Microsoft 365 Business Premium enthält zwei Sicherheitsprodukte mit „Defender“ im Namen: Microsoft Defender for Business und Microsoft Defender for Office 365 Plan 1. Beide sind nach dem Kauf nicht automatisch vollständig eingerichtet. Dieser Beitrag zeigt, wo die beiden Produkte ansetzen, wie Sie sie in Betrieb nehmen und was danach im Alltag zu tun bleibt. Einen Überblick über den gesamten Plan gibt unser Beitrag Microsoft 365 Business Premium: Inhalt, Grenzen und Einsatz im KMU. Wie sich Business Premium von den anderen Business-Plänen unterscheidet, vergleicht unser Beitrag Microsoft 365 Business-Pläne im Vergleich.
Zwei Produkte, zwei Einsatzorte
Die beiden Produkte schützen verschiedene Dinge. Eine Phishing-Mail wird an einer anderen Stelle geprüft als eine verdächtige Datei, die auf einem Notebook ausgeführt wird.
| Defender for Business | Defender for Office 365 Plan 1 | |
|---|---|---|
| Setzt an | auf den Endgeräten: Windows, Mac, iOS/iPadOS, Android | in E-Mail und Zusammenarbeit: Exchange Online, SharePoint, OneDrive, Teams, Office-Anwendungen |
| Wichtige Funktionen laut Microsoft | Schutz vor Schadsoftware, Verringerung der Angriffsfläche, Erkennung und Reaktion am Endgerät (EDR), automatische Untersuchung und Behebung, Verwaltung von Schwachstellen | Schutz vor Identitätswechsel, „Sichere Anlagen“ für E-Mail sowie Dateien in SharePoint, OneDrive und Teams, „Sichere Links“ in E-Mail, Office-Anwendungen und Teams |
| Grundlage | Funktionen von Defender for Endpoint Plan 1 und einige aus Plan 2 | baut auf dem eingebauten Schutz aller Cloud-Postfächer auf |
| Verwaltung | Microsoft-Defender-Portal oder Intune Admin Center | Microsoft-Defender-Portal |
EDR steht für „Endpoint Detection and Response“. Gemeint ist, dass das Produkt Vorgänge auf dem Gerät aufzeichnet, verdächtige Abläufe meldet und Gegenmaßnahmen ermöglicht. Ein Angriff kann beide Bereiche berühren: Eine Mail mit einem gefährlichen Link prüft zuerst Defender for Office 365. Wird der Link trotzdem geöffnet und eine Datei ausgeführt, ist Defender for Business auf dem Gerät gefragt.
Defender for Business einrichten
Voraussetzungen
Windows-Geräte müssen laut Microsoft mit Windows 10 oder 11 in den Editionen Business, Pro oder Enterprise laufen. Je Nutzerlizenz lassen sich bis zu fünf Endgeräte aufnehmen. Defender for Business ist für Unternehmen mit bis zu 300 Nutzern gedacht.
Geräte aufnehmen
Microsoft nennt diese Wege, um Geräte in Defender for Business aufzunehmen (englisch „Onboarding“):
- Lokales Skript: Es wird im Defender-Portal heruntergeladen und auf dem Gerät als Administrator ausgeführt. Das Skript verbindet das Gerät bei Bedarf mit Microsoft Entra ID, meldet es in Intune an und nimmt es in Defender for Business auf. Microsoft empfiehlt, auf diesem Weg höchstens zehn Geräte gleichzeitig aufzunehmen.
- Gruppenrichtlinien, wenn Ihr Unternehmen diese bereits nutzt.
- Microsoft Intune, wenn die Geräte dort bereits verwaltet werden.
- Smartphones und Tablets über die App „Microsoft Defender“ oder über Intune.
Funktion prüfen
Microsoft beschreibt in der Anleitung einen Erkennungstest für Windows. Ist er erfolgreich, erscheint nach etwa zehn Minuten eine Warnung im Defender-Portal. Zusätzlich gibt es einen Phishing-Test: Eine Testadresse von Microsoft wird auf dem Gerät aufgerufen, Defender for Business soll sie sperren und im Portal melden. Wir empfehlen, diese Tests nach dem Einrichten zu dokumentieren.
Server brauchen eigene Lizenzen
Business Premium deckt Endgeräte ab, keine Server. Für Windows Server und Linux-Server ist laut Microsoft eine zusätzliche Lizenz nötig, etwa „Microsoft Defender for Business servers“. Diese Erweiterung gibt es für Defender for Business und Business Premium. Ab mehr als 60 Servern verweist Microsoft auf andere Lizenzen wie Defender for Servers.
Anderer Virenschutz auf den Geräten
Ein Virenschutz eines anderen Herstellers lässt sich laut Microsoft technisch parallel betreiben. Dann kann aber der Echtzeitschutz von Defender ausgeschaltet sein, und das Gerät erscheint im Portal als ungeschützt. Klären Sie deshalb vorab, welches Produkt auf welchen Geräten die Hauptrolle übernimmt.
Defender for Office 365 Plan 1 einrichten
Voreingestellte Richtlinien
Microsoft bietet voreingestellte Sicherheitsrichtlinien an, deren Einstellungen auf Empfehlungen von Microsoft beruhen und sich größtenteils nicht ändern lassen:
- Integrierter Schutz: Er ist standardmäßig eingeschaltet und gibt allen Nutzern einen Grundschutz durch „Sichere Anlagen“ und „Sichere Links“.
- Standard und Strikt: Diese Richtlinien weisen Sie Nutzern oder Gruppen selbst zu. Microsoft empfiehlt, mindestens eine davon zu verwenden. Erst dabei legen Sie fest, welche Personen und Domains gegen Identitätswechsel geschützt werden. Microsoft nennt dafür Obergrenzen von 350 Personen und 50 eigenen Domains je Richtlinie.
Absenderdomains absichern
Microsoft weist darauf hin, die E-Mail-Authentifizierung mit SPF, DKIM und DMARC für alle genutzten und ungenutzten Domains einzurichten. Das sind Einträge im DNS, mit denen andere Mailserver prüfen können, ob eine Mail wirklich von Ihrer Domain stammt. Sie helfen Microsoft 365, gefälschte Absender genauer zu erkennen.
Was Plan 1 nicht enthält
Einige bekannte Funktionen gehören zu Defender for Office 365 Plan 2 und sind in Business Premium nicht enthalten. Dazu zählen laut Microsoft das Trainingsmodul für Angriffssimulationen, der Threat Explorer und die automatische Untersuchung und Reaktion (AIR) für E-Mails. Plan 1 enthält stattdessen die „Echtzeiterkennungen“ zur Untersuchung. Wie Sie Phishing-Übungen auf anderem Weg fair gestalten, beschreibt unser Beitrag zu Phishing-Simulationen.
Im Betrieb: Wer kümmert sich um die Meldungen?
Beide Produkte melden Auffälligkeiten im Microsoft-Defender-Portal. Defender for Business enthält zusätzlich eine automatische Untersuchung und Behebung, eine automatische Unterbrechung von Angriffen und einen monatlichen Sicherheitsbericht. Diese Funktionen nehmen Arbeit ab. Sie ersetzen nach unserer Einschätzung aber nicht die Frage, wer Meldungen liest, bewertet und entscheidet.
Wir empfehlen, vor dem Einrichten schriftlich festzulegen:
- wer Warnungen und Vorfälle im Portal prüft und in welchem Rhythmus;
- wer außerhalb der Bürozeiten benachrichtigt wird;
- wer ein Gerät vom Netz trennen oder ein Konto sperren darf;
- wie Ausnahmen, etwa für Fachprogramme, beantragt und dokumentiert werden;
- wann ein Vorfall an die Geschäftsführung und an externe Stellen geht.
Wie sich Überwachung und Reaktion organisieren lassen, beschreibt unser Beitrag IT-Security-Monitoring: Angriffe erkennen und richtig reagieren. Für die Abläufe im Ernstfall hilft ein Incident-Response-Plan. Wie ein Dienstleister den Schutz der Endgeräte betreiben und die Meldungen bearbeiten kann, beschreibt unser Beitrag Managed Endpoint Security.
Häufige Missverständnisse
- „Business Premium enthält Defender for Endpoint Plan 2.“ Nein. Defender for Business enthält die Funktionen von Plan 1 und einige aus Plan 2. Defender for Endpoint Plan 2 gehört zum separat erhältlichen Zusatzpaket Microsoft Defender Suite for Business Premium.
- „Die Server sind mit abgedeckt.“ Nein, Server brauchen zusätzliche Lizenzen.
- „Defender for Office 365 schützt auch das Notebook.“ Nein. Es prüft Mails, Links und Dateien in den Microsoft-365-Diensten. Für das Gerät ist Defender for Business zuständig.
- „Nach dem Kauf ist alles eingeschaltet.“ Microsoft schreibt, dass Administratoren die Sicherheitseinstellungen nach der Einrichtung prüfen und konfigurieren müssen.
Wie wir Sie unterstützen
Die GSL Groß GmbH betreut kleine und mittelständische Unternehmen in Rheinland-Pfalz und Hessen von Idar-Oberstein aus; im Raum Darmstadt arbeitet sie dafür mit einem Partnersystemhaus zusammen. Mit dem Security-Check prüfen wir den Stand Ihrer IT-Sicherheit. Mit unseren Managed Services übernehmen wir den laufenden Betrieb Ihrer IT zum monatlichen Festpreis. Für die Überwachung und die Hilfe im Ernstfall bieten wir Managed Detection and Response an. Auf Wunsch setzen wir als Endpoint-Schutz auch CrowdStrike ein.
Sie haben Business Premium und möchten wissen, ob Defender bei Ihnen vollständig eingerichtet ist? Nehmen Sie Kontakt mit uns auf.