Microsoft Defender XDR.
Eine Plattform. Alle Angriffsflächen.
Extended Detection & Response statt isolierter Einzelalarme: Defender XDR korreliert Signale von Endpoints, Identitäten, E-Mail und Cloud-Apps zu einem Gesamtbild. Wir führen die Plattform ein, stimmen die Richtlinien ab und sorgen dafür, dass Alarme auch jemanden erreichen, der handelt.
Einzelalarme sind nicht das Problem.
Fehlende Zusammenhänge schon.
Ein Angriff läuft selten auf einem einzigen System ab: Eine Phishing-Mail liefert Zugangsdaten, der Angreifer meldet sich an und bewegt sich seitlich durchs Netzwerk. Einzelprodukte melden dazu drei getrennte Alarme – Microsoft Defender XDR korreliert dieselben Signale zu einem Incident mit vollständiger Angriffskette.
Das ist Extended Detection & Response: Erkennung und Reaktion über Endpoints, Identitäten, E-Mail und Cloud-Apps hinweg – in einem Portal, mit einer Priorisierung. Wir richten die Plattform als Teil unserer Cybersecurity-Arbeit für den Mittelstand ein.
Die Defender-Familie im Überblick.
Defender for Endpoint
EDR, Next-Gen-Antivirus und Attack-Surface-Reduction-Regeln auf jedem Gerät: verhaltensbasierte Erkennung, Geräteisolation im Ernstfall, Schwachstellen-Übersicht über den Bestand.
Defender for Identity
Erkennt Angriffe auf das Active Directory und die hybride Identitätsinfrastruktur (inklusive Entra-Connect-Server): Pass-the-Hash, Kerberoasting, verdächtiges Kontoverhalten. Der Sensor läuft direkt auf den Domänencontrollern.
Defender for Office 365
Schutz vor Phishing und Schadanhängen in Exchange Online und Teams: Safe Links prüft URLs beim Klick, Safe Attachments öffnet Anhänge zuerst in einer Sandbox.
Defender for Cloud Apps
Sichtbarkeit über Cloud-Dienste und Schatten-IT: welche SaaS-Apps im Einsatz sind, welche OAuth-Berechtigungen erteilt wurden – plus Richtlinien gegen riskante Nutzung.
Sentinel-Anbindung (optional)
Wenn Logquellen jenseits von Microsoft dazukommen, binden wir Microsoft Sentinel als SIEM an – zentrale Auswertung, längere Aufbewahrung, eigene Erkennungsregeln.
Ein Portal, ein Incident
Alle Komponenten melden in dasselbe Defender-Portal. Zusammengehörige Alarme werden zu einem Incident gebündelt – eine Angriffskette statt vier Einzelmeldungen.
Sie brauchen nicht automatisch E5.
Viele Mittelständler haben den Einstieg bereits bezahlt: In Microsoft 365 Business Premium steckt Defender for Business – die auf Unternehmen bis 300 Nutzer zugeschnittene Ausgabe von Defender for Endpoint, inklusive EDR, ASR-Regeln und automatischer Untersuchung, dazu Defender for Office 365 Plan 1 für den Mail-Schutz. Oft ist der richtige erste Schritt: aktivieren statt neu kaufen.
Die volle XDR-Suite – Endpoint Plan 2, Identity, Office 365 Plan 2 und Cloud Apps – ist in Microsoft 365 E5 enthalten oder als Add-on lizenzierbar. Ob sich das lohnt, hängt vom Schutzbedarf ab: Wer ein lokales Active Directory betreibt oder Compliance-Auflagen nachweisen muss, profitiert deutlich. Wir prüfen zuerst, was Ihre vorhandenen Lizenzen hergeben – und empfehlen Upgrades nur mit konkreter Begründung.
So führen wir Defender XDR ein.
Bestandsaufnahme & Lizenzcheck
Welche Defender-Komponenten sind lizenziert, welche aktiv, wo laufen Fremdprodukte? Ergebnis: ein realistischer Plan, der mit dem beginnt, was Sie schon besitzen.
Onboarding der Endpoints via Intune
Die Geräte werden über Microsoft Intune an Defender angebunden – automatisiert, nachvollziehbar und ohne Turnschuh-Administration.
Policy-Design
Antivirus-, EDR- und ASR-Richtlinien nach Microsoft-Baseline, angepasst an Ihre Anwendungen. Neue Regeln laufen zuerst im Audit-Modus, bevor sie blockieren.
Alert-Tuning
Fehlalarme unterdrücken, Ausnahmen dokumentieren, Schweregrade schärfen. Ein Alarmsystem, das ständig grundlos meldet, wird ignoriert – Alarmmüdigkeit ist ein reales Risiko.
Response-Prozesse festlegen
Wer sichtet Incidents, wer darf ein Gerät isolieren, wann wird eskaliert? Das klären wir schriftlich – vor dem ersten Ernstfall, nicht währenddessen.
Wer schaut nach der Einführung hin?
Selbst betreiben – mit Einweisung
Ihr IT-Team übernimmt den Betrieb: Wir übergeben eine dokumentierte Konfiguration und weisen in Portal, Incident-Bearbeitung und typische Reaktionsschritte ein. Sinnvoll, wenn intern Kapazität und Security-Grundwissen vorhanden sind.
Betreuung durch BITnet
Wir prüfen Incidents, pflegen Richtlinien und Ausnahmen nach und stimmen Reaktionen mit Ihnen ab. Umfang und Erreichbarkeit legen wir vertraglich fest – zugeschnitten auf Ihre Umgebung statt aus dem Katalog.
Häufige Fragen zu Microsoft Defender XDR
Was ist der Unterschied zwischen Windows Defender Antivirus und Defender for Endpoint?
Der Defender Antivirus ist der lokale Virenscanner in jedem Windows – er blockiert bekannte Schadsoftware. Defender for Endpoint ist die EDR-Plattform darüber: Sie sammelt Telemetrie, erkennt verdächtiges Verhalten über Prozessketten hinweg und erlaubt Reaktionen wie die Isolation eines Geräts vom Netzwerk. Kurz: Der Virenscanner stoppt Dateien, EDR erkennt Angriffe.
Brauchen wir zusätzlich ein SIEM wie Microsoft Sentinel?
Nicht zwingend. Defender XDR korreliert die Signale der Microsoft-Welt bereits selbst zu Incidents. Sentinel lohnt sich, wenn Sie Quellen außerhalb von Microsoft einbinden wollen – Firewalls, Linux-Server, Fachanwendungen –, Logs länger aufbewahren müssen oder eigene Erkennungsregeln schreiben wollen. Wir empfehlen Sentinel nur, wenn Ihre Anforderungen das rechtfertigen.
Funktioniert Defender XDR auch mit macOS und Mobilgeräten?
Ja, mit Abstufungen. Defender for Endpoint gibt es für macOS und Linux mit Virenschutz und EDR-Funktionen, der Umfang unterscheidet sich aber vom Windows-Client. Auf iOS und Android arbeitet Defender als Mobile-Threat-Defense-App mit Phishing- und Web-Schutz. Die Verwaltung aller Plattformen läuft einheitlich über Intune.
Welche Lizenzen brauchen wir für Defender XDR?
Das hängt vom Schutzbedarf ab. Microsoft 365 Business Premium enthält Defender for Business und Defender for Office 365 Plan 1 – für viele Mittelständler ein solider Einstieg ohne Zusatzkosten. Die volle Suite mit Defender for Endpoint Plan 2, Defender for Identity und Cloud Apps steckt in E5 oder im E5-Security-Add-on. Der Unterschied im Alltag: Plan 2 bringt EDR mit automatischer Untersuchung, Threat Hunting und längerer Datenaufbewahrung – Defender for Business deckt die Kernfunktionen für bis zu 300 Nutzer ab.
Was passiert konkret, wenn ein Alarm ausgelöst wird?
Defender fasst zusammengehörige Signale zu einem Incident zusammen und priorisiert nach Schweregrad. Die automatische Untersuchung kann erste Maßnahmen vorschlagen oder ausführen – etwa eine Datei in Quarantäne verschieben oder ein Gerät isolieren. Entscheidend ist der Response-Prozess dahinter: Wer prüft den Incident, welche Schritte folgen, wann wird eskaliert? Das definieren wir bei der Einführung.
Die Basis, auf der XDR wirkt.
Cybersecurity für den Mittelstand
Defender ist ein Baustein – Security Baselines, Zero Trust und Härtung sind das Fundament darunter.
Zur Cybersecurity-SeiteEndpoint Management mit Intune
Ohne sauberes Geräte-Management kein sauberes Defender-Onboarding – Intune ist die Grundlage.
Zur Intune-BeratungMicrosoft 365 Beratung
Tenant-Architektur, Entra ID und Conditional Access – die Identitätsbasis, auf der Defender XDR aufsetzt.
Zur Microsoft-365-BeratungWissen, was in Ihrer Umgebung wirklich passiert.
Schildern Sie uns Ihre Ausgangslage – Sie bekommen eine ehrliche Einschätzung, was Ihre Lizenzen schon enthalten und was eine Einführung bei Ihnen bedeutet.