Microsoft Defender for Endpoint (MDE)
Microsofts Enterprise-Endpoint-Security-Plattform. Bietet Antivirus, EDR (Endpoint Detection & Response), Threat Intelligence und Schwachstellen-Management aus einer Konsole — für Windows, macOS, Linux, iOS und Android.
Was ist Microsoft Defender for Endpoint?
Microsoft Defender for Endpoint (MDE) ist Microsofts Enterprise-Security-Plattform für Endgeräte. Sie kombiniert:
- Antivirus / Anti-Malware (Microsoft Defender Antivirus)
- Endpoint Detection & Response (EDR) — erkennt Angriffe in Echtzeit
- Threat & Vulnerability Management (TVM) — identifiziert Schwachstellen
- Attack Surface Reduction (ASR) — präventive Härtung
- Auto-Investigation & Remediation (AIR) — automatische Reaktion auf Bedrohungen
- Threat Intelligence — aus Microsofts globalem Telemetrie-Netzwerk
Nicht verwechseln: „Microsoft Defender Antivirus“ (kostenlos in Windows enthalten) vs. „Microsoft Defender for Endpoint“ (kommerzielle Enterprise-Suite). MDE nutzt den gleichen AV-Kern, fügt aber EDR, Management, Reporting hinzu.
MDE P1 vs. P2
MDE Plan 1 (P1)
- AntivirusMicrosoft Defender Antivirus
- Attack Surface ReductionJa
- Device ControlUSB, Bluetooth blockieren
- Web FilteringJa
- EDRNein (kritischer Unterschied!)
- LizenzM365 E3, Business Premium
MDE Plan 2 (P2)
- Alles aus P1+
- EDREndpoint Detection & Response
- Threat & Vulnerability MgmtSchwachstellen-Scans
- Auto InvestigationAutomatische Remediation
- Threat IntelligenceDeep Threat Research
- Advanced HuntingKQL-Queries über Telemetrie
- LizenzM365 E5, F5 Security, standalone
Der entscheidende Unterschied: P1 ist Prevention-fokussiert (klassischer Antivirus++). P2 ist Detection & Response — erkennt Angriffe, die die Prävention durchbrochen haben.
Die wichtigsten MDE-Features
Attack Surface Reduction (ASR)
Eine Sammlung von Rules, die typische Angriffs-Muster blockieren:
- Office-Apps dürfen keine Child-Prozesse starten
- Block von Credential-Theft-Tools
- Block von Skript-Ausführung aus E-Mail-Anhängen
- Block von PowerShell-basierten Downloads
Endpoint Detection & Response (EDR, nur P2)
Sammelt kontinuierlich Prozess-, Netzwerk- und Datei-Telemetrie und analysiert sie auf verdächtige Muster. Alerts landen im Defender-Portal (früher: Microsoft 365 Defender; heute: Defender XDR).
Auto Investigation & Remediation
Bei einem Alert analysiert MDE automatisch, was passiert ist, und führt (je nach Policy) Remediation-Aktionen aus: Prozesse killen, Files quarantänen, Scheduled Tasks entfernen. Reduziert den manuellen Analyse-Aufwand für Security-Teams drastisch.
MDE für AVD und Windows 365
MDE funktioniert auf AVD Session Hosts und Windows 365 Cloud-PCs grundsätzlich wie auf physischen Geräten — mit ein paar Multi-Session-spezifischen Eigenheiten:
Multi-Session AVD
- MDE wird auf dem Session Host installiert, nicht pro User
- Alerts werden pro Session-User zugeordnet (Correlation)
- Für Onboarding: Microsoft stellt dedizierte Multi-Session-Scripts bereit
- Bei Non-Persistent VDI: VDI-Onboarding-Package verwenden — Devices registrieren sich dynamisch
Windows 365
Cloud-PCs sind dedicated — MDE-Onboarding läuft genauso wie bei physischen PCs. Besonders komfortabel: Intune kann MDE-Onboarding automatisch pushen.
Performance-Impact
MDE-AV-Scans können Multi-Session-Sessions beeinträchtigen. Empfohlen:
- Scheduled Scans nur in Low-Activity-Zeiten (nachts)
- Real-time Scanning aktiviert lassen (Sicherheit geht vor)
- Exclusion-Liste für FSLogix-VHDX-Dateien und bestimmte VDI-Pfade (Microsoft liefert offizielle Liste)
MDE-Integration in DaaS Maps
Die DaaS Maps zeigen MDE-Integration-Patterns für AVD und Windows 365. Für Security-Architektur-Diskussionen und MDE-Tuning findet ihr mich auf LinkedIn.