Microsoft Defender Antivirus ist in Windows 10 und 11 bereits eingebaut. In einer Firma sollte aber nicht jeder PC eigene Einstellungen haben. Mit Microsoft Intune legen Sie die Einstellungen einmal zentral fest und verteilen sie auf alle Geräte. Diese Anleitung zeigt, wie Sie eine Antivirus-Richtlinie anlegen, welche Einstellungen wichtig sind und wie Sie prüfen, ob sie ankommen.
Voraussetzungen
Betriebssysteme
- Windows 10 und Windows 11
- Windows Server, wenn er über Microsoft Defender for Endpoint angebunden ist (Sicherheitseinstellungsverwaltung)
Lizenzen
- Für die Verwaltung brauchen Sie eine Intune-Lizenz. Sie ist z. B. in Microsoft 365 Business Premium enthalten.
- Defender Antivirus selbst ist Teil von Windows und kostet nichts extra.
- Für Funktionen wie EDR (siehe unten) brauchen Sie Microsoft Defender for Business oder Defender for Endpoint. Defender for Business ist in Business Premium enthalten.
Antivirus-Richtlinie in Intune anlegen
- Öffnen Sie das Intune Admin Center unter intune.microsoft.com.
- Gehen Sie zu Endpunktsicherheit und dann zu Antivirus.
- Klicken Sie auf Richtlinie erstellen.
- Wählen Sie als Plattform Windows und als Profil Microsoft Defender Antivirus.
Die drei Profile für Windows
Microsoft Defender Antivirus
Die Grundeinstellungen: Echtzeitschutz, Cloudschutz, Scans, Updates. Für die meisten Firmen reicht dieses Profil.
Microsoft Defender Antivirus-Ausschlüsse
Hier nehmen Sie Ordner, Dateitypen oder Prozesse von der Prüfung aus. Das ist nötig, wenn z. B. eine Praxis- oder Branchensoftware sonst fälschlich blockiert wird. Setzen Sie Ausschlüsse sparsam. Jeder Ausschluss ist ein Bereich, den Defender nicht mehr prüft.
Windows-Sicherheitsumgebung
Legt fest, was Benutzer in der App „Windows-Sicherheit“ sehen und ändern dürfen. So verhindern Sie, dass jemand den Schutz abschaltet, weil ein Programm nicht startet.
Richtlinie benennen
Geben Sie jeder Richtlinie einen eindeutigen Namen und eine kurze Beschreibung, z. B. „AV Standard Clients, gültig ab 03/2026“. Wer später in die Umgebung schaut, sieht dann sofort, wofür die Richtlinie da ist. Zu jeder Einstellung zeigt Intune über das Info-Symbol eine Erklärung.
Empfohlene Grundeinstellungen
- Echtzeitschutz einschalten. Er prüft Dateien in dem Moment, in dem sie geöffnet oder heruntergeladen werden.
- Cloudschutz einschalten. Defender gleicht verdächtige Dateien mit dem Microsoft-Dienst ab und erkennt so auch neue Schadsoftware.
- Updates der Schutzdefinitionen regelmäßig zulassen. Legen Sie ein Intervall fest und bestimmen Sie die Quellen, z. B. Windows Update und den Microsoft-Dienst.
- Geplante Scans außerhalb der Arbeitszeit. Dann bremst der Scan niemanden aus.
- Manipulationsschutz einschalten. Er verhindert, dass Schadsoftware oder Benutzer den Virenschutz abschalten. Sie finden ihn im Profil „Windows-Sicherheitsumgebung“ oder im Defender-Portal.
Richtlinie zuweisen
Weisen Sie die Richtlinie einer Gruppe zu, mit Geräten oder Benutzern, gern auch als dynamische Gruppe. Beginnen Sie mit einer kleinen Testgruppe aus einigen Geräten. Läuft dort eine Woche lang alles normal, weisen Sie die Richtlinie schrittweise den übrigen Geräten zu.
Prüfen, ob die Richtlinie ankommt
Im Intune Admin Center
Unter Endpunktsicherheit, Antivirus sehen Sie für jede Richtlinie, auf wie vielen Geräten sie erfolgreich angewendet wurde und wo es Fehler gab.
Mit PowerShell am Gerät
Get-MpPreference
zeigt die wirksamen Defender-Einstellungen, z. B. Ausschlüsse und Scan-Zeitpunkte.
Get-MpComputerStatus
zeigt, ob Echtzeitschutz und Manipulationsschutz aktiv sind und wie alt die Definitionen sind.
In der Registry
Intune legt seine Einstellungen unter diesem Pfad ab:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\PolicyManager\current\device\Defender
Nicht jeder Wert erklärt sich von selbst. Ausschlüsse erkennen Sie aber meist gut.
In der Ereignisanzeige
Öffnen Sie Anwendungs- und Dienstprotokolle, Microsoft, Windows, Windows Defender, Betriebsbereit. Dort stehen Scans, Funde und Definitionsupdates. Das Ereignis 5007 zeigt, dass sich eine Einstellung geändert hat, z. B. weil eine neue Richtlinie angekommen ist.
Weitere Bausteine der Endpunktsicherheit
Intune bietet unter Endpunktsicherheit weitere Profile. Sie greifen tiefer ins System ein als der Virenschutz.
Datenträgerverschlüsselung (BitLocker)
Verschlüsselt die Festplatte und speichert den Wiederherstellungsschlüssel zentral. Für Laptops ist das Pflicht, denn bei Verlust kommt niemand an die Daten.
Firewall
Verwaltet die Regeln der Windows-Firewall zentral. Unklare Regeln können Programme blockieren. Testen Sie deshalb vorher.
Endpunkterkennung und -reaktion (EDR)
Bindet die Geräte an Defender for Endpoint oder Defender for Business an. EDR erkennt verdächtige Abläufe, z. B. ein Office-Dokument, das plötzlich PowerShell startet. Sie können ein befallenes Gerät dann aus der Ferne vom Netz trennen.
Verringerung der Angriffsfläche (ASR)
Regeln, die typische Angriffswege sperren, etwa Makros, die Programme starten, oder Skripte aus E-Mail-Anhängen. Schalten Sie ASR-Regeln zuerst im Überwachungsmodus ein. Dann sehen Sie, was blockiert würde, bevor es Ihre Mitarbeitenden trifft.
Kontoschutz
Steuert Windows Hello for Business, Credential Guard und die Mitgliedschaft in lokalen Gruppen wie „Administratoren“.
Zusatzbausteine vorsichtig einführen
Ein Antivirus-Profil lässt sich gut planen. Firewall-Regeln, ASR-Regeln und Kontoschutz können dagegen sofort Programme oder Anmeldungen blockieren. Führen Sie sie deshalb immer in drei Stufen ein: Testgruppe, dann eine Abteilung, dann alle.
Ein Begriff am Rande: Defender ATP
In älteren Anleitungen und Foren taucht „Defender ATP“ auf (Advanced Threat Protection). So hieß Microsoft Defender for Endpoint bis 2020. Gemeint ist dasselbe Produkt.
Defender und Intune mit ITNG Care
In ITNG Care richten wir Defender, BitLocker und die übrigen Sicherheitsprofile über Intune ein und pflegen sie. Ein Sicherheitsteam überwacht die Meldungen aus Defender rund um die Uhr. Sie zahlen einen festen Monatspreis je Benutzer. Voraussetzung ist Microsoft 365 Business Premium. ITNG Care ansehen
