Security & Compliance

Microsoft Defender for Identity

Allgemeine Infos

Microsoft Defender for Identity (MDI, früher Azure Advanced Threat Protection) erkennt Angriffe auf lokale Identitätsinfrastruktur. Sensoren auf Domänencontrollern sowie auf AD-FS-, AD-CS- und Entra-Connect-Servern werten Netzwerkverkehr und Windows-Ereignisse lokal aus und senden nur relevante Signale an den Cloud-Dienst. Der Vorgänger für rein lokale Umgebungen war Advanced Threat Analytics (ATA).

MDI erkennt Phasen wie Reconnaissance (LDAP- und SMB-Aufklärung), kompromittierte Anmeldedaten (Brute Force, Kerberoasting), Lateral Movement (Pass-the-Hash, Pass-the-Ticket) und Domänendominanz (DCSync, DCShadow, Golden Ticket). Zusätzlich zeigt es Identitätsempfehlungen zur AD-Härtung im Secure Score. Per API-Konnektoren lassen sich auch andere IAM-Systeme wie Okta anbinden.

Aktuelle Änderung: Seit Oktober 2025 ist der Unified Sensor (Sensor v3.x) allgemein verfügbar. Er wird über den vorhandenen Defender-for-Endpoint-Agenten aktiviert, statt einen separaten Sensor zu installieren. Abgrenzung: Microsoft Entra ID Protection bewertet Cloud-Anmelderisiken, Defender for Identity schützt das lokale AD.

Funktionsweise & Details

Betrieb mit dem Sensor v3.x:

  1. Der Domänencontroller (Windows Server 2019 oder neuer mit aktuellem kumulativem Update) wird in Defender for Endpoint onboardet, ein v2.x-Sensor darf nicht installiert sein.
  2. Im Defender-Portal aktivierst Du den Identity-Sensor auf dem Server. Das Readiness-Skript Test-MdiReadiness.ps1 prüft vorher die Voraussetzungen.
  3. Der Sensor arbeitet unter LocalSystem, ein separates Dienstkonto (DSA oder gMSA) ist nicht mehr nötig. Er begrenzt sich auf 30 Prozent CPU und 1,5 GB RAM.
  4. Die automatische Überwachungskonfiguration setzt die nötigen Windows-Audit-Richtlinien. Der Cloud-Dienst bildet Verhaltensprofile und korreliert Warnungen mit Endpunkt-, Mail- und Cloud-Signalen in Defender XDR.
  5. Reaktionen wie Konto deaktivieren oder Kennwort zurücksetzen lassen sich direkt aus dem Portal auslösen.

Vorteile & Nutzen

  • Erkennt typische Ransomware-Vorstufen im AD, etwa DCSync oder Kerberoasting, bevor Daten verschlüsselt werden.
  • Die Korrelation in Defender XDR zeigt den ganzen Angriffspfad von der Phishing-Mail bis zum kompromittierten Admin-Konto.
  • Identitätsempfehlungen machen Altlasten wie unsichere Delegierung oder Klartext-LDAP sichtbar.
  • Der Unified Sensor senkt den Betriebsaufwand, weil kein separater Agent und kein Dienstkonto mehr gepflegt werden müssen.

Praxisbeispiel

Ein Automobilzulieferer mit 900 Mitarbeitenden und vier Domänencontrollern hat Microsoft 365 E5, nutzt MDI aber noch nicht. Nach dem Onboarding der DCs in Defender for Endpoint aktiviert die IT den Sensor v3.x auf allen DCs und dem AD-CS-Server. Schon in der ersten Woche meldet MDI Kerberoasting-Versuche von einem infizierten Arbeitsplatz. Das Konto wird gesperrt, der Client isoliert und die betroffenen Dienstkonten erhalten neue, lange Kennwörter.

Worauf sollte man achten?

  • Sensoren auf allen Domänencontrollern ausrollen, ein DC ohne Sensor ist ein blinder Fleck.
  • Vor dem Wechsel von v2.x auf v3.x in den Einstellungen die Option für das lokale Systemkonto als Aktionskonto setzen, sonst drohen Fehlalarme zu ungültigen Anmeldedaten.
  • Bei virtuellen DCs unter Hyper-V Dynamic Memory deaktivieren, unter VMware den Gastspeicher vollständig reservieren.
  • Den v3.x-Sensor mit seinen aktuellen Einschränkungen (keine VPN-Integration, kein Syslog, eingeschränkt ExpressRoute) gegen die eigenen Anforderungen prüfen.
  • Warnungen einem festen Team zuweisen, Erkennung ohne Reaktion bringt keinen Schutz.

Lizenz & Verfügbarkeit

Enthalten in Microsoft 365 E5/A5/G5, Microsoft 365 E5 Security bzw. Microsoft Defender Suite, Microsoft 365 F5 Security, EMS E5/A5 sowie als eigenständige Defender-for-Identity-Lizenz. Business Premium enthält MDI nicht. Für Business-Premium-Tenants (bis 300 Benutzer) gibt es die Microsoft Defender Suite for Business Premium als Add-on, ob sie Defender for Identity umfasst, ist in der Microsoft-Dokumentation zu MDI nicht ausgewiesen, prüfe das vor dem Kauf. Der Sensor v3.x setzt zusätzlich voraus, dass die Server in Defender for Endpoint onboardet sind. Stand: Oktober 2026.

Fazit

Wer Active Directory betreibt und E5 lizenziert hat, sollte Defender for Identity aktivieren, der Unified Sensor macht den Einstieg deutlich einfacher. Entscheidend ist, dass jemand die Warnungen auch bearbeitet.

Weiterführende Links

Verwandte Artikel