Defender for Business vs. Defender for Endpoint
| Feature | Defender for Business | Defender for Endpoint P2 |
|---|---|---|
| Zielgruppe | bis 300 Mitarbeiter | Enterprise unbegrenzt |
| Preis | In M365 Business Premium (~22 €) | ~15 €/User Add-on |
| EDR | Ja | Ja |
| Threat & Vulnerability Management | Vereinfacht | Vollständig |
| Threat Intelligence | Ja | Ja |
| Auto-Remediation | Ja | Ja |
Defender for Business aktivieren
security.microsoft.com → Settings → Endpoints → Onboarding
Onboarding via Intune
# Intune Configuration Profile erstellen
# Windows Security Center → Defender for Endpoint
# → Device compliance + Onboarding Script
Im Intune Admin Center:
- Devices → Configuration → Create profile
- Platform: Windows 10 and later
- Profile type: Templates → Microsoft Defender for Endpoint
Lokales Script (für einzelne PCs)
- security.microsoft.com → Settings → Onboarding → Local Script herunterladen
- Script als Administrator ausführen
- Status prüfen: Taskmanager → Services → "sense"
Vereinfachte Konfiguration (Business-Mode)
Defender for Business bietet "Simplified" Configuration:
security.microsoft.com → Settings → Endpoints → Advanced features → Simplified configuration ON
Automatisch aktiviert:
- Tamper Protection (Schutz vor Deaktivierung)
- Cloud-delivered protection
- Automatic sample submission
- Network protection (Block)
- Web content filtering
Threat & Vulnerability Management
security.microsoft.com → Vulnerability management → Dashboard:
- Exposure score: Aktuelles Risiko
- Weaknesses: CVEs auf Ihren Geräten
- Recommendations: Priorisierte Maßnahmen
Top-Empfehlungen typischerweise:
- Windows/Office-Updates einspielen
- Browser-Updates
- Fehlende EDR-Coverage (Geräte ohne Defender)
Incident Response
Incident: "Malware detected on vm-pc01"
1. security.microsoft.com → Incidents & Alerts
2. Incident öffnen → Alert story
3. Affected devices: vm-pc01
4. Actions: Isolate device (verhindert Ausbreitung!)
5. Collect investigation package
6. Run antivirus scan
7. Nach Bereinigung: Release isolation
# Via API: Gerät isolieren
Invoke-RestMethod -Uri "https://api.securitycenter.microsoft.com/api/machines/<ID>/isolate" `
-Method POST `
-Headers @{Authorization = "Bearer $token"} `
-Body '{"Comment":"Isoliert wegen Malware-Verdacht"}'
Automated Investigation and Remediation (AIR)
Defender for Business analysiert Threats automatisch und bereinigt wenn möglich:
- Verdächtige Prozesse terminieren
- Schädliche Dateien quarantänisieren
- Registry-Änderungen rückgängig machen
security.microsoft.com → Action center: Zeigt alle automatischen Aktionen.
FAQ
Was ist der Unterschied zu Windows Defender Antivirus?
Windows Defender Antivirus: Lokales AV. Defender for Business: Cloudbasiertes EDR mit Verhaltensanalyse, Threat Intelligence und Incident Response.
Schützt Defender for Business auch macOS und Linux?
Ja, mit separaten Onboarding-Agents für macOS und Linux.
Fazit
Defender for Business ist für M365-Business-Premium-Kunden die günstigste Enterprise-EDR-Lösung. Die vereinfachte Konfiguration macht es auch für KMU ohne eigenes SOC bedienbar.
Endpoint-Sicherheit für KMU in Heidelberg, Mannheim und der Rhein-Neckar-Region. Sicherheitsberatung anfragen.