Security & Compliance

Endpoint Protection (Endpunktschutz)

Allgemeine Infos

Endpoint Protection umfasst alle Maßnahmen, die Endgeräte wie Clients, Server und Mobilgeräte vor Schadsoftware und Angriffen schützen. Klassischer Virenschutz erkennt bekannte Signaturen, moderne Lösungen (Endpoint Protection Platform, EPP) ergänzen Cloud-Schutz, Verhaltensanalyse, Exploit-Schutz, Firewall und Gerätekontrolle.

Abzugrenzen ist EDR: Endpoint Protection blockiert vor allem, EDR zeichnet zusätzlich Telemetrie auf und ermöglicht Untersuchung und Reaktion nach dem Eindringen. In der Praxis liefern Hersteller beides im selben Agenten, lizenziert wird es aber oft getrennt.

Windows bringt mit Microsoft Defender Antivirus einen Basisschutz mit. Microsoft Defender for Endpoint (Plan 1 und Plan 2) und Microsoft Defender for Business für Unternehmen bis 300 Benutzer setzen darauf auf und führen Schutzstatus und Warnungen im Defender-Portal zusammen.

Funktionsweise & Details

Der Schutz arbeitet in mehreren Schichten, die über Intune, Gruppenrichtlinien oder Configuration Manager konfiguriert werden:

  1. Signaturen und Cloud-Schutz erkennen bekannte und neu auftauchende Schadsoftware innerhalb kurzer Zeit.
  2. Die Verhaltensüberwachung stoppt verdächtige Prozessketten, etwa ein Office-Dokument, das PowerShell startet.
  3. Regeln zur Verringerung der Angriffsfläche (Attack Surface Reduction, ASR), Exploit-Schutz und kontrollierter Ordnerzugriff sperren typische Angriffswege.
  4. Der Manipulationsschutz (Tamper Protection) verhindert, dass Angreifer oder Benutzer den Schutz abschalten.
  5. Status, Warnungen und Empfehlungen laufen im Defender-Portal zusammen.

Defender for Endpoint deckt Windows, macOS, Linux, Android und iOS ab.

Vorteile & Nutzen

  • Basisschutz ohne Zusatzlizenz, weil Defender Antivirus in Windows enthalten ist
  • Zentrale Sicht auf Schutzstatus und offene Bedrohungen aller Geräte statt Einzelkonsolen
  • Verhaltensbasierte Erkennung stoppt auch bisher unbekannte Schadsoftware
  • ASR-Regeln schließen typische Einfallstore, bevor Schadcode überhaupt läuft
  • Ein Konzept für Windows, macOS, Linux und Mobilgeräte

Praxisbeispiel

Ein IT-Dienstleister betreut bei einem Kunden 80 Arbeitsplätze mit wechselnden Virenscannern. Er rollt Defender for Business über Intune aus, aktiviert den Manipulationsschutz und startet die ASR-Regeln zunächst im Überwachungsmodus. Nach zwei Wochen sind die Fehlalarme ausgewertet und für zwei Fachanwendungen Ausnahmen dokumentiert. Danach wechseln die Regeln in den Blockmodus, Warnungen laufen zentral im Defender-Portal auf.

Worauf sollte man achten?

  • ASR-Regeln zuerst im Überwachungsmodus testen, sonst blockieren sie Fachanwendungen und Makros
  • Ausschlüsse sparsam setzen und dokumentieren, denn jeder Ausschluss ist ein mögliches Versteck für Angreifer
  • Keinen zweiten Echtzeit-Virenscanner parallel betreiben, da sich die Engines gegenseitig stören
  • Server mit Hyper-V, Exchange oder SQL Server nach Herstellervorgabe ausschließen und Serverlizenzen separat einplanen
  • Endpunktschutz ersetzt weder Patchmanagement noch Benutzerschulung

Lizenz & Verfügbarkeit

Microsoft Defender Antivirus ist in Windows enthalten. Defender for Endpoint Plan 1 ist in Microsoft 365 E3 enthalten, Plan 2 in Microsoft 365 E5 und in der Microsoft Defender Suite (früher Microsoft 365 E5 Security). Microsoft 365 Business Premium enthält Defender for Business (für bis zu 300 Benutzer, inklusive EDR-Funktionen). Plan 1 und Plan 2 enthalten keine Serverlizenzen: Server brauchen Defender for Servers Plan 1 oder 2 (Defender for Cloud), Defender for Endpoint Server oder Defender for Business servers. Stand: Oktober 2026.

Fazit

Für die meisten Microsoft-Umgebungen genügt ein sauber konfigurierter Defender-Stack, ein zusätzliches Produkt bringt selten Gewinn. Entscheidend sind gute Richtlinien und die tatsächliche Auswertung der Meldungen, wer Vorfälle untersuchen will, braucht EDR.

Weiterführende Links

Verwandte Artikel