Security & Compliance

Microsoft Defender for Endpoint (MDE)

Overview

Microsoft Defender for Endpoint (MDE) ist Microsofts Plattform, um Angriffe auf Endgeräte zu verhindern, zu erkennen, zu untersuchen und zu beantworten. Sie unterstützt Windows, macOS, Linux, Android und iOS und bildet die Endpunkt-Säule von Microsoft Defender XDR: Die Signale laufen im Defender-Portal mit Warnungen aus Identitäten, E-Mail und Cloud-Workloads zusammen.

Der Eintrag beschreibt das konkrete Produkt. Endpoint Protection ist das allgemeine Konzept des Endpunktschutzes, den Plan 1 abdeckt. EDR ist die Disziplin der Erkennung und Reaktion nach dem Eindringen, die Plan 2 liefert. XDR beschreibt die produktübergreifende Korrelation, Vulnerability Management das Schwachstellenmanagement, dessen Kernfunktionen in Plan 2 stecken.

Verwandte Produkte: Microsoft Defender for Business ist die vereinfachte Variante für kleinere Unternehmen und in Microsoft 365 Business Premium enthalten. Microsoft Defender for Servers gehört zu Defender for Cloud und lizenziert den Schutz von Servern. Microsoft Defender Antivirus ist in Windows enthalten, der MDE-Agent nutzt ihn für Dateiscans und schaltet ihn in den passiven Modus, wenn ein anderes Antivirenprodukt aktiv ist.

How it works

Defender for Endpoint gliedert sich in zwei Pläne:

  1. Plan 1 bringt den Schutz: Antimalware der nächsten Generation, Regeln zur Verringerung der Angriffsfläche (ASR), Gerätesteuerung, Endpunkt-Firewall, Netzwerkschutz und Anwendungssteuerung.
  2. Plan 2 ergänzt Endpoint Detection and Response, automatisierte Untersuchung und Behebung, Bedrohungs- und Schwachstellenmanagement, Bedrohungsanalysen, Sandbox-Tiefenanalyse und Microsoft Threat Experts.

Die Einführung läuft typischerweise so:

  1. Beim ersten Start des Onboarding-Assistenten den Speicherort der Daten wählen (EU, Vereinigtes Königreich oder USA). Die Wahl ist später nicht änderbar.
  2. Geräte per Intune oder einem anderen Onboarding-Weg anbinden. Die Geräte brauchen IPv4 und Internetzugang, direkt oder über Proxy.
  3. Defender Antivirus aktiv lassen oder bei Fremdprodukten in den passiven Modus setzen, Security-Intelligence-Updates in beiden Fällen konfigurieren.
  4. ASR-Regeln zuerst im Überwachungsmodus testen, dann blockieren.
  5. Warnungen und Incidents im Defender-Portal bearbeiten, bei Plan 2 mit automatischer Angriffsunterbrechung.

Windows-11-24H2-Geräte, die von Home auf eine unterstützte Edition hochgestuft wurden, brauchen vor dem Onboarding unter Umständen die Funktion per DISM: DISM /online /Add-Capability /CapabilityName:Microsoft.Windows.Sense.Client~~~~

Benefits

  • Ein Agent und eine Konsole für Schutz, Erkennung und Reaktion auf allen gängigen Betriebssystemen
  • Auf Windows keine zusätzlichen Hardwareanforderungen, weil die Anforderungen denen des Betriebssystems entsprechen
  • Korrelation mit Defender for Identity, Defender for Office 365 und Defender for Cloud Apps zeigt Angriffe über Gerätegrenzen hinweg
  • Plan 1 ist bereits in Microsoft 365 E3 enthalten, viele Unternehmen haben die Grundfunktionen also schon lizenziert
  • Tamper Protection verhindert, dass Angreifer oder Benutzer den Schutz per Gruppenrichtlinie oder lokaler Einstellungsänderung abschalten

Practical example

Ein Lohnfertiger mit 300 Beschäftigten nutzt Microsoft 365 E3 und damit Plan 1, dazu einen Fremdvirenschutz auf den Servern. Nach einem Ransomware-Vorfall bei einem Partner wechselt das Unternehmen für die Clients auf Microsoft 365 E5 und damit Plan 2, die 25 Windows-Server erhalten Defender for Servers Plan 2. Die IT wählt beim Onboarding den Speicherort EU, rollt die Geräte über Intune aus und testet die ASR-Regeln vier Wochen im Überwachungsmodus. Seitdem landen verdächtige Prozessketten als Incident im Defender-Portal, und ein Notebook lässt sich bei Bedarf mit einem Klick isolieren.

Things to keep in mind

  • Den Datenspeicherort vor dem ersten Onboarding festlegen, denn er lässt sich später nicht ändern
  • Server separat lizenzieren, weil Plan 1 und Plan 2 keine Serverlizenzen enthalten
  • Bei Fremdvirenschutz den ELAM-Treiber von Defender Antivirus aktiv lassen und onboardete Geräte von Gruppenrichtlinien ausnehmen, die Defender Antivirus abschalten
  • Tamper Protection einschalten, damit Schutzeinstellungen nicht unbemerkt geändert werden
  • Plan 2 nur dann kaufen, wenn jemand die EDR-Warnungen auswertet, intern oder über einen MDR-Dienst

Licensing & availability

Plan 1 gibt es als Einzellizenz pro Benutzer, er ist in Microsoft 365 E3, A3 und G3 enthalten. Plan 2 gibt es ebenfalls einzeln, enthalten ist er in Windows 10/11 Enterprise E5 und A5, Microsoft 365 E5, A5 und G5, der Microsoft Defender Suite (inklusive EDU-, GOV- und FLW-Varianten) sowie Microsoft Defender + Purview Suite FLW. Microsoft 365 Business Premium enthält stattdessen Defender for Business, das als Einzelprodukt für bis zu 300 Beschäftigte erhältlich ist. Server brauchen eigene Lizenzen: Defender for Servers Plan 1 oder 2 (Defender for Cloud), Defender for Endpoint for Servers pro Betriebssystemumgebung oder das Add-on Defender for Business servers (höchstens 60 Lizenzen, setzt Business Premium oder Defender for Business voraus). Premium-Funktionen des Schwachstellenmanagements sind ein kostenpflichtiges Add-on. Stand: Oktober 2026.

Conclusion

Defender for Endpoint ist in Microsoft-365-Umgebungen die naheliegende Endpunktlösung, weil Plan 1 oft schon lizenziert ist. Den vollen Nutzen bringt erst Plan 2 mit EDR, und auch nur, wenn die Warnungen jemand bearbeitet.

Further reading

Related articles