Schützen Sie die Sicherheitseinstellungen mit Manipulationsschutz

  • Gilt für:: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2, Microsoft Defender for Business, Microsoft Defender Antivirus

In diesem Artikel wird der Manipulationsschutz in Microsoft Defender for Endpoint beschrieben, wie er Sicherheitseinstellungen davor schützt, deaktiviert oder geändert zu werden, und wie er für Ihre Organisation konfiguriert und verwaltet wird.

Was ist Manipulationsschutz?

Manipulationsschutz ist eine Funktion in Microsoft Defender for Endpoint, die dabei hilft, bestimmte Sicherheitseinstellungen wie Viren- und Bedrohungsschutz davor zu schützen, deaktiviert oder geändert zu werden. Bei einigen Arten von Cyberangriffen versuchen bösgläubige Akteure, Sicherheitsfeatures auf Geräten zu deaktivieren. Das Deaktivieren von Sicherheitsfeatures bietet bösgläubigen Akteuren einen einfacheren Zugriff auf Ihre Daten, die Möglichkeit, Schadsoftware zu installieren und Ihre Daten, Identitäten und Geräte auszunutzen. Manipulationsschutz schützt vor Versuchen, Sicherheitsfeatures während Cyberangriffen zu deaktivieren oder zu ändern.

Der Manipulationsschutz ist Teil von Anti-Manipulationsfunktionen, die standardmäßige Regeln zur Verringerung der Angriffsfläche (Attack Surface Reduction, ASR) enthalten. Der Manipulationsschutz ist ein wichtiger Bestandteil des integrierten Schutzes.

Note

Microsoft führt eine kontrollierte Konfiguration ein, eine neue Funktion, die auf den Schutzmaßnahmen aufbaut, die der Manipulationsschutz bietet. Im Rahmen dieser Änderung wird die bestehende Manipulationsschutzeinstellung in den Verwaltungsoberflächen in „Kontrollierte Konfiguration“ umbenannt. Die aktuelle Funktionalität und das Verhalten des Manipulationsschutzes bleiben für bestehende Implementierungen unverändert. Organisationen erhalten durch diese Einstellungsumbenennung keine kontrollierten Konfigurationsschutzmaßnahmen. Sie müssen die gesteuerte Konfiguration ausdrücklich aktivieren, indem Sie eine Richtlinie für die gesteuerte Konfiguration über Microsoft Intune oder über die Verwaltung von Sicherheitseinstellungen in Microsoft Defender for Endpoint bereitstellen. Weitere Informationen finden Sie unter Kontrollierte Konfiguration in Microsoft Defender for Endpoint.

Voraussetzungen

Unterstützte Betriebssysteme

Manipulationsschutz ist für Geräte mit einem der folgenden Betriebssysteme verfügbar:

  • Windows
  • macOS
  • Windows 10 und 11 (einschließlich Enterprise multi-session)
  • Windows Server 2016 und höher
  • Windows Server, Version 1803 oder höher
  • Windows Server 2012 R2 (mit der modernen, einheitlichen Lösung)
  • Azure Stack HCI-Betriebssystem, Version 23H2 und höher.

Manipulationsschutz ist auch für Mac verfügbar, obwohl er etwas anders funktioniert als unter Windows. Weitere Informationen finden Sie unter Schützen von macOS-Sicherheitseinstellungen mit Manipulationsschutz.

Was geschieht, wenn der Manipulationsschutz aktiviert ist?

Wenn der Manipulationsschutz aktiviert ist, können die folgenden manipulationsgeschützten Einstellungen nicht geändert werden:

  • Viren- und Bedrohungsschutz bleibt aktiviert.
  • Der Echtzeitschutz bleibt aktiviert.
  • Die Verhaltensüberwachung bleibt aktiviert.
  • Antivirenschutz, einschließlich IOfficeAntivirus (IOAV) bleibt aktiviert.
  • Der Cloudschutz bleibt aktiviert.
  • Sicherheitsintelligenzupdates werden durchgeführt.
  • Bei erkannten Bedrohungen werden automatische Aktionen ausgeführt.
  • Benachrichtigungen sind in der Windows-Sicherheit-App auf Windows-Geräten sichtbar.
  • Archivierte Dateien werden gescannt.
  • Ausschlüsse können nicht geändert oder hinzugefügt werden (siehe Manipulationsschutz für Antivirenausschlüsse).

Ab Signaturversion 1.383.1159.0sperrt der Manipulationsschutz diese Einstellung aufgrund von Verwirrung über den Standardwert von „Scannen von Netzwerkdateien zulassen“ nicht mehr auf ihren Standardwert. In verwalteten Umgebungen ist enabledder Standardwert .

Wichtig

Wenn der Manipulationsschutz aktiviert ist, können manipulationsgeschützte Einstellungen nicht geändert werden. Um Beeinträchtigungen von Verwaltungsfunktionen zu vermeiden, einschließlich Verwalten von Manipulationsschutz mithilfe von Intune, Verwalten von Manipulationsschutz mithilfe von Microsoft Defender for Endpoint und Verwalten von Manipulationsschutz mithilfe von Konfigurations-Manager, beachten Sie, dass Änderungen an durch Manipulationsschutz geschützten Einstellungen möglicherweise erfolgreich zu sein scheinen, tatsächlich aber durch den Manipulationsschutz blockiert werden. Abhängig von Ihrem jeweiligen Szenario stehen Ihnen mehrere Optionen zur Verfügung:

  • Wenn Sie Änderungen an einem Gerät vornehmen müssen und diese Änderungen durch den Manipulationsschutz blockiert werden, können Sie den Problembehandlungsmodus verwenden, um den Manipulationsschutz auf dem Gerät vorübergehend zu deaktivieren.
  • Sie können Intune, Microsoft Defender for Endpoint oder Konfigurations-Manager verwenden, um Geräte vom Manipulationsschutz auszuschließen.

Der Manipulationsschutz hindert Sie nicht daran, Ihre Sicherheitseinstellungen anzuzeigen. Und der Manipulationsschutz wirkt sich nicht darauf aus, wie nicht von Microsoft stammende Antiviren-Apps bei der Windows-Sicherheit-App registriert werden. Wenn Ihr organization Defender für Endpunkt verwendet, können einzelne Benutzer die Einstellung für den Manipulationsschutz nicht ändern. In diesen Fällen verwaltet Ihr Sicherheitsteam den Manipulationsschutz. Sie können den Manipulationsschutz mithilfe des Microsoft Defender Portals, Microsoft Intune, Konfigurations-Manager oder der Windows-Sicherheit-App konfigurieren oder verwalten.

Tipp

Der integrierte Schutz hilft, vor Ransomware zu schützen , umfasst standardmäßig das Aktivieren des Manipulationsschutzes. Weitere Informationen finden Sie unter:

Manipulationsschutz auf Windows Server 2012 R2, 2016 oder Windows Version 1709, 1803 oder 1809

Wenn Sie Windows Server 2012 R2 mit der modernen einheitlichen Lösung Windows Server 2016, Windows 10 Version 1709, 1803 oder 1809 (Windows 10 Version 1809 und Windows Server 2019) verwenden, wird der Manipulationsschutz nicht angezeigt. in der Windows-Sicherheit-App. Stattdessen können Sie powerShell verwenden, um zu bestimmen, ob der Manipulationsschutz aktiviert ist.

Wichtig

Auf Windows Server 2016 spiegelt die Einstellungs-App nicht genau die status des Echtzeitschutzes wider, wenn der Manipulationsschutz aktiviert ist.

Verwenden von PowerShell, um zu bestimmen, ob Manipulationsschutz und Echtzeitschutz aktiviert sind

Führen Sie die folgenden Schritte aus, um zu überprüfen, ob Manipulationsschutz und Echtzeitschutz auf einem Gerät aktiviert sind:

  1. Öffnen Sie die Windows PowerShell-App.

  2. Verwenden Sie das PowerShell-Cmdlet Get-MpComputerStatus .

  3. Suchen Sie in der Ergebnisliste nach IsTamperProtected und RealTimeProtectionEnabled. (Der Wert true bedeutet, dass der Manipulationsschutz aktiviert ist.)

Wie konfiguriere oder verwalte ich den Manipulationsschutz?

Sie können Microsoft Intune und andere Methoden verwenden, um den Manipulationsschutz zu konfigurieren oder zu verwalten, wie in der folgenden Tabelle aufgeführt:

Methode Mögliche Aktionen
Verwenden Sie das Microsoft Defender-Portal. Aktivieren oder deaktivieren Sie den Manipulationsschutz mandantenweit, oder wenden Sie den Manipulationsschutz auf einige Benutzer/Geräte an. Sie können bestimmte Geräte vom Manipulationsschutz ausschließen. Siehe Verwalten des Manipulationsschutzes für Ihre Organisation mit Microsoft Defender XDR.

Verwenden Sie das Microsoft Intune Admin Center oder Konfigurations-Manager. Aktivieren oder deaktivieren Sie den Manipulationsschutz mandantenweit, oder wenden Sie den Manipulationsschutz auf einige Benutzer/Geräte an. Sie können bestimmte Geräte vom Manipulationsschutz ausschließen. Siehe Verwalten des Manipulationsschutzes für Ihre Organisation mit Intune.

Schützen Sie Microsoft Defender Antivirusausschlüsse vor Manipulationen, wenn Sie nur Intune oder nur Konfigurations-Manager verwenden. Siehe Manipulationsschutz für Antivirenausschlüsse.
Verwenden Sie Konfigurations-Manager mit Mandantenanbindung. Aktivieren oder deaktivieren Sie den Manipulationsschutz mandantenweit, oder wenden Sie den Manipulationsschutz auf einige Benutzer/Geräte an. Sie können bestimmte Geräte vom Manipulationsschutz ausschließen. Siehe Verwalten des Manipulationsschutzes für Ihre Organisation mithilfe der Mandantenanbindung in Konfigurations-Manager, Version 2006.
Verwenden Sie die Windows-Sicherheit-App. Aktivieren (oder deaktivieren) Sie den Manipulationsschutz auf einem einzelnen Gerät, das nicht von einem Sicherheitsteam verwaltet wird (z. B. Geräte für den privaten Gebrauch). Weitere Informationen finden Sie unter Verwalten des Manipulationsschutzes auf einem einzelnen Gerät.

Diese Methode überschreibt keine Einstellungen für den Manipulationsschutz, die im Microsoft Defender-Portal, Intune oder Konfigurations-Manager festgelegt sind, und ist nicht für die Verwendung von Organisationen vorgesehen.

Tipp

Wenn Sie Gruppenrichtlinie verwenden, um Microsoft Defender Antiviruseinstellungen zu verwalten, denken Sie daran, dass änderungen an manipulationsgeschützten Einstellungen ignoriert werden. Wenn Sie Änderungen an einem Gerät vornehmen müssen und diese Änderungen durch den Manipulationsschutz blockiert werden, verwenden Sie den Problembehandlungsmodus , um den Manipulationsschutz auf dem Gerät vorübergehend zu deaktivieren. Nachdem der Problembehandlungsmodus beendet wurde, werden alle Änderungen, die an manipulationsgeschützten Einstellungen vorgenommen wurden, in den konfigurierten Zustand zurückgesetzt. Um die Werte für manipulationsgeschützte Einstellungen dauerhaft zu ändern, deaktivieren Sie den Manipulationsschutz vorübergehend, bevor Sie ihn nach der Änderung der Einstellungen wieder aktivieren. Beachten Sie, dass das vorübergehende Deaktivieren des Manipulationsschutzes Sicherheitsrisiken darstellen kann und nicht auf Geräten funktioniert, die offline sind, wenn der Manipulationsschutz vorübergehend deaktiviert wurde. Da das vorübergehende Deaktivieren des Manipulationsschutzes Sicherheitsrisiken darstellt und nicht auf Offlinegeräten funktioniert, empfehlen wir die Verwendung anderer Verwaltungsmethoden für Defender für Endpunkteinstellungen, z. B. Intune, anstelle von Gruppenrichtlinien.

Schützen Sie die Microsoft Defender Antivirus-Ausschlüsse

Unter bestimmten Bedingungen kann der Manipulationsschutz Ausschlüsse schützen, die für Microsoft Defender Antivirus definiert sind. Weitere Informationen finden Sie unter Manipulationsschutz für Ausschlüsse.

Anzeigen von Informationen zu Manipulationsversuchen

Manipulationsversuche deuten in der Regel darauf hin, dass ein größerer Cyberangriff stattgefunden hat. Ungültige Akteure versuchen, Sicherheitseinstellungen zu ändern, um dauerhaft zu bleiben und unentdeckt zu bleiben. Wenn Sie Mitglied des Sicherheitsteams Ihrer Organisation sind, können Sie Informationen über solche Versuche einsehen und anschließend geeignete Maßnahmen ergreifen, um Bedrohungen zu minimieren.

Wenn ein Manipulationsversuch erkannt wird, wird eine Warnung im Microsoft Defender Portal (security.microsoft.com) ausgelöst.

Mithilfe von Endpunkterkennung und -antwort sowie erweiterten Suchfunktionen in Microsoft Defender for Endpoint kann Ihr Sicherheitsteam solche Versuche untersuchen und angehen.

Überprüfen Ihrer Sicherheitsempfehlungen

Manipulationsschutz lässt sich in Microsoft Defender Vulnerability Management Funktionen integrieren. Zu den Sicherheitsempfehlungen gehört, dass der Manipulationsschutz aktiviert ist. Zum Beispiel können Sie in Ihrem Dashboard für das Schwachstellenmanagement nach tamper suchen. In den Ergebnissen können Sie Manipulationsschutz aktivieren auswählen, um mehr zu erfahren und ihn zu aktivieren.

Weitere Informationen zu Microsoft Defender Vulnerability Management finden Sie unter Dashboardeinblicke – Defender Vulnerability Management.

Verwandte Inhalte

  • Last updated on