service Providern (MSPs) bereitgestellt werden. Die Verwaltung erfolgt entweder über den zugehörigen Microsoft 365-Mandanten (per PowerShell oder Weboberfläche) oder bei mehreren Kund:innen über Microsoft Lighthouse. Auch führende RMM-Plattformen lassen sich mit MS Defender for Business verbinden, um alles zentral im Blick zu behalten und zu steuern.
Wenn Sie Microsoft Defender for Business bereitstellen und Ihre Sicherheitsrichtlinien entwerfen und umsetzen, sollten Sie folgende Ziele verfolgen:
- Skalierbares Einbinden von Kundengeräten
- Angepasste Richtlinien pro Kund:in oder Gerätegruppe
- Erkennung und Reaktion in Echtzeit
- Automatisierte Behebung von Bedrohungen
- Einheitliche Berichterstattung und Alarmierungen über alle Mandanten hinweg
Erste Einrichtung in Microsoft 365 und im Defender-Sicherheitsportal
Microsoft Defender for Business ist in Abonnements von Microsoft 365 Business Premium enthalten oder kann als eigenständiges Abonnement erworben werden. Sobald eine gültige Lizenz für Ihre Benutzer:innen vorliegt, richten Sie die Lösung in diesen Schritten ein:
- Rufen Sie das Microsoft Defender-Portal unter security.microsoft.com auf und wechseln Sie zu Einstellungen > Endpunkte > Onboarding
- Wählen Sie Windows 10 und 11 > Onboardingpaket herunterladen
- Weisen Sie die Geräte passenden Sicherheitsgruppen zu, damit die Richtlinien greifen
Onboardingpakete lassen sich per lokalem Skript, über Gruppenrichtlinien (GPO) oder über Ihr RMM bereitstellen.
Geräte per PowerShell einbinden
Für Geräte, die weder über Intune noch über GPO verwaltet werden, können Sie PowerShell nutzen, um sie in Microsoft Defender for Business einzubinden:
- Laden Sie das Onboardingpaket aus dem Defender-Portal herunter (wählen Sie dabei Lokales Skript als Bereitstellungsmethode) und entpacken Sie es
- Führen Sie das entpackte Onboarding-Skript lokal aus oder verteilen Sie es über Ihr RMM, indem Sie WindowsDefenderATPOnboardingScript.cmd ausführen
- Prüfen Sie das Onboarding mit Get-MpComputerStatus | Select AMServiceEnabled, OnboardingState, und kontrollieren Sie, ob OnboardingState den Wert 1 (eingebunden) oder 2 (Onboarding läuft) hat.
Geräte über Gruppenrichtlinien einbinden
Auch Gruppenrichtlinien lassen sich zum Einbinden von Geräten in einer Windows-Domäne nutzen:
- Laden Sie das Onboardingpaket aus dem Portal herunter (wählen Sie dabei Gruppenrichtlinie als Bereitstellungsmethode) und entpacken Sie es in eine Netzwerkfreigabe, auf die die Zielgeräte zugreifen können
- Öffnen Sie die Gruppenrichtlinienverwaltungskonsole
- Navigieren Sie zu Computerkonfiguration > Administrative Vorlagen > Windows-Komponenten > Microsoft Defender Antivirus > Onboarding
- Aktivieren Sie die Einstellung Onboarding mit lokalem Skript verwalten und legen Sie WindowsDefenderATPOnboardingScript.cmd als Startskript fest
Durchsetzung über die Eingabeaufforderung in fortgeschrittenen oder Legacy-Umgebungen
Falls Microsoft Defender nicht läuft, können Sie prüfen, ob Defender aktiviert ist (und nicht von einem Virenschutz eines Drittanbieters deaktiviert wurde), indem Sie den Defender-Dienst über die Eingabeaufforderung mit den folgenden Befehlen starten:
Kern-Virenschutzdienst: Geben Sie die folgenden Befehle in einer Eingabeaufforderung mit erhöhten Rechten ein.
sc config WinDefend start= auto
net start WinDefend
Wenn Sie mit Defender for Business arbeiten, geben Sie den folgenden Befehl in einer Eingabeaufforderung mit erhöhten Rechten ein, um Sicherheitstelemetrie zu erfassen und die erweiterte Bedrohungserkennung und -reaktion zu aktivieren:
sc config Sense start= auto
net start Sense
Den Status von Defender lokal oder im Unternehmen prüfen Sie, indem Sie die folgenden Befehle als Administrator:in eingeben:
sc query WinDefend
sc query Sense
Alternativ können Sie mit dem folgenden PowerShell-Befehl prüfen, ob Defender läuft:
Get-MpComputerStatus | Select OnboardingState
Überwachung und Berichterstattung
Im Microsoft Defender-Portal können Sie erkannte Bedrohungen überwachen, das Risikoniveau eines Geräts einsehen, aktive Vorfälle und Alarmierungen prüfen und automatisierte Behebungsmaßnahmen nachvollziehen.
Sie können außerdem Advanced Hunting und die Abfragesprache KQL nutzen, um Ereignisse zu finden, zum Beispiel:
DeviceEvents | where ActionType contains „Antivirus“ or ActionType contains „Remediation“
Achten Sie bei der Konfiguration von Microsoft Defender for Business darauf, dass Benachrichtigungen zu Alarmierungen mit hohem Schweregrad aktiviert sind und bei den richtigen Techniker:innen ankommen. Erwägen Sie zudem, Protokolldaten an Microsoft Sentinel oder Ihre SIEM-Werkzeuge von Drittanbietern weiterzuleiten.
Sicherheitsrichtlinien für Kund:innen konfigurieren und Probleme bei der Einrichtung von Microsoft Defender for Business beheben
Sobald Sie Microsoft Defender for Business eingerichtet und Geräte eingebunden haben, können Sie im Microsoft 365 Defender-Portal Folgendes konfigurieren:
- Regeln zur Reduzierung der Angriffsfläche (ASR)
- Ransomware-Schutz
- Manipulationsschutz
- Firewall-Durchsetzung
- Virenscans und Ausnahmen
Wenn Sie Ihre Richtlinien für Microsoft Defender for Business erstellen und die Lösung in Ihre ITSM-Werkzeuge einbinden, überlegen Sie, wie Sie mit mehreren Mandanten umgehen (besonders wichtig für MSPs) und wie Sie sicherstellen, dass alle Endpunkte korrekt eingebunden sind. Stellen Sie außerdem sicher, dass Microsoft Defender nicht mit bereits vorhandenen Produkten für Endpunkt-Sicherheit kollidiert, etwa CrowdStrike oder Bitdefender.
Um Problemen bei der Bereitstellung vorzubeugen, testen Sie Richtlinien, bevor Sie sie ausrollen. Geht doch etwas schief, prüfen Sie zuerst Folgendes:
- Für alle Benutzer:innen ist eine gültige Lizenz für Microsoft Defender for Business zugewiesen
- Firewall-Regeln und die Verbindung zu den Endpunkten *.wdatp.com funktionieren
- Der Defender-Dienst ist aktiviert und Virenschutz von Drittanbietern ist deinstalliert
- Die Geräte erscheinen im Defender-Portal
- Automatisierungsskripte oder GPOs sind korrekt konfiguriert
Transparenz, Richtliniendurchsetzung und automatisierte Reaktion rund um Microsoft Defender for Business verbessern
Die Sicherheitswerkzeuge von Microsoft Defender for Business sind leistungsfähig und fügen sich gut in das Microsoft-Ökosystem ein. In komplexen Umgebungen bleiben dennoch blinde Flecken.
NinjaOne lässt sich mit Microsoft Defender for Business verbinden und bietet Unified Endpoint Management, Patch- und Software-Verwaltung, Backup sowie Endpunktschutz für all Ihre Geräte. Unterstützt werden sowohl Microsoft Defender als auch Cybersicherheitsplattformen von Drittanbietern. So behalten Sie Ihre gesamte IT-Infrastruktur im Blick, und als MSP sogar die Infrastruktur mehrerer Kund:innen.
NinjaOne unterstützt zudem die Skriptbereitstellung, Auditing, Compliance, automatisierte Behebung und die Weiterleitung von Alarmierungen aus Microsoft Defender, damit Vorfälle so schnell wie möglich gelöst werden.
