In Teil 1 haben wir geklärt, welche Lizenz ihr braucht und wie die Architektur aussieht. Jetzt geht es also ans Werk. Viele Projekte starten direkt mit dem Onboarding und merken erst später, dass Rollen fehlen, alle Geräte in einer einzigen Gruppe landen oder wichtige Funktionen ausgeschaltet sind. Deshalb solltet ihr Defender for Endpoint einrichten, bevor das erste Gerät kommt. Genau das machen wir deshalb in diesem Teil: Rollen, Gerätegruppen, die zentralen Einstellungen und die Verbindung zu Intune.
Serie: Defender for Endpoint in der Praxis · von Andreas
- Pläne, Lizenzen und Architektur
- Das Portal vorbereiten – ihr seid hier
- Geräte onboarden
- Die Antivirus-Basisrichtlinie
- ASR-Regeln und Network Protection
- Schwachstellen und Exposure Management
- Schutz testen und Troubleshooting
- Vorfälle untersuchen und automatisch reagieren
- Advanced Hunting und Custom Detections
- Sentinel, Security Copilot und Ausblick
Defender for Endpoint einrichten: die Checkliste
Diese fünf Punkte solltet ihr erledigt haben, bevor ihr Geräte onboardet. Alles Weitere lässt sich dann später nachziehen.
Rollen: Wer darf was im Portal?
Seit Februar 2025 nutzen neue Tenants automatisch das Unified RBAC von Microsoft Defender. Bestehende Tenants können umstellen, während die alten Endpoint-Rollen bleiben bis dahin erhalten. Unified RBAC hat einen großen Vorteil: Denn eine Rolle gilt für alle Defender-Workloads, und ihr steuert fein, welche Datenquellen und Aktionen sie umfasst.
Für den Start empfehlen wir deshalb drei Rollen:
| Rolle | Für wen | Typische Berechtigungen |
|---|---|---|
| Security Reader | Service Desk, Management | Vorfälle, Geräte und Berichte nur lesen |
| Security Operator | SOC, IT-Security | Vorfälle bearbeiten, Geräte isolieren, Scans starten |
| Security Admin | Kleine Admin-Gruppe | Richtlinien, Einstellungen und Rollen verwalten |
Dabei findet ihr die Rollen unter System > Permissions > Microsoft Defender XDR > Roles. Weist sie außerdem Entra-Gruppen zu, nicht einzelnen Personen. Kombiniert die Admin-Rolle außerdem mit Privileged Identity Management, damit niemand dauerhaft hohe Rechte besitzt. Die Rolle des Globalen Administrators braucht dagegen im Alltag niemand, sie gehört in den Notfallschrank.
Gerätegruppen und Automatisierungsstufe
Gerätegruppen sind das unterschätzteste Werkzeug in Defender for Endpoint. Denn sie erfüllen gleich drei Aufgaben: Sie steuern, wer welche Geräte sieht, sie legen fest, wie stark Defender automatisch eingreift, und sie dienen als Filter in Berichten und Richtlinien.
Zunächst legt ihr sie unter System > Settings > Endpoints > Device groups an. Danach ergibt sich die Mitgliedschaft aus Regeln, etwa nach Gerätename, Domäne, Betriebssystem oder Tag. Passt ein Gerät zu mehreren Gruppen, gewinnt allerdings die Gruppe mit dem höchsten Rang. Alles, was nirgends passt, landet schließlich in Ungrouped devices.
Für die Automatisierung stehen außerdem fünf Stufen zur Wahl:
| Stufe | Was passiert |
|---|---|
| No automated response | keine automatische Untersuchung, davon rät Microsoft ab |
| Semi – Approval required for all folders | jede Bereinigung muss bestätigt werden |
| Semi – Approval required for non-temporary folders | nur in Temp-Ordnern wird automatisch bereinigt |
| Semi – Approval required for system folders | lediglich Systemordner erfordern eine Freigabe |
| Full – remediate threats automatically | Bedrohungen werden automatisch beseitigt, Microsofts Empfehlung |
Unser Vorschlag für den Anfang: Clients auf Full, Server auf eine Semi-Stufe. Ausstehende Aktionen verfallen übrigens nach sieben Tagen, wenn niemand sie freigibt. Wer Semi wählt, muss also das Action Center regelmäßig im Blick behalten.
Tags von Anfang an nutzen
Legt die Gruppen deshalb nicht nur nach Gerätename an. Tags wie Pilot, Server-Prod oder Kiosk lassen sich über Intune oder die Registry setzen und machen Regeln für Richtlinien, Gerätegruppen und Berichte viel flexibler.
Defender for Endpoint einrichten: die Optional features
Unter System > Settings > Endpoints > Advanced features, im Portal inzwischen Optional features genannt, steckt eine lange Liste an Schaltern. Einige davon sind standardmäßig aus und fehlen dann später schmerzlich.
Diese Einstellungen empfehlen wir daher für nahezu jede Umgebung:
| Einstellung | Empfehlung | Warum |
|---|---|---|
| EDR in block mode | an | blockiert Bedrohungen auch dann, wenn ein anderer Virenschutz aktiv ist |
| Tamper protection | an | verhindert, dass Angreifer Defender abschalten |
| Automatically resolve alerts | an | schließt Warnungen, wenn die Untersuchung nichts findet |
| Allow or block file | an | ermöglicht eigene Indikatoren für Dateien |
| Custom network indicators | an | Voraussetzung für eigene URL- und IP-Sperren |
| Web content filtering | an | nötig für Kategorien-Sperren aus Teil 5 |
| Live Response | an, für Server separat | Remote-Shell für die Untersuchung |
| Microsoft Intune connection | an | Basis für Compliance und Richtlinien |
| Device discovery | an | findet nicht verwaltete Geräte im Netz |
| Preview features | nach Bedarf | neue Funktionen früher testen |
Im Demo-Tenant sind Custom network indicators, Web content filtering und Live Response noch ausgeschaltet. Allerdings ist genau das der typische Stand, den wir bei Kunden vorfinden. Live Response für Server und das Ausführen nicht signierter Skripte solltet ihr bewusst entscheiden, denn beides ist mächtig.
Defender for Endpoint einrichten mit Intune
Für die meisten Umgebungen ist Intune der wichtigste Partner von Defender for Endpoint. Dabei braucht die Verbindung zwei Schalter: einen im Defender-Portal unter Optional features und einen im Intune Admin Center unter Endpoint security > Microsoft Defender for Endpoint. Erst dann fließen Risikobewertungen in die Compliance-Richtlinien ein, und Intune kann Onboarding-Profile automatisch erzeugen.
Sicherheitsverwaltung ohne Intune-Registrierung
Was viele nicht wissen: Defender for Endpoint kann Sicherheitsrichtlinien auch auf Geräte bringen, die nicht in Intune registriert sind. Diese Funktion heißt übrigens Security settings management. Ihr pflegt die Richtlinien weiterhin in Intune oder im Defender-Portal, aber die Zustellung läuft über den Defender-Sensor. Deshalb ist das ideal für Server und für Clients, die über Gruppenrichtlinien oder Configuration Manager verwaltet werden.
Anschließend findet ihr die Einstellung unter System > Settings > Endpoints > Configuration management > Enforcement scope. Startet am besten mit einem Pilot-Tag statt mit allen Geräten, bis ihr sicher seid, dass sich keine Richtlinien aus verschiedenen Quellen überschneiden.
Netzwerk und Konnektivität
Zum Schluss werfen wir dann einen Blick auf das Netzwerk. Neue Tenants nutzen standardmäßig die vereinfachte Konnektivität (Streamlined connectivity). Statt Dutzender Adressen müsst ihr dann nur noch eine kleine, konsolidierte Liste freigeben. Arbeitet ihr mit einem Proxy, prüft vorab, dass die Defender-URLs ohne TLS-Aufbruch erreichbar sind. Den Test dafür zeigen wir später in Teil 7.
Unser Fazit
Wer Defender for Endpoint einrichten will, sollte sich diese Stunde Vorbereitung nehmen, denn sie spart später viele Stunden Fehlersuche. Vergebt also Rollen über Gruppen, legt sinnvolle Gerätegruppen mit passender Automatisierungsstufe an, schaltet die wichtigen Optional features ein und verbindet Intune. Damit ist das Portal bereit. Im nächsten Teil bringen wir die ersten Geräte an Bord – mit Intune, dem neuen Deployment Tool und den klassischen Wegen.
