Verwenden der Microsoft Intune-Richtlinie zum Verwalten von Regeln zur Angriffsflächenreduzierung

Wenn Defender Antivirus auf Ihren Windows-Geräten verwendet wird, können Sie Microsoft Intune-Endpunktsicherheitsrichtlinien zur Verringerung der Angriffsfläche verwenden, um diese Einstellungen auf Ihren Geräten zu verwalten.

Sie können Richtlinien zur Verringerung der Angriffsfläche (ASR) verwenden, um die Angriffsfläche von Geräten zu reduzieren, indem Sie die Orte minimieren, an denen Ihre Organization anfällig für Cyberbedrohungen und Angriffe ist. Intune ASR-Richtlinien unterstützen die folgenden Profile:

  • Regeln zur Verringerung der Angriffsfläche: Verwenden Sie dieses Profil, um Verhaltensweisen zu bekämpfen, die Schadsoftware und bösartige Apps normalerweise verwenden, um Computer zu infizieren. Beispiele für diese Verhaltensweisen sind die Verwendung von ausführbaren Dateien und Skripts in Office-Apps, Webmail, die versucht, Dateien herunterzuladen oder auszuführen, und verschleierte oder anderweitig verdächtige Skripts, Verhaltensweisen, die von Apps im normalen Arbeitsalltag normalerweise nicht initiiert werden.

  • Gerätesteuerung: Verwenden Sie dieses Profil, um Wechselmedien durch Steuerungen zuzulassen, zu blockieren und anderweitig zu sichern, die überwachen und verhindern können, dass Bedrohungen durch nicht autorisierte Peripheriegeräte Ihre Geräte gefährden.

Weitere Informationen finden Sie unter [Übersicht über die Angriffsflächenreduzierung] (/ /windows/security/threat-protection/microsoft-defender-atp/overview-attack-surface-reduction) in der Dokumentation zum Schutz vor Windows-Bedrohungen.

Richtlinien zur Verringerung der Angriffsfläche finden Sie im Knoten Endpunktsicherheit des Microsoft Intune Admin Center.

Gilt für:

Voraussetzungen für Profile zur Verringerung der Angriffsfläche

  • Geräte müssen Windows
  • Defender Antivirus muss das primäre Antivirenprogramm auf dem Gerät sein

Unterstützung für die Sicherheitsverwaltung für Microsoft Defender für Endpunkt:

Wenn Sie die Sicherheitsverwaltung für Microsoft Defender für Endpunkt verwenden, um Geräte zu unterstützen, die Sie in Defender ohne Registrierung bei Intune eingebunden haben, gilt die Verringerung der Angriffsfläche für Geräte unter Windows und Windows Server. Weitere Informationen finden Sie unter ASR-Regeln unterstützten Betriebssysteme in der Dokumentation zum Schutz vor Windows-Bedrohungen.

Unterstützung für Konfigurations-Manager-Clients:

Dieses Szenario befindet sich in der Vorschau und erfordert die Verwendung von Konfigurations-Manager Current Branch Version 2006 oder höher.

  • Einrichten der Mandantenanfügung für Konfigurations-Manager-Geräte: Um die Bereitstellung der Richtlinie zur Verringerung der Angriffsfläche auf Geräten zu unterstützen, die von Konfigurations-Manager verwaltet werden, konfigurieren Sie die Mandantenanfügung. Die Einrichtung der Mandantenanfügung umfasst das Konfigurieren von Konfigurations-Manager-Gerätesammlungen zur Unterstützung von Endpunktsicherheitsrichtlinien von Intune.

    Informationen zum Einrichten der Mandantenanfügung finden Sie unter Konfigurieren der Mandantenanfügung zur Unterstützung von Endpoint Protection-Richtlinien.

Rollenbasierte Zugriffssteuerung (RBAC)

Anleitungen zum Zuweisen der richtigen Berechtigungs- und Rechtestufe zum Verwalten der Richtlinie zur Reduzierung der Angriffsfläche von Intune finden Sie unter Rollenbasierte Zugriffssteuerung für Endpunktsicherheit.

Profile zur Verringerung der Angriffsfläche

Die verfügbaren Profile für die Richtlinie zur Reduzierung der Angriffsfläche hängen von der ausgewählten Plattform ab.

Informationen zum Erstellen einer Richtlinie zur Verringerung der Angriffsfläche finden Sie unter Erstellen einer Endpunktsicherheitsrichtlinie. Wenn Sie während der Richtlinienerstellung dazu aufgefordert werden, wählen Sie die Windows-Plattform und dann das Profil aus, das Sie konfigurieren möchten.

Hinweis

Die meisten Profile zur Verringerung der Angriffsfläche verwenden das Format "Einstellungskatalog". Das Anwendungssteuerungsprofil ist eine Ausnahme – es behält das ältere vorlagenbasierte Format bei. Weitere Informationen finden Sie im Abschnitt " Anwendungssteuerungsprofileintrag " in der folgenden Profilliste.

Von Intune verwaltete Geräte

Plattform: Windows:

Profile für diese Plattform werden auf Windows-Geräten unterstützt, die bei Intune registriert sind.

  • Regeln zur Verringerung der Angriffsfläche

Verfügbare Profile für diese Plattform umfassen:

  • Regeln zur Verringerung der Angriffsfläche – Konfigurieren Sie Einstellungen für Regeln zur Verringerung der Angriffsfläche, die auf Verhaltensweisen abzielen, die Schadsoftware und bösartige Apps normalerweise verwenden, um Computer zu infizieren, einschließlich:

    • Ausführbare Dateien und Skripts, die in Office-Apps oder Webmail verwendet werden und versuchen, Dateien herunterzuladen oder auszuführen
    • Verschleierte oder anderweitig verdächtige Skripte
    • Verhaltensweisen, die von Apps normalerweise nicht während des normalen Arbeitsalltags gestartet werden

    Wenn Sie Ihre Angriffsfläche reduzieren, haben Sie Angreifern weniger Möglichkeiten, Angriffe durchzuführen.

    Zusammenführungsverhalten für Regeln zur Verringerung der Angriffsfläche in Intune:

    Regeln zur Verringerung der Angriffsfläche unterstützen eine Zusammenführung von Einstellungen aus verschiedenen Richtlinien, um eine Obermenge von Richtlinien für jedes Gerät zu erstellen. Einstellungen, die nicht in Konflikt stehen, werden zusammengeführt, während Einstellungen, die im Konflikt stehen, nicht zur Obermenge der Regeln hinzugefügt werden. Wenn zuvor zwei Richtlinien Konflikte für eine einzelne Einstellung enthielten, wurden beide Richtlinien als in Konflikt stehend gekennzeichnet, und es wurden keine Einstellungen aus beiden Profilen bereitgestellt.

    Das Zusammenführungsverhalten der Regel zur Verringerung der Angriffsfläche ist wie folgt:

    • Regeln zur Verringerung der Angriffsfläche aus den folgenden Profilen werden für jedes Gerät ausgewertet, für das die Regeln gelten:
      • Konfigurationsrichtlinie > für Geräte > Endpoint Protection-Profil > Microsoft Defender Exploit Guard >Verringerung der Angriffsfläche
      • Endpunktsicherheit > Richtlinie > zur Verringerung der Angriffsfläche Regeln zur Verringerung der Angriffsfläche
      • Endpunktsicherheit > Sicherheitsbaselines Baseline > für Microsoft Defender für Endpunkt Baselineregeln >zur Verringerung der Angriffsfläche.
    • Einstellungen, die keine Konflikte aufweisen, werden einer Obermenge der Richtlinie für das Gerät hinzugefügt.
    • Wenn zwei oder mehr Richtlinien widersprüchliche Einstellungen haben, werden die in Konflikt stehenden Einstellungen nicht der kombinierten Richtlinie hinzugefügt, während Einstellungen, die nicht in Konflikt stehen, der übergeordneten Richtlinie hinzugefügt werden, die für ein Gerät gilt.
    • Es werden nur die Konfigurationen für in Konflikt stehende Einstellungen zurückgehalten.

  • Gerätesteuerung – Mit den Einstellungen für die Gerätesteuerung können Sie Geräte für einen mehrschichtigen Ansatz zum Sichern von Wechselmedien konfigurieren. Microsoft Defender für Endpunkt bietet mehrere Überwachungs- und Steuerungsfeatures, um zu verhindern, dass Bedrohungen in nicht autorisierten Peripheriegeräten Ihre Geräte gefährden.

    Intune-Profile für die Unterstützung der Gerätesteuerung:

    Weitere Informationen zur Gerätesteuerung in Microsoft Defender für Endpunkt finden Sie in den folgenden Artikeln der Defender-Dokumentation:

  • App- und Browserisolation – Verwalten Sie die Einstellungen für Windows Defender Application Guard (Application Guard) als Teil von Defender für Endpunkt. Application Guard hilft dabei, alte und neu aufkommende Angriffe zu verhindern, und kann unternehmensdefinierte Websites als nicht vertrauenswürdig isolieren und gleichzeitig definieren, welche Websites, Cloudressourcen und internen Netzwerke vertrauenswürdig sind.

    Weitere Informationen finden Sie unter Application Guard in der Dokumentation zu Microsoft Defender für Endpunkt.

  • Anwendungssteuerung – Einstellungen für die Anwendungssteuerung können dazu beitragen, Sicherheitsbedrohungen zu mindern, indem sie die Anwendungen, die Benutzer ausführen können, und den Code, der im Systemkern (Kernel) ausgeführt wird, einschränken. Verwalten Sie Einstellungen, die nicht signierte Skripts und MSIs blockieren und die Ausführung von Windows PowerShell im eingeschränkten Sprachmodus einschränken können.

    Hinweis

    Im Gegensatz zu anderen ASR-Profilen wurden die Einstellungen im Anwendungssteuerungsprofil nicht auf das Format "Einstellungskatalog" aktualisiert. Vorhandene Richtlinien bleiben voll funktionsfähig, aber das Profil verwendet das ältere vorlagenbasierte Format im Admin Center. Außerdem fordert das AppLocker-CSP-Verhalten den Endbenutzer derzeit auf, seinen Computer neu zu starten, wenn eine Richtlinie bereitgestellt wird.

    Weitere Informationen finden Sie unter "Anwendungssteuerung" in der Dokumentation zu Microsoft Defender für Endpunkt.

  • Exploit-Schutz – Einstellungen für den Exploit-Schutz können zum Schutz vor Schadsoftware beitragen, die Exploits verwendet, um Geräte zu infizieren und zu verbreiten. Der Exploit-Schutz besteht aus vielen Risikominderungen, die entweder für das Betriebssystem oder für einzelne Apps gelten können.

  • Webschutz (Vorgängerversion von Microsoft Edge) – Einstellungen, die Sie für den Webschutz in Microsoft Defender für Endpunkt verwalten können Konfigurieren Sie den Netzwerkschutz, um Ihre Computer vor Webbedrohungen zu schützen. Wenn Sie Microsoft Edge oder Browser von Drittanbietern wie Chrome und Firefox integrieren, stoppt der Webschutz Webbedrohungen ohne einen Webproxy und kann Computer schützen, während sie abwesend oder vor Ort sind. Der Webschutz beendet den Zugriff auf:

    • Phishingwebsites
    • Vektoren von Schadsoftware
    • Exploitwebsites
    • Nicht vertrauenswürdige Websites oder Websites mit schlechtem Ruf
    • Websites, die Sie mithilfe einer benutzerdefinierten Indikatorliste blockiert haben.

    Weitere Informationen finden Sie unter Webschutz in der Dokumentation zu Microsoft Defender für Endpunkt.

Geräte, die von Defender für Endpunkt verwaltet werden Verwaltung der Sicherheitseinstellungen

Wenn Sie das Szenario Sicherheitsverwaltung für Microsoft Defender für Endpunkt verwenden, um von Defender verwaltete Geräte zu unterstützen, die nicht bei Intune registriert sind, können Sie die Windows-Plattform verwenden, um Einstellungen auf Geräten zu verwalten, auf denen Windows und Windows Server ausgeführt wird. Weitere Informationen finden Sie unter ASR-Regeln unterstützten Betriebssysteme in der Dokumentation zum Schutz vor Windows-Bedrohungen.

Für dieses Szenario werden folgende Profile unterstützt:

  • Regeln zur Verringerung der Angriffsfläche : Konfigurieren Sie Einstellungen für Regeln zur Verringerung der Angriffsfläche, die auf Verhaltensweisen abzielen, die Schadsoftware und schädliche Apps normalerweise verwenden, um Computer zu infizieren, einschließlich:
    • Ausführbare Dateien und Skripts, die in Office-Apps oder Webmail verwendet werden, die versuchen, Dateien herunterzuladen oder auszuführen.
    • Verschleierte oder anderweitig verdächtige Skripte.
    • Verhaltensweisen, die von Apps im normalen Arbeitsalltag normalerweise nicht gestartet werden Wenn Sie Ihre Angriffsfläche reduzieren, haben Sie weniger Angriffsmöglichkeiten für Angreifer.

Wichtig

Nur das Regelprofil zur Verringerung der Angriffsfläche wird von der Sicherheitsverwaltung für Microsoft Defender for Endpoint unterstützt. Alle anderen Profile zur Verringerung der Angriffsfläche werden nicht unterstützt.

Mit Konfigurations-Manager verwaltete Geräte

Verringerung der Angriffsfläche

Der Support für Geräte, die von Konfigurations-Manager verwaltet werden, befindet sich in der Vorschauphase.

Verwalten Sie die Einstellungen für die Angriffsflächenreduzierung für Konfigurations-Manager-Geräte, wenn Sie den Mandantenanschluss verwenden.

Richtlinienpfad:

  • Endpunktsicherheit > Verringerung der Angriffsfläche > in Windows (ConfigMgr)

Steckbriefe:

  • App- und Browserisolation (ConfigMgr)
  • Regeln zur Verringerung der Angriffsfläche (ConfigMgr)
  • Exploit-Schutz (ConfigMgr) (Vorschau)
  • Webschutz (ConfigMgr) (Vorschau)

Erforderliche Version von Konfigurations-Manager:

  • Konfigurations-Manager Current Branch, Version 2006 oder höher

Unterstützte Konfigurations-Manager-Geräteplattformen:

  • Windows (x86, x64, ARM64)

Wichtig

Am 14. Oktober 2025 hat Windows 10 das Ende des Supports erreicht und erhält keine Qualitäts- und Funktionsupdates. Windows 10 ist eine zulässige Version in Intune. Geräte, auf denen diese Version ausgeführt wird, können sich weiterhin bei Intune registrieren und berechtigte Features verwenden, aber die Funktionalität wird nicht garantiert und kann variieren.

Wiederverwendbare Einstellungsgruppen für Gerätesteuerungsprofile

In der Public Preview unterstützen Gerätesteuerungsprofile die Verwendung wiederverwendbarer Einstellungsgruppen , um die Einstellungen für die folgenden Einstellungsgruppen auf Geräten für die Windows-Plattform zu verwalten:

  • Druckergerät: Die folgenden Gerätesteuerungsprofileinstellungen sind für das Druckergerät verfügbar:

    • PrimaryId
    • PrinterConnectionID
    • VID_PID

    Informationen zu Druckergeräteoptionen finden Sie unter Übersicht über den Druckerschutz in der Dokumentation zu Microsoft Defender für Endpunkt.

  • Wechselmedien: Die folgenden Einstellungen für das Gerätesteuerungsprofil sind für Wechselmedien verfügbar:

    • Geräteklasse
    • Geräte-ID
    • Hardware-ID
    • Instanz-ID
    • Primäre ID
    • Produkt-ID
    • Seriennummer
    • Anbieter-ID
    • Anbieter-ID und Produkt-ID

    Informationen zu Wechselspeicheroptionen finden Sie unter Microsoft Defender for Endpoint Device Control Access Control in der Dokumentation zu Microsoft Defender for Endpoint.

Wenn Sie eine Gruppe wiederverwendbarer Einstellungen mit einem Gerätesteuerungsprofil verwenden, konfigurieren Sie Aktionen , um zu definieren, wie die Einstellungen in diesen Gruppen verwendet werden.

Jede Regel, die Sie dem Profil hinzufügen, kann sowohl wiederverwendbare Einstellungsgruppen als auch einzelne Einstellungen enthalten, die der Regel direkt hinzugefügt werden. Erwägen Sie jedoch, jede Regel entweder für wiederverwendbare Einstellungsgruppen oder zum Verwalten von Einstellungen zu verwenden, die Sie der Regel direkt hinzufügen. Diese Trennung kann dazu beitragen, zukünftige Konfigurationen oder Änderungen zu vereinfachen, die Sie möglicherweise vornehmen.

Anleitungen zum Konfigurieren wiederverwendbarer Gruppen und deren anschließendem Hinzufügen zu diesem Profil finden Sie unter Verwenden wiederverwendbarer Gruppen von Einstellungen mit Intune-Richtlinien.

Ausschlüsse für Regeln zur Verringerung der Angriffsfläche

Intune unterstützt die folgenden beiden Einstellungen, um bestimmte Datei- und Ordnerpfade von der Auswertung durch Regeln zur Verringerung der Angriffsfläche auszuschließen:

  • Global: Verwenden Sie nur Ausschlüsse bei der Angriffsflächenreduzierung.

    Screenshot der Einstellung

    Wenn einem Gerät mindestens eine Richtlinie zugewiesen wird, die Ausschlüsse nur für die Angriffsflächenreduzierung konfiguriert, gelten die konfigurierten Ausschlüsse für alle Regeln zur Verringerung der Angriffsfläche, die auf dieses Gerät abzielen. Dieses Verhalten tritt auf, weil Geräte eine Obermenge von Regeleinstellungen zur Verringerung der Angriffsfläche aus allen anwendbaren Richtlinien erhalten und die Einstellungsausschlüsse nicht für einzelne Einstellungen verwaltet werden können. Um zu vermeiden, dass Ausschlüsse auf alle Einstellungen auf einem Gerät angewendet werden, verwenden Sie diese Einstellung nicht. Konfigurieren Sie stattdessen ASR nur pro Regelausschlüsse für einzelne Einstellungen.

    Weitere Informationen finden Sie in der Dokumentation zum Defender-CSP: Defender/AttackSurfaceReductionOnlyExclusions.

  • Individuelle Einstellungen: ASR nur pro Regelausschluss verwenden

    Screenshot der Einstellung

    Wenn Sie eine anwendbare Einstellung in einem Regelprofil zur Verringerung der Angriffsfläche auf etwas anderes als "Nicht konfiguriert" festlegen, bietet Intune die Option, ASR-Ausschlüsse nur pro Regel für diese einzelne Einstellung zu verwenden. Mit dieser Option können Sie einen Datei- und Ordnerausschluss konfigurieren, der auf einzelne Einstellungen isoliert ist, im Gegensatz zur Verwendung der globalen Einstellung Nur Ausschlüsse zur Verringerung der Angriffsfläche , die ihre Ausschlüsse auf alle Einstellungen auf dem Gerät anwendet.

    Standardmäßig ist ASR Nur pro Regelausschlüsse auf Nicht konfiguriert festgelegt.

Zusammenführung von Richtlinien für Einstellungen

Durch die Zusammenführung von Richtlinien können Konflikte vermieden werden, wenn mehrere Profile, die für dasselbe Gerät gelten, dieselbe Einstellung mit unterschiedlichen Werten konfigurieren, wodurch ein Konflikt entsteht. Um Konflikte zu vermeiden, wertet Intune die anwendbaren Einstellungen aus jedem Profil aus, das für das Gerät gilt. Diese Einstellungen werden dann zu einer einzigen Obermenge von Einstellungen zusammengeführt.

Für die Richtlinie zur Verringerung der Angriffsfläche unterstützen die folgenden Profile die Zusammenführung von Richtlinien:

  • Gerätesteuerung

Zusammenführen von Richtlinien für Gerätesteuerungsprofile

Gerätesteuerungsprofile unterstützen das Zusammenführen von Richtlinien für USB-Geräte-IDs. Die Profileinstellungen, mit denen Geräte-IDs verwaltet und die Zusammenführung von Richtlinien unterstützt werden, umfassen:

  • Installation von Hardwaregeräten anhand von Gerätebezeichnern zulassen
  • Blockieren der Installation von Hardwaregeräten nach Gerätebezeichnern
  • Installation von Hardwaregeräten nach Setupklassen zulassen
  • Blockieren der Installation von Hardwaregeräten nach Setupklassen
  • Installation von Hardwaregeräten anhand von "Device instance"-IDs zulassen
  • Blockieren der Installation von Hardwaregeräten nach Geräte-instance-IDs

Die Richtlinienzusammenführung gilt für die Konfiguration jeder Einstellung in den verschiedenen Profilen, die diese spezifische Einstellung auf ein Gerät anwenden. Das Ergebnis ist eine einzige Liste für jede der unterstützten Einstellungen, die auf ein Gerät angewendet werden. Zum Beispiel:

  • Die Richtlinienzusammenführung wertet die Listen der Setupklassen aus, die in jeder Instanz von Hardwaregeräteinstallation zulassen nach Setupklassen konfiguriert wurden, die für ein Gerät gelten. Die Listen werden in einer einzigen Zulassungsliste zusammengeführt, in der alle doppelten Setupklassen entfernt werden.

    Duplikate werden aus der Liste entfernt, um die gemeinsame Konfliktquelle zu beseitigen. Die kombinierte Zulassungsliste wird dann an das Gerät übermittelt.

Beim Zusammenführen von Richtlinien werden die Konfigurationen aus verschiedenen Einstellungen nicht verglichen oder zusammengeführt. Zum Beispiel:

  • Ausgehend vom ersten Beispiel, in dem mehrere Listen aus "Hardwaregeräteinstallation nach Setupklassen zulassen " in einer einzigen Liste zusammengeführt wurden, haben Sie mehrere Instanzen von "Hardwaregeräteinstallation blockieren" nach Setupklassen , die für dasselbe Gerät gelten. Alle zugehörigen Blocklisten werden in einer einzigen Blockliste für das Gerät zusammengeführt, die dann auf dem Gerät bereitgestellt wird.

    • Die Zulassungsliste für Setupklassen wird weder verglichen noch mit der Blockliste für Setupklassen zusammengeführt.
    • Stattdessen empfängt das Gerät beide Listen, da sie aus zwei verschiedenen Einstellungen stammen. Das Gerät erzwingt dann die restriktivste Einstellung für die Installation durch Setupklassen.

    In diesem Beispiel überschreibt eine in der Blockliste definierte Setupklasse dieselbe Setupklasse, wenn sie in der Zulassungsliste gefunden wird. Das Ergebnis wäre, dass die Setupklasse auf dem Gerät blockiert wird.

Nächste Schritte

Konfigurieren Sie Endpunktsicherheitsrichtlinien.

Zeigen Sie Details für die Einstellungen in Profilen für Profile zur Verringerung der Angriffsfläche an.

  • Last updated on