Kontrollierte Konfiguration in Microsoft Defender for Endpoint

Important

Die in diesem Artikel beschriebenen Features befinden sich derzeit in der Vorschauphase, sind nicht in allen Organisationen verfügbar und können sich ändern.

Kontrollierte Konfiguration ist ein Konfigurationsdurchsetzungsmodell, das cloud-verwaltete Richtlinien zur einzigen Wahrheitsquelle für Microsoft Defender Antivirus-Einstellungen macht. Wenn eine gesteuerte Konfiguration aktiviert ist, haben Intune und Microsoft Defender for Endpoint-Richtlinien Vorrang. Das Gerät ignoriert Einstellungen aus der Gruppenrichtlinie, Skripten, dem Microsoft Configuration Manager und lokalen Administratoränderungen.

Kontrollierte Konfiguration beseitigt Konfigurationsabweichungen und Richtlinienkonflikte, indem die Manipulationsschutz-ähnliche Durchsetzung auf die gesamte Defender Antivirus-Konfigurationsoberfläche ausgeweitet wird.

Manipulationsschutz und kontrollierte Konfiguration sind komplementäre, aber unterschiedliche Funktionen:

Funktion	Schutz vor Manipulation	Kontrollierte Konfiguration
Scope	Kleines, festes Set von Sicherheitseinstellungen (~10-13 Einstellungen)	Die gesamte Defender Antivirus-Konfigurationsoberfläche
Konfigurationsquelle	Nur von Microsoft definierte Standardwerte	Organisationsdefinierte Cloud-Richtlinie (Intune/Defender for Endpoint)
Anpassung	Keine Anpassung	Volle politikgesteuerte Kontrolle
Erzwingung	Verhindert, dass kritische Schutzmaßnahmen deaktiviert werden	Überschreibt alle Nicht-Cloud-Konfigurationskanäle

Kontrollierte Konfiguration ist ein Superset von Manipulationsschutz, das eine richtlinienbasierte Kontrolle über die vollständige Microsoft Defender Antivirus-Konfiguration bietet.

Note

Obwohl Manipulationsschutz und kontrollierte Konfiguration technisch gesehen gleichzeitig aktiviert werden können, empfehlen wir, dass Ihre Organisation eine der beiden wählt.

Prerequisites

• Geräte müssen für Microsoft Defender for Endpoint onboardet werden.
• Geräte müssen über Microsoft Intune oder die Verwaltung von Sicherheitseinstellungen in Defender for Endpoint verwaltet werden.
• Geräte müssen Windows 10, Windows 11 oder Windows Server 2019 ausführen.
• Geräte müssen die Microsoft Defender for Endpoint EDR Sensor-Version später als 10.8804 (September 2025) ausführen.
• Geräte müssen die Microsoft Defender Antivirus Platform Version 4.18.26060.3004 oder später (Juni 2026) ausführen.

Die kontrollierte Konfiguration unterstützt derzeit nicht:

• Co-Management-Umgebungen (Konfigurations-Manager + Intune).
• GCC High-Umgebungen.

Was eine gesteuerte Konfiguration umfasst

Derzeit bietet die kontrollierte Konfiguration Schutz und Durchsetzung für die Microsoft Defender Antivirus-Einstellungen, darunter:

• Antivirus-Konfiguration (Scan-Einstellungen, Ausschlüsse, Updates)
• Richtlinien zur Verringerung von Angriffsflächen (ASR)
• Defender Configuration Service Provider (CSP) und Policy CSP Surface (breites Set von antivirus-bezogenen Kontrollen)
• Lokales Admin-Zusammenführungsverhalten

Derzeit umfasst die kontrollierte Konfiguration nicht:

• Microsoft Defender Gerätesteuerung
• Endpunkterkennung und -reaktion (EDR)-Einstellungen
• Windows-Betriebssystemeinstellungen (wie Firewall)

Wie kontrollierte Konfigurationsdurchsetzung funktioniert

Kontrollierte Konfiguration setzt cloud-verwaltete Richtlinien durch drei Mechanismen durch:

• Erzwingung aus einer einzigen Quelle: Wenn die gesteuerte Konfiguration aktiviert ist, gelten die folgenden Erzwingungsregeln:

  • Nur die Richtlinien von Intune und Defender for Endpoint werden für die Defender Antivirus-Einstellungen anerkannt.
  • Group Policy Object (GPO), Skripte, Konfigurations-Manager und lokale Administratoränderungen werden ignoriert.
  • Microsoft Defender Antivirus berücksichtigt lokale Ausschlüsse nicht. Organisationen können weiterhin lokal von Administratoren definierte Ausschlüsse zulassen, indem sie die lokale Administrator-Merge-Einstellung über die Richtlinie aktivieren. Wenn die Zusammenführung lokaler Administratoren aktiviert ist, können lokal definierte Ausschlüsse mit zentral verwalteten Ausschlüssen zusammengeführt werden.

• Sichere Standardeinstellungen: Wenn eine Einstellung nicht explizit in einer Richtlinie konfiguriert ist, wendet die kontrollierte Konfiguration Microsoft-definierte Standardwerte an. Dieses Verhalten stellt sicher, dass Geräte eine starke Sicherheitslage aufrechterhalten, selbst wenn Administratoren nicht alle verfügbaren Einstellungen konfiguriert haben.

• Konfliktlösung: Die gesteuerte Konfiguration verwendet ein wertbasiertes Vorrangmodell statt eines Last-Write-Wins-Modells:

  • On hat Vorrang vor Off. Wenn eine Richtlinie die kontrollierte Konfiguration auf An und eine andere auf Aus setzt, bleibt die Funktion auf dem Gerät aktiviert.
  • Wenn mehrere Richtlinien unterschiedliche Werte zuweisen, wird ein Konflikt gemeldet, aber der Wert „On“ wird dennoch erzwungen.
  • Wenn mehrere Richtlinien denselben Wert zuweisen, ist das Ergebnis Erfolg ohne Konflikte.

  Important

  Nicht konfiguriert bedeutet nicht Aus. Um die Funktion zu deaktivieren, implementiere explizit eine Richtlinie, die die kontrollierte Konfiguration auf Aus setzt.

Aktivieren der kontrollierten Konfiguration

Sie können kontrollierte Konfigurationen entweder über Microsoft Intune oder Microsoft Defender for Endpoint Sicherheitseinstellungsverwaltung aktivieren.

Die kontrollierte Konfiguration wird über dieselbe Richtlinienoberfläche wie der Manipulationsschutz konfiguriert. Im Profil „Windows-Sicherheit Experience“ benennt Intune die Einstellung für den Manipulationsschutz in Controlled Configuration (Device) um, wenn Controlled Configuration verfügbar ist. Du kannst die gesteuerte Konfiguration nicht über den Settings Catalog oder die Device Control v1 (DCv1)-Vorlage aktivieren.

Da kontrollierte Konfiguration und Manipulationsschutz dieselbe Richtlinieneinstellung verwenden, ersetzt das Setzen von Controlled Configuration (On) den Manipulationsschutzwert auf diesem Gerät. Man implementiert keine separaten Manipulationsschutz- und kontrollierten Konfigurationsrichtlinien für dasselbe Setting. Um bestehende Manipulationsschutzrichtlinien (DCv1) auf kontrollierte Konfigurationen zu migrieren, erstellen Sie eine Windows-Sicherheit Experience-Richtlinie mit Controlled Configuration (On) und entfernen Sie dann die Manipulationsschutzeinstellung aus Ihren DCv1-Richtlinien, um Konflikte zu vermeiden.

1. Auf der Endpoint-Sicherheitsseite im Microsoft Intune-Verwaltungszentrum unter https://intune.microsoft.com, erstellen Sie ein neues Windows-Sicherheit Experience-Profil oder bearbeiten Sie ein bestehendes.
2. Finden Sie die Einstellung Kontrollierte Konfiguration (Gerät) (früher Manipulationsschutz).
3. Setzen Sie den Wert auf Controlled Configuration (On), um eine gesteuerte Konfiguration zu ermöglichen.
4. Weisen Sie die Richtlinie den entsprechenden Gerätegruppen zu.

Minimale Client-Version und Rollback

Bevor Sie Controlled Configuration (On) zuweisen, aktualisieren Sie Geräte auf die Microsoft Defender Antivirus Platform Version 4.18.26060.3004 oder höher und validieren Sie die Bereitstellung mit einer Pilotgruppe.

Bei Geräten mit älteren Plattformversionen könnte Intune Controlled Configuration (On) und Tamper Protection (Off) senden, aber das Gerät könnte nur die Manipulationsschutzeinstellung anwenden. Dieses Verhalten lässt sowohl die kontrollierte Konfiguration als auch den Manipulationsschutz deaktiviert.

Um zurückzurollen, ändern Sie die Windows-Sicherheit Experience Policy von Controlled Configuration (On) zu Manipulation Protection (On), setzen Sie die Policy neu aus, synchronisieren Sie die betroffenen Geräte und überprüfen Sie, ob der Manipulationsschutz aktiviert ist. Es gilt die normale Versögerung bei der Auslieferung von Richtlinien.

Berichterstellung und Überwachung

Der Status der kontrollierten Konfigurationen ist sowohl im Intune-Verwaltungszentrum als auch im Microsoft Defender-Portal sichtbar, je nachdem, wie die Geräte verwaltet werden.

• Intune: Für Geräte, die über Mobile Geräteverwaltung (MDM) direkt in Intune registriert sind, können Sie Folgendes anzeigen:

  • Richtlinienstatus (Erfolg, Konflikt oder Fehler)
  • Status der gerätegesteuerten Konfiguration

• Microsoft Defender Portal: Für Geräte, die über Defender for Endpoint Security Settings Management verwaltet werden, prüfen Sie das Microsoft Defender Portal für den effektiven Konfigurationszustand.

  Note

  Diese Geräte sind in Intune-Berichten nicht sichtbar. Nutzen Sie das Microsoft Defender-Portal, um den effektiven kontrollierten Konfigurationszustand zu überprüfen.

Überprüfen Sie die kontrollierte Konfiguration auf einem Gerät

Um den kontrollierten Konfigurationszustand direkt auf einem Gerät zu bestätigen, führen Sie folgendes PowerShell-Kommando aus:

Get-MpComputerStatus

Überprüfen Sie die folgenden Eigenschaften im Output:

• ControlledConfigurationState: Der aktuelle kontrollierte Konfigurationsdurchsetzungszustand auf dem Gerät.
• IsTamperProtected: Gibt an, ob der Manipulationsschutz (die Grundlage der kontrollierten Konfiguration) aktiv ist.
• TamperProtectionSource: Die Quelle, die den aktuellen Zustand erzwingt.

Sie können sie auch nutzenGet-MpComputerStatus, um zu bestätigen, dass die Microsoft Defender Antivirus-Plattformversion die Voraussetzungen erfüllt, und um den Konfigurationszustand nach einer Richtlinienänderung oder einem kontrollierten Konfigurationsreset zu überprüfen.

Lebenszyklusverhalten

Das Verhalten der kontrollierten Konfiguration variiert je nach Änderungen des Gerätelebenszyklus:

• Aufheben der Richtlinienzuweisung: Die verwaltete Konfiguration wird vom Gerät entfernt, sofern nicht weiterhin eine andere Richtlinie für verwaltete Konfiguration gilt.
• Defender for Endpoint Entmeldung: Die kontrollierte Konfiguration bleibt aktiviert (nicht automatisch beseitigt).
• Entfernen eines Geräts: Die verwaltete Konfiguration wird entfernt und auf Aus zurückgesetzt.

Zurücksetzen der kontrollierten Konfiguration auf einem Gerät

Um den kontrollierten Konfigurationszustand auf einem Gerät zu löschen, führen Sie die folgenden Befehle in einer erhöhten Eingabeaufforderung aus (einem Eingabeaufforderungsfenster, das Sie durch die Auswahl Ausführen als Administrator geöffnet haben):

Tip

Das Gerät muss einen Manipulationsschutz eingeschaltet haben und im Fehlerbehebungsmodus sein.

Mit dem ersten Befehl wechseln Sie in das Verzeichnis der neuesten Version der <Antischadsoftware-Plattformversion> unter %ProgramData%\Microsoft\Windows Defender\Platform\<antimalware platform version>. Wenn dieser Pfad nicht vorhanden ist, wechselt er zu %ProgramFiles%\Windows Defender.

(set "_done=" & if exist "%ProgramData%\Microsoft\Windows Defender\Platform\" (for /f "delims=" %d in ('dir "%ProgramData%\Microsoft\Windows Defender\Platform" /ad /b /o:-n 2^>nul') do if not defined _done (cd /d "%ProgramData%\Microsoft\Windows Defender\Platform\%d" & set _done=1)) else (cd /d "%ProgramFiles%\Windows Defender")) >nul 2>&1

MpCmdRun.exe -Config -ResetControlledConfiguration

Weitere Informationen finden Sie unter Erste Schritte mit dem Problembehandlungsmodus in Microsoft Defender for Endpoint.

Bekannte Einschränkungen

Derzeit gelten für kontrollierte Konfigurationen folgende Einschränkungen:

• Man kann in Intune falsche Konflikte sehen, wenn sowohl Manipulationsschutz als auch kontrollierte Konfigurationsrichtlinien auf dasselbe Gerät abzielen.
• Sie könnten Meldefehler zwischen dem Intune-Verwaltungszentrum und dem Microsoft Defender-Portal beobachten.
• Die Abdeckung ist auf die Antivirus-Einstellungen von Microsoft Defender beschränkt (Gerätesteuerung, EDR und Firewall sind noch nicht abgedeckt).
• Wenn Sie die gesteuerte Konfiguration über die Verwaltung von Sicherheitseinstellungen in Microsoft Defender for Endpoint oder über Intune aktivieren, wird der Manipulationsschutz deaktiviert, sofern nicht eine andere Richtlinie für den Manipulationsschutz diesen ausdrücklich aktiviert. Wenn die kontrollierte Konfiguration aktiviert und der Manipulationsschutz ausgeschaltet ist, ist der Manipulationsschutz-Sicherheitswert niedriger. Wir arbeiten daran, diese Lücke zu schließen.

Verwandte Inhalte

• Schützen Sie Sicherheitseinstellungen mit Manipulationsschutz
• Manipulationsschutz mit Intune verwalten
• Microsoft Defender Core Service-Konfigurationen und Experimente