M365 Defender | for Endpoint: Unterschied zwischen Virenscanner und EDR

Microsoft Defender Antivirus blockiert längst nicht mehr nur bekannte Signaturen. Verhaltensüberwachung, Heuristik, lokale Machine-Learning-Modelle und Cloud-Schutz greifen auch bei Schadcode, den noch niemand gesehen hat.

Die Lücke liegt woanders: Der Virenschutz entscheidet pro Datei und pro Prozess im Moment der Ausführung. Blockiert er nichts, bleibt auch nichts übrig, womit du später rekonstruieren kannst, was auf dem Gerät passiert ist. Genau diese Aufzeichnung liefert Endpoint Detection and Response.

Defender for Endpoint protokolliert Prozessstarts, Netzwerkverbindungen, Datei- und Registry-Zugriffe fortlaufend und hält die Telemetrie für die Auswertung vor. Damit siehst du die komplette Angriffskette, auch wenn kein einzelner Schritt für sich auffällig genug war, um geblockt zu werden. Über Advanced Hunting durchsuchst du diese Daten per KQL, statt auf einen Alarm zu warten.

Die Aufbewahrung ist dabei zweigeteilt und das solltest du kennen, bevor du eine Untersuchung planst. Advanced Hunting greift auf 30 Tage Rohdaten zu. Die Gerätezeitachse einer einzelnen Maschine reicht mit Plan 2 sechs Monate zurück. Ein Vorfall, der erst nach acht Wochen auffällt, lässt sich also noch auf dem betroffenen Gerät nachvollziehen, aber nicht mehr per KQL über den gesamten Bestand hinweg korrelieren. Wer längere Zeiträume braucht, streamt die Tabellen nach Microsoft Sentinel oder in ein eigenes Log-Ziel.

Die Endpunkt-Signale bleiben nicht für sich stehen. Im Defender-Portal korreliert Microsoft sie mit Identitäts-, Mail- und Cloud-App-Signalen zu einem gemeinsamen Incident, sofern du die passenden Defender-Workloads lizenziert und ausgerollt hast. Der Phishing-Klick, die anschließende Anmeldung aus einem fremden Land und der Prozessstart auf dem Client landen so in einem Vorfall statt in drei unverbundenen Warnungen.

EDR hängt an der Lizenz, und die Trennlinie verläuft mitten durch das Produkt. Defender for Endpoint Plan 1 (in Microsoft 365 E3 enthalten) liefert Next-Generation Protection, Angriffsflächenreduzierung, Gerätesteuerung, Web- und Netzwerkschutz sowie manuelle Reaktionsaktionen.

Dazu gehört auch das Isolieren eines Geräts, das Microsoft ausdrücklich für Plan 1 dokumentiert. Was Plan 1 nicht hat: die durchgehende EDR-Aufzeichnung, Advanced Hunting, die automatisierte Untersuchung und Reaktion sowie die Bedrohungs- und Sicherheitsrisikoanalyse.

Plan 2 bekommst du über Microsoft 365 E5, über die Microsoft Defender Suite als Add-on zu E3 (bis Oktober 2025 hieß dieses Add-on Microsoft 365 E5 Security) oder als Standalone-Lizenz.

Defender for Business und Microsoft 365 Business Premium bringen EDR im reduzierten Umfang mit: Erkennung, Alerts, automatisierte Untersuchung und Geräteisolation sind vorhanden, Advanced Hunting und benutzerdefinierte Erkennungsregeln fehlen. Für ein SOC, das eigene Jagdlogik betreibt, ist das die entscheidende Einschränkung.

Ein Detail für Mischumgebungen: Liegen im Tenant Defender-for-Business-Lizenzen und Plan-2-Lizenzen gemischt vor, fällt der Tenant auf die Defender-for-Business-Oberfläche zurück. Der Wechsel auf die volle Plan-2-Erfahrung setzt voraus, dass jeder Benutzer eine Plan-2-Lizenz hat, und läuft über ein Support-Ticket bei Microsoft.

Ohne die Dienst-zu-Dienst-Verbindung kann Intune weder das Onboarding-Paket ziehen noch Risikostufen für Compliance-Richtlinien auswerten. Die Verbindung legst du im Intune Admin Center unter Mandantenadministration, Connectors und Token, Microsoft Defender for Endpoint an und bestätigst sie im Defender-Portal. Für die Schritte im Endpunktsicherheits-Knoten brauchst du mindestens die Intune-Rolle Endpoint Security Manager.

Für einen kontrollierten Rollout legst du unter Endpunktsicherheit, Endpunkterkennung und -reaktion eine eigene Richtlinie an, wählst die Plattform Windows und das Profil Endpoint detection and response. Beim Konfigurationspakettyp nimmst du "Auto from connector", damit Intune immer das aktuelle Onboarding-Paket deines Tenants verwendet und du nichts manuell nachpflegen musst. Zugewiesen wird auf eine Pilotgruppe, nicht auf alle Geräte.

Die Registerkarte "EDR Onboarding Status" bietet zusätzlich die Schaltfläche "Deploy preconfigured policy". Diese Variante verteilt sofort an alle Windows-Geräte im Scope und eignet sich deshalb nur für kleine Umgebungen ohne Change-Prozess.

Für Server, Testgeräte oder Umgebungen ohne Intune holst du das Paket direkt aus dem Defender-Portal unter System, Einstellungen, Endpunkte, Geräteverwaltung, Onboarding. Dort wählst du Betriebssystem, Konnektivitätstyp und Bereitstellungsmethode. Der Konnektivitätstyp "Streamlined" konsolidiert die Ziel-URLs und reduziert damit den Pflegeaufwand an Firewall und Proxy, "Standard" nutzt den vollen URL-Satz. Das lokale Skript ist laut Microsoft für maximal zehn Geräte gedacht, weil es keine Verteilung und keine Statusrückmeldung mitbringt. Für größere Bestände nimmst du Gruppenrichtlinie, Configuration Manager oder Intune.

Ein Gerät gilt erst als angebunden, wenn es im Gerätebestand auftaucht und Telemetrie liefert. Microsoft liefert dafür einen Erkennungstest, der eine harmlose Aktion gegen die lokale Loopback-Adresse ausführt und innerhalb weniger Minuten eine Warnung erzeugen muss:

Bleibt die Warnung aus, prüfst du zuerst den Betriebsmodus des Virenschutzes und danach die Proxy-Konfiguration:

Die automatisierte Untersuchung entscheidet anhand der Gerätegruppe, ob Bereinigungen sofort ausgeführt oder erst nach Freigabe wirksam werden. Diese Einstellung findest du unter System, Einstellungen, Endpunkte, Berechtigungen, Gerätegruppen in der Spalte Wiederherstellungsebene. Microsoft empfiehlt "Full: remediate threats automatically", weil jede manuelle Freigabestufe die Reaktionszeit an die Verfügbarkeit deines Teams koppelt. Die Stufe "Semi automation" reicht aus, damit die automatische Angriffsunterbrechung ohne Freigabe greift. "No automated response" nimmt eine Gruppe komplett aus der Automatik und gehört nur auf einen sehr kleinen, gut begründeten Kreis von Systemen.

Läuft ein Drittanbieter-Virenschutz als primäre Lösung, arbeitet Microsoft Defender Antivirus im passiven Modus und bereinigt selbst nichts mehr. EDR im Blockmodus schließt diese Lücke, weil er verhaltensbasiert erkannte Artefakte nachträglich blockiert und entfernt. Aktiviert wird er im Defender-Portal unter System, Einstellungen, Endpunkte, Allgemein, Erweiterte Features. Die Funktion setzt Plan 2 voraus. Wichtig für die Erwartungshaltung: Netzwerkschutz, ASR-Regeln und Indikatoren greifen weiterhin nur, wenn Defender Antivirus aktiv läuft.

Eine Abfrage, die in fast jedem Tenant sofort etwas Verwertbares liefert: Office-Anwendungen, die eine Skript-Engine starten. Das Muster steckt in jeder zweiten Makro-Kampagne.

Was du hier findest, kannst du mit Plan 2 direkt als benutzerdefinierte Erkennungsregel speichern, inklusive automatischer Reaktionsaktion. Damit wird aus einem einmaligen Fund eine dauerhafte Erkennung.

Die Geräteisolation passiert nicht von allein, nur weil Defender for Endpoint aktiv ist. Als Reaktionsaktion löst du sie im Defender-Portal manuell aus, sie kappt die Netzwerkverbindungen des Geräts und hält allein den Kanal zum Defender-Dienst offen. Dafür brauchst du in der Rollensteuerung die Berechtigung für aktive Wiederherstellungsaktionen und Zugriff auf die betroffene Gerätegruppe.

Drei Punkte entscheiden darüber, ob die Isolation im Ernstfall sauber läuft. Erstens hebt Microsoft sie nach sieben Tagen automatisch wieder auf, wenn du sie nicht vorher zurücknimmst. Zweitens hat die selektive Isolation die ältere Checkbox für Outlook, Teams und Skype for Business abgelöst: Wer Kommunikation mit dem Anwender erhalten will, definiert Ausschlussregeln unter System, Einstellungen, Endpunkte, Erweiterte Features, Isolation Exclusion Rules. Sobald diese Funktion aktiviert ist, greifen die alten eingebauten Ausnahmen nicht mehr, und die Liste startet leer. Drittens erreicht ein Gerät hinter einem vollständigen VPN-Tunnel den Defender-Dienst nach der Isolation unter Umständen nicht mehr. Split-Tunneling für die Defender-Endpunkte oder die selektive Isolation lösen das Problem.

Automatisch eindämmen kann nur die Angriffsunterbrechung (Automatic Attack Disruption) in Defender XDR. Diese wertet korrelierte Signale aus Endpunkt, Identität, Mail und Cloud-Apps auf Incident-Ebene aus und greift erst bei sehr hoher Konfidenz ein. Microsoft gibt für Eindämmungsaktionen ein Konfidenzniveau von 99 Prozent oder höher an. Der Aktionskatalog ist inzwischen deutlich breiter als die ursprünglich kommunizierten Szenarien Ransomware, Business Email Compromise und Adversary-in-the-Middle: Neben "Gerät eindämmen" gibt es "Gerät isolieren", "IP eindämmen", "Benutzer eindämmen", das Deaktivieren und Sperren von Konten über Defender for Identity und Entra ID sowie Maßnahmen gegen kompromittierte OAuth-Anwendungen. Für Okta und AWS existieren Vorschau-Integrationen über Microsoft Sentinel.

Lizenzseitig ist die Angriffsunterbrechung nicht an Plan 2 allein gebunden. Microsoft listet unter anderem Microsoft 365 E5, E3 mit der Microsoft Defender Suite, Defender for Endpoint Plan 2, Defender for Identity, Defender for Cloud Apps, Defender for Office 365 Plan 2 und Defender for Business. Entscheidend ist die Bereitstellung: Jedes Produkt muss ausgerollt sein, um seine eigene Reaktionsaktion ausführen zu können. Für das automatische Eindämmen eines Geräts heißt das konkret, dass Defender for Endpoint aktiv sein muss und die Gerätesuche auf "Standard Discovery" steht. Für die Aktion "Benutzer eindämmen" verlangt Microsoft zusätzlich mindestens die Sense-Client-Version 10.8470, die du so ausliest:

Seit Ignite 2025 erweitert Microsoft die Angriffsunterbrechung um Predictive Shielding, aktuell als Vorschau. Sobald ein erstes Asset eingedämmt ist, sagt Defender wahrscheinliche nächste Schritte des Angreifers voraus und härtet gezielt dagegen, etwa durch Blockieren von GPO-Verteilung oder von Neustarts in den abgesicherten Modus. Das ersetzt die manuelle Reaktion nicht, verschafft dir aber Zeit.

Der Unterschied zwischen Virenscanner und EDR ist kein Marketing-Konstrukt, sondern eine Frage der Beweislage. Der Virenschutz trifft eine Entscheidung pro Objekt und vergisst danach. EDR schreibt mit und macht die Kette rekonstruierbar. Damit kannst du eine Kompromittierung eingrenzen, statt ein Gerät vorsorglich neu aufzusetzen und zu hoffen, dass der Angreifer nirgendwo sonst sitzt.

Diese Aufzeichnung hat allerdings nur dann Wert, wenn jemand sie auswertet. Ein Tenant mit Plan 2, in dem niemand Advanced Hunting nutzt, keine benutzerdefinierten Erkennungsregeln pflegt und die Incident-Warteschlange nur sporadisch öffnet, produziert Telemetrie für den Papierkorb. Bevor du in Lizenzen investierst, klärst du deshalb die Betriebsfrage: Wer schaut wann in das Portal, und was passiert außerhalb der Geschäftszeiten? Für kleinere Teams ist eine externe SOC-Anbindung an dieser Stelle häufig die realistischere Antwort als der Ausbau der eigenen Schicht.

Auch die Automatik hat klare Grenzen. Die Angriffsunterbrechung bremst die laterale Bewegung im Netz aus, gestoppt ist der Angriff deshalb noch nicht: Bereits abgegriffene Anmeldeinformationen bleiben gültig, bis du sie zurücksetzt, und persistente Mechanismen wie geplante Aufgaben, Dienste oder Postfachregeln überstehen jede Netzwerksperre. Zum Standard-Playbook gehören deshalb der Passwort-Reset, das Widerrufen aktiver Sitzungen und Refresh-Token, die Prüfung der Weiterleitungsregeln im Postfach und ein Blick auf neu registrierte MFA-Methoden. Die Eindämmung kauft dir Zeit für diese Schritte, sie ersetzt sie nicht.

Regulatorisch spielt die Aufzeichnung ebenfalls hinein. NIS2 verlangt von betroffenen Einrichtungen Erkennungs- und Meldefähigkeit mit knappen Fristen, und eine Erstmeldung innerhalb von 24 Stunden schreibst du ohne Telemetrie bestenfalls als Vermutung. Der BSI-Grundschutz führt Endpoint Detection and Response ebenfalls als Baustein der Detektion. Wer EDR nur als teureren Virenschutz einkauft, zahlt für Funktionen, die im Ernstfall niemand bedient. Wer die Aufzeichnung als Grundlage für einen definierten Reaktionsprozess versteht, bekommt genau das, was der Virenschutz allein nie liefern konnte: eine belastbare Antwort auf die Frage, was tatsächlich passiert ist.