Microsoft Defender für Endpunkt

Gilt für: Configuration Manager (Current Branch)

Endpoint Protection unterstützt die Verwaltung und Überwachung von Microsoft Defender for Endpoint. Microsoft Defender for Endpoint unterstützt Unternehmen bei der Erkennung, Untersuchung und Reaktion auf erweiterte Angriffe auf ihre Netzwerke. Configuration Manager-Richtlinien können Ihnen beim Onboarding und Überwachen von Clients unter Windows 10 oder höher helfen.

Das cloudbasierte Portal von Microsoft Defender für Endpunkt ist das Microsoft Defender Security Center. Durch Hinzufügen und Bereitstellen einer Konfigurationsdatei für das Client-Onboarding können Configuration Manager die Bereitstellung status und den Zustand Microsoft Defender for Endpoint Agents überwachen. Microsoft Defender für Endpoint wird auf PCs unterstützt, auf denen der Configuration Manager-Client ausgeführt wird oder die von Microsoft Intune verwaltet werden.

Voraussetzungen

  • Abonnement für Microsoft Defender for Endpoint
  • Clients, auf denen der Configuration Manager-Client ausgeführt wird
  • Clients mit einem Betriebssystem, das im Abschnitt unterstützte Clientbetriebssysteme weiter unten aufgeführt ist.
  • Ihr Administratorbenutzerkonto benötigt die Endpoint Protection Manager-Sicherheitsrolle.

Unterstützte Clientbetriebssysteme

Sie können die folgenden Betriebssysteme mithilfe von Configuration Manager integrieren:

  • Windows 11
  • Windows 10, Version 1709 oder höher
  • Windows Server 2025
  • Windows Server 2022
  • Windows Server 2019
  • Windows Server Semi-Annual Channel (SAC), Version 1803 oder höher
  • Windows Server 2016

Wichtig

Betriebssysteme, die das Ende ihres Produktlebenszyklus erreicht haben, werden in der Regel nicht für das Onboarding unterstützt, es sei denn, sie wurden für das ESU-Programm (Extended Security Updates) registriert. Weitere Informationen zu unterstützten Betriebssystemen und Funktionen mit Microsoft Defender for Endpoint finden Sie unter Mindestanforderungen für Microsoft Defender for Endpoint.

Anweisungen zum Onboarding in Microsoft Defender für Endpoint mit Configuration Manager 2207 und neueren Versionen

Anweisungen zum Aktualisieren der Onboardinginformationen für Microsoft Defender for Endpoint-Geräte mit Configuration Manager

Onboarding in Microsoft Defender für Endpunkt mit Configuration Manager 2207 und neueren Versionen

Verschiedene Betriebssysteme haben unterschiedliche Anforderungen für das Onboarding in Microsoft Defender for Endpoint. Für höherwertige Geräte wie Windows Server, Version 1803, benötigen Sie die Onboardingkonfigurationsdatei. Ab Current Branch 2207, Für untergeordnete Serverbetriebssystemgeräte können Sie in den Clienteinstellungen zwischen dem Microsoft Defender for Endpoint (MDE)-Client (empfohlen) oder dem Microsoft Monitoring Agent (MMA) (Legacy) wählen. Für Windows 8.1-Geräte müssen Sie Microsoft Monitoring Agent (MMA) (Legacy) in den Clienteinstellungen verwenden.

Screenshot der Clienteinstellungen für Endpoint Protection.

Wenn Sie sich für die Verwendung von MMA entscheiden, benötigen Sie für das Onboarding den Workspace-Schlüssel und die Workspace-ID . Der Configuration Manager installiert auch den Microsoft Monitoring Agent (MMA), wenn er von integrierten Geräten benötigt wird, aktualisiert den Agenten jedoch nicht automatisch.

Zu den höherwertigen Betriebssystemen gehören:

  • Windows 10, Version 1607 und höher
  • Windows 11
  • Windows Server Semi-Annual Channel (SAC), Version 1803 oder höher
  • Windows Server 2019
  • Windows Server 2022
  • Windows Server 2025

Zu den älteren Betriebssystemen, die den MDE-Client unterstützen, gehören:

  • Windows Server 2016

Hinweis

Derzeit ist die moderne, einheitliche Microsoft Defender for Endpoint für Windows Server 2012 R2 & 2016 allgemein verfügbar. Configuration Manager Version 2107 mit dem Updaterollup unterstützt die Konfiguration mithilfe von Endpoint Protection-Richtlinien, einschließlich der Richtlinien, die im Microsoft Intune Admin Center mithilfe von Mandantenanfügung erstellt wurden. Configuration Manager Version 2207 unterstützt jetzt die automatische Bereitstellung des MDE-Clients, wenn Sie diese Option über die Clienteinstellungen verwenden. Informationen zu älteren unterstützten Versionen finden Sie unter Servermigrationsszenarien.

Wenn Sie Geräte mit Configuration Manager in Microsoft Defender für Endpunkt integrieren, stellen Sie die Defender-Richtlinie für eine oder mehrere Zielsammlungen bereit. Manchmal enthält die Zielsammlung Geräte, auf denen eine beliebige Anzahl der unterstützten Betriebssysteme ausgeführt werden. Die Anweisungen für das Onboarding dieser Geräte variieren je nachdem, ob Sie eine Sammlung mit Geräten mit Betriebssystemen verwenden, die nur höherwertige Betriebssysteme sind, und Geräte, die MDE Client unterstützen, oder ob die Sammlung auch Clients der unteren Ebene enthält, die MMA erfordern.

Warnung

Wenn Ihre Zielsammlung untergeordnete Geräte enthält, die MMA erfordern, und Sie die Anweisungen für das Onboarding mithilfe des MDE-Clients verwenden, werden die älteren Geräte nicht integriert. Die optionalen Felder "Arbeitsbereichsschlüssel " und "Arbeitsbereichs-ID" werden für das Onboarding von älteren Geräten verwendet, die MMA erfordern. Wenn sie jedoch nicht enthalten sind, schlägt die Richtlinie auf älteren Clients fehl, die MMA erfordern.

Onboarding von Geräten mit MDE-Client in Microsoft Defender für Endpunkt (empfohlen)

Hochklassige Clients benötigen eine Onboardingkonfigurationsdatei für das Onboarding in Microsoft Defender für Endpunkt. Zu den höherwertigen Betriebssystemen gehören:

  • Windows 11
  • Windows 10, Version 1607 und höher
  • Windows Server Semi-Annual Channel (SAC), Version 1803 und höher
  • Windows Server 2019
  • Windows Server 2022
  • Windows Server 2025

Zu den älteren Betriebssystemen, die den MDE-Client unterstützen, gehören:

  • Windows Server 2016

Voraussetzungen

Voraussetzungen für Windows Server 2012 R2

Wenn Sie Ihre Computer mit dem neuesten monatlichen Rolluppaket vollständig aktualisiert haben, gibt es keine zusätzlichen Voraussetzungen.

Das Installationspaket prüft, ob die folgenden Komponenten bereits über ein Update installiert wurden:

Voraussetzungen für Windows Server 2016
  • Das Servicing Stack Update (SSU) vom 14. September 2021 oder höher muss installiert sein.
  • Das neueste kumulative Update (Latest Cumulative Update, LCU) vom 20. September 2018 oder höher muss installiert sein. Es wird empfohlen, die neuesten verfügbaren SSU und LCU auf dem Server zu installieren. – Die Microsoft Defender Antivirus-Funktion muss aktiviert/installiert und auf dem neuesten Stand sein. Sie können die neueste Plattformversion über Windows Update herunterladen und installieren. Alternativ können Sie das Updatepaket manuell aus dem Microsoft Update-Katalog oder von MMPC herunterladen.

Abrufen einer Onboardingkonfigurationsdatei für höherwertige Geräte

  1. Wechseln Sie zum Microsoft Defender Security Center und melden Sie sich an.
  2. Wählen Sie Einstellungen und dann unter der Überschrift Endpunkt die Option Onboarding aus.
  3. Wählen Sie als Betriebssystem Windows 10 und 11 aus.
  4. Wählen Sie als Bereitstellungsmethode Microsoft Endpoint Configuration Manager Current Branch und höher aus.
  5. Wählen Sie Paket herunterladen aus.
  6. Laden Sie die komprimierte Archivdatei (.zip) herunter, und extrahieren Sie den Inhalt.

    Hinweis

    Für die Schritte müssen Sie die Onboarding-Datei für Windows 10 und 11 herunterladen, aber diese Datei wird auch für höherwertige Server-Betriebssysteme verwendet.

Wichtig

  • Die Konfigurationsdatei von Microsoft Defender für Endpunkt enthält vertrauliche Informationen, die sicher aufbewahrt werden sollten.
  • Wenn Ihre Zielsammlung untergeordnete Geräte enthält, die MMA erfordern, und Sie die Anweisungen für das Onboarding mithilfe des MDE-Clients verwenden, werden die älteren Geräte nicht integriert. Die optionalen Felder "Arbeitsbereichsschlüssel " und "Arbeitsbereichs-ID" werden für das Onboarding von Geräten der unteren Ebene verwendet. Wenn sie jedoch nicht enthalten sind, schlägt die Richtlinie auf Clients der unteren Ebene fehl.

Onboarding der höherwertigen Geräte

  1. Navigieren Sie in der Configuration Manager-Konsole zu "Verwaltungsclienteinstellungen>".
  2. Erstellen Sie benutzerdefinierte Clientgeräteeinstellungen, oder wechseln Sie zu den Eigenschaften der erforderlichen Clienteinstellung und wählen Sie Endpoint Protection aus.
  3. Für Microsoft Defender for Endpoint Client unter Windows Server 2012 R2 und Windows Server 2016 Einstellung Der Standardwert ist als Microsoft Monitoring Agent (Legacy) festgelegt und muss in MDE-Client geändert werden (empfohlen). Screenshot der Clienteinstellungen für Endpoint Protection mit verschiedenen Optionen für untergeordnete Serverbetriebssystemgeräte.
  4. Navigieren Sie in der Configuration Manager-Konsole zu Assets and Compliance>Endpoint Protection>, Microsoft Defender ATP-Richtlinien und wählen Sie Microsoft Defender ATP-Richtlinie erstellen aus. Der Richtlinienassistent wird geöffnet.
  5. Geben Sie den Namen und die Beschreibung für die Microsoft Defender for Endpoint-Richtlinie ein, und wählen Sie Onboarding aus.
  6. Navigieren Sie zu der Konfigurationsdatei, die Sie aus der heruntergeladenen .zip Datei extrahiert haben.
  7. Geben Sie die Dateibeispiele an, die von verwalteten Geräten gesammelt und für die Analyse freigegeben werden.
    • Keine
    • Alle Dateitypen
  8. Überprüfen Sie die Zusammenfassung, und schließen Sie den Assistenten ab.
  9. Klicken Sie mit der rechten Maustaste auf die erstellte Richtlinie, und wählen Sie dann "Bereitstellen" aus, um die Richtlinie "Microsoft Defender for Endpoint" auf Clients auszurichten.

Onboarding von Geräten mit MDE-Client und MMA in Microsoft Defender for Endpoint

Sie können Geräte, auf denen eines der unterstützten Betriebssysteme ausgeführt wird, in Microsoft Defender für Endpunkt integrieren, indem Sie die Konfigurationsdatei, den Arbeitsbereichsschlüssel und die Arbeitsbereichs-ID für Configuration Manager bereitstellen.

Abrufen der Konfigurationsdatei, der Arbeitsbereichs-ID und des Arbeitsbereichsschlüssels

  1. Wechseln Sie zum Microsoft Defender für Endpunkt-Onlinedienst, und melden Sie sich an.

  2. Wählen Sie Einstellungen und dann unter der Überschrift EndpunkteOnboarding aus.

  3. Wählen Sie als Betriebssystem Windows 10 und 11 aus.

  4. Wählen Sie als Bereitstellungsmethode Microsoft Endpoint Configuration Manager Current Branch und höher aus.

  5. Wählen Sie Paket herunterladen aus.

    Screenshot des Downloads der Onboarding-Konfigurationsdatei.

  6. Laden Sie die komprimierte Archivdatei (.zip) herunter, und extrahieren Sie den Inhalt.

  7. Wählen Sie Einstellungen und dann unter der Überschrift "Geräteverwaltung" die Option "Onboarding" aus.

  8. Wählen Sie als Betriebssystem in der Liste entweder Windows 7 SP1 und 8.1 oder Windows Server 2008 R2 SP1, 2012 R2 und 2016 aus.

    • Der Arbeitsbereichsschlüssel und die Arbeitsbereichs-ID sind unabhängig davon, welche dieser Optionen Sie auswählen, identisch.

  9. Kopieren Sie die Werte für den Arbeitsbereichsschlüssel und die Arbeitsbereichs-ID aus dem Abschnitt Verbindung konfigurieren .

    Wichtig

    Die Konfigurationsdatei von Microsoft Defender für Endpunkt enthält vertrauliche Informationen, die sicher aufbewahrt werden sollten.

Onboarding der Geräte

  1. Navigieren Sie in der Configuration Manager-Konsole zu "Verwaltungsclienteinstellungen>".

  2. Erstellen Sie benutzerdefinierte Clientgeräteeinstellungen, oder wechseln Sie zu den Eigenschaften der erforderlichen Clienteinstellung und wählen Sie Endpoint Protection aus.

  3. Stellen Sie sicher, dass für Microsoft Defender for Endpoint Client unter Windows Server 2012 R2 und Windows Server 2016 Einstellung der Wert als Microsoft Monitoring Agent (Legacy) festgelegt ist.

  4. Navigieren Sie in der Configuration Manager Konsole zu Assets und Compliance>Endpoint Protection>Microsoft Defender ATP-Richtlinien.

  5. Wählen Sie "Microsoft Defender ATP-Richtlinie erstellen" aus, um den Richtlinien-Assistenten zu öffnen.

  6. Geben Sie den Namen und die Beschreibung für die Microsoft Defender for Endpoint-Richtlinie ein, und wählen Sie Onboarding aus.

  7. Navigieren Sie zu der Konfigurationsdatei, die Sie aus der heruntergeladenen .zip Datei extrahiert haben.

  8. Geben Sie den Arbeitsbereichsschlüssel und die Arbeitsbereichs-ID an, und wählen Sie dann Weiter aus.

    • Stellen Sie sicher, dass sich der Arbeitsbereichsschlüssel und die Arbeitsbereichs-ID in den richtigen Feldern befinden. Die Reihenfolge in der Konsole kann von der Reihenfolge im Microsoft Defender for Endpoint Online-Dienst abweichen. Screenshot des Richtlinienkonfigurations-Assistenten für Microsoft Defender für Endpunkt.

  9. Geben Sie die Dateibeispiele an, die von verwalteten Geräten gesammelt und für die Analyse freigegeben werden.

    • Keine
    • Alle Dateitypen

  10. Überprüfen Sie die Zusammenfassung, und schließen Sie den Assistenten ab.

  11. Klicken Sie mit der rechten Maustaste auf die erstellte Richtlinie, und wählen Sie dann "Bereitstellen" aus, um die Richtlinie "Microsoft Defender for Endpoint" auf Clients auszurichten.

Überwachen

  1. Navigieren Sie in der Configuration Manager-Konsole zu "Überwachung>der Sicherheit", und wählen Sie dann "Microsoft Defender ATP" aus.

  2. Überprüfen Sie die Microsoft Defender for Endpoint Dashboard.

    • Onboardingstatus des Microsoft Defender ATP-Agents: Die Anzahl und der Prozentsatz berechtigter verwalteter Clientcomputer mit aktiver Microsoft Defender for Endpoint-Richtlinie

    • Microsoft Defender ATP Agent-Integrität: Prozentsatz der Computerclients, die den Status für ihren Microsoft Defender for Endpoint-Agent melden

      • Fehlerfrei – Funktioniert richtig

      • Inaktiv – Während des Zeitraums werden keine Daten an den Dienst gesendet

      • Agentstatus – Der Systemdienst für den Agent in Windows wird nicht ausgeführt

      • Nicht integriert – Richtlinie wurde angewendet, aber der Agent hat die Richtlinie nicht an Bord gemeldet

Erstellen einer Offboardingkonfigurationsdatei

  1. Melden Sie sich beim Microsoft Defender Security Center an.

  2. Wählen Sie Einstellungen und dann unter der Überschrift Endpunktdie Option Offboarding aus.

  3. Wählen Sie für das Betriebssystem Windows 10 und 11 und Microsoft Endpoint Configuration Manager Current Branch und höher als Bereitstellungsmethode aus.

    • Die Verwendung der Option Windows 10 und 11 stellt sicher, dass alle Geräte in der Sammlung vom Boarding ausgeschlossen werden und die MMA bei Bedarf deinstalliert wird.

  4. Laden Sie die komprimierte Archivdatei (.zip) herunter, und extrahieren Sie den Inhalt. Offboarding-Dateien sind 30 Tage lang gültig.

  5. Navigieren Sie in der Configuration Manager-Konsole zu Assets and Compliance>Endpoint Protection>, Microsoft Defender ATP-Richtlinien und wählen Sie Microsoft Defender ATP-Richtlinie erstellen aus. Der Richtlinienassistent wird geöffnet.

  6. Geben Sie den Namen und die Beschreibung für die Microsoft Defender for Endpoint-Richtlinie ein, und wählen Sie "Offboarding" aus.

  7. Navigieren Sie zu der Konfigurationsdatei, die Sie aus der heruntergeladenen .zip Datei extrahiert haben.

  8. Überprüfen Sie die Zusammenfassung, und schließen Sie den Assistenten ab.

Wählen Sie Bereitstellen aus, um die Richtlinie für Microsoft Defender für Endpunkt auf Clients auszurichten.

Wichtig

Die Konfigurationsdateien von Microsoft Defender für Endpunkt enthalten vertrauliche Informationen, die sicher aufbewahrt werden sollten.

Aktualisieren der Onboarding-Informationen für vorhandene Geräte

Organisationen müssen möglicherweise die Onboardinginformationen auf einem Gerät über Microsoft Configuration Manager aktualisieren.

Dies kann aufgrund einer Änderung der Onboarding-Nutzlast für Microsoft Defender for Endpoint oder auf Anweisung des Microsoft-Supports erforderlich sein.

Durch das Aktualisieren der Onboarding-Informationen wird das Gerät angewiesen, die neue Onboarding-Nutzlast beim nächsten Neustart zu verwenden.

Dieser Prozess besteht aus Aktionen zum Aktualisieren der vorhandenen Onboarding-Richtlinie und dem Ausführen einer einmaligen Aktion auf allen vorhandenen Geräten zum Aktualisieren der Onboarding-Nutzlast. Verwenden Sie das Onboardingskript für die Gruppenrichtlinie, um ein einmaliges Upgrade von Geräten von der alten Nutzlast auf die neue Nutzlast durchzuführen.

Hinweis

Diese Informationen führen nicht unbedingt dazu, dass ein Gerät zwischen Mandanten verschoben wird, ohne dass das Onboarding des Geräts vom ursprünglichen Mandanten vollständig abgeschlossen ist. Wenn Sie Optionen für die Migration von Geräten zwischen Microsoft Defender für Endpunkt-Organisationen benötigen, wenden Sie sich an den Microsoft-Support.

Überprüfen der neuen Onboarding-Nutzlast

  1. Laden Sie das Onboardingpaket für Gruppenrichtlinien aus dem Microsoft Defender für Endpunkt-Portal herunter.

  2. Erstellen Sie eine Sammlung zur Überprüfung der neuen Onboarding-Nutzlast.

  3. Schließen Sie diese Sammlung aus der vorhandenen Microsoft Defender for Endpoint-Sammlung aus, auf die die Onboarding-Nutzlast abzielt.

  4. Stellen Sie das Onboardingskript für die Gruppenrichtlinie in der Testsammlung bereit.

  5. Überprüfen Sie, ob die Geräte die neue Onboarding-Nutzlast verwenden.

Migrieren zur neuen Onboarding-Nutzlast

  1. Laden Sie das Onboardingpaket für Microsoft Configuration Manager aus dem Microsoft Defender für Endpunkt-Portal herunter.

  2. Aktualisieren Sie die vorhandene Onboarding-Richtlinie für Microsoft Defender für Endpunkt mit der neuen Onboarding-Nutzlast.

  3. Stellen Sie das Skript aus Überprüfen der neuen Onboardingnutzlast in der vorhandenen Zielsammlung für die Onboardingrichtlinie für Microsoft Defender for Endpoint bereit.

  4. Überprüfen Sie, ob die Geräte die neue Onboarding-Nutzlast verwenden und die Nutzlast erfolgreich aus dem Skript nutzen.

Hinweis

Sobald alle Geräte migriert wurden, können Sie die Skript- und Validierungssammlungen mithilfe der Onboarding-Richtlinie aus Ihrer Umgebung entfernen.

Nächste Schritte

  • Last updated on