Microsoft Defender: Der Sicherheits-Werkzeugkasten, der in M365 schon drinsteckt.
Defender ist nicht gleich Defender: Hinter dem Namen steckt eine ganze Familie von Schutzschichten, vom Virenscanner auf dem Laptop über den Phishing-Filter im Postfach bis zur zentralen Angriffserkennung. Wer Microsoft 365 Business Premium hat, besitzt das meiste davon bereits. Genutzt wird es erstaunlich selten.
Der Name sorgt regelmäßig für Verwirrung, deshalb zuerst die Sortierung: Microsoft Defender Antivirus ist der klassische Virenschutz, der in jedem Windows steckt. Microsoft Defender for Business hebt Endgeräte auf Unternehmensniveau, mit Verhaltensanalyse, automatischer Untersuchung und Reaktion (EDR). Microsoft Defender for Office 365 schützt Postfächer und Teams vor Phishing und Schadanhängen. Und Microsoft Defender XDR ist das Dach darüber: ein Portal, in dem alle Signale zusammenlaufen.
Der wichtigste Punkt für den Mittelstand: Defender for Business und Defender for Office 365 (Plan 1) sind Bestandteil von Microsoft 365 Business Premium. Wer diese Lizenz hat und parallel ein drittes Antivirus-Produkt bezahlt, leistet sich doppelten Schutz mit halber Integration.
Drei Schutzschichten, ein Portal: Die Defender-Familie greift ineinander, statt nebeneinander zu laufen.
Warum ein Virenscanner allein nicht mehr reicht
Die Bedrohungslage hat sich verschoben: Microsofts Digital Defense Report zählt über 600 Millionen Angriffe pro Tag auf seine Cloud-Kunden. Über 99 Prozent der Identitätsangriffe sind passwortbasiert, und Phishing-Mails sind dank KI kaum noch an holprigem Deutsch zu erkennen. Klassische Virenscanner prüfen Dateien gegen bekannte Signaturen; moderne Angriffe arbeiten aber mit gestohlenen Zugangsdaten, legitimen Werkzeugen und Verhalten, das erst im Zusammenhang verdächtig wird.
Genau dafür ist EDR (Endpoint Detection and Response) gebaut: Defender for Business beobachtet das Verhalten auf den Geräten, erkennt Muster wie 'Office-Dokument startet PowerShell und verschlüsselt Dateien', schlägt Alarm, untersucht automatisch und kann ein befallenes Gerät vom Netz isolieren, bevor sich Ransomware ausbreitet.
Was in Business Premium konkret steckt
Für den Preis, den viele Unternehmen ohnehin schon zahlen, ist eine Menge dabei:
Defender for Business: EDR für Windows, macOS, Android und iOS, inklusive automatischer Untersuchung, Bedrohungs- und Schwachstellenmanagement und Ransomware-Schutz für bis zu 300 Nutzer.
Defender for Office 365 (Plan 1): Safe Links prüft jeden Link beim Klick (auch nachträglich vergiftete), Safe Attachments zündet Anhänge zuerst in einer sicheren Umgebung, dazu gezielter Anti-Phishing-Schutz.
Zusammenspiel mit Intune und Conditional Access: Nur gesunde, verwaltete Geräte kommen an Firmendaten. Der Gerätestatus fließt direkt in die Zugriffsentscheidung ein.
Ein zentrales Portal (security.microsoft.com): Vorfälle, Warnungen und Empfehlungen an einem Ort statt in fünf Konsolen.
Einschalten reicht nicht: die typischen Lücken
In unseren Security Audits sehen wir selten fehlende Lizenzen, aber fast immer ungenutzte. Die häufigsten Muster: Die voreingestellten Sicherheitsrichtlinien (Preset Security Policies) wurden nie aktiviert, sodass Safe Links und Safe Attachments schlicht nicht greifen. Geräte sind nicht in Defender onboarded, weil Intune fehlt oder halb eingerichtet ist. Warnungen laufen in ein Postfach, das niemand liest. Und über die Jahre angesammelte Ausnahmen ('die eine Software brauchte das mal') durchlöchern den Schutz.
Das Ergebnis ist trügerische Sicherheit: Auf dem Papier Enterprise-Schutz, in der Praxis ein Virenscanner mit Standardeinstellungen.
So gehst du es pragmatisch an
Der Weg zum echten Schutzniveau ist kein Großprojekt, sondern eine saubere Checkliste:
Lizenz-Check: Welche Defender-Bausteine stecken schon in euren Plänen? (Bei Business Premium: die meisten.)
Preset-Sicherheitsrichtlinien aktivieren: 'Standard' ist für die meisten KMU der richtige Startpunkt.
Alle Firmengeräte über Intune in Defender for Business onboarden, denn ein Gerät ohne Onboarding ist ein blinder Fleck.
Verantwortlichkeit klären: Wer schaut auf Vorfälle und Warnungen, intern oder über die laufende Betreuung?
Monatlicher Blick auf den Secure Score im Defender-Portal: Er priorisiert die nächsten Verbesserungen von selbst.
Fazit
Microsoft Defender ist für den Mittelstand die seltene Gelegenheit, mit vorhandenen Lizenzen ein echtes Sicherheitsniveau zu erreichen, sofern die Bausteine aktiviert, verbunden und beobachtet werden. Ob bei euch alles scharf geschaltet ist, klärt unser Cloud Security Audit; die dauerhafte Überwachung übernehmen wir in der laufenden M365-Betreuung.
