Microsoft Defender: was es abdeckt und was nicht

Veröffentlicht am 3. September 2026. Die Zahlen stammen aus dem Sophos Active Adversary Report 2026, dem Microsoft Digital Defense Report, den Tests von AV-TEST und AV-Comparatives, den ATT&CK Evaluations von MITRE sowie der Produktdokumentation von Microsoft.

Die Diskussion über Microsoft Defender wird fast immer als Qualitätsfrage geführt. Erkennt er genug? Ist er so gut wie ein gekaufter Virenschutz? Diese Frage ist seit einigen Jahren beantwortet, und zwar zugunsten von Microsoft.

Genau deshalb ist sie die falsche Frage. In der Praxis entstehen Sicherheitsvorfälle in Microsoft-Umgebungen selten dort, wo die Erkennung versagt. Sie entstehen dort, wo Defender gar nicht hinsieht: auf einem Gerät, das nie eingebunden wurde, in einem Verzeichnis, das jemand vom Scan ausgenommen hat, in einer Lizenzstufe, die eine Funktion nicht enthält, oder in einem Protokoll, das bereits gelöscht war, als jemand nachsehen wollte.

Dieser Artikel trennt beides sauber voneinander. Zuerst, was Defender belegbar leistet. Dann, welche Produkte überhaupt gemeint sind, wenn von Defender die Rede ist. Und schließlich, welche Lücken strukturell bestehen bleiben, unabhängig davon, wie gut das Produkt erkennt.

Kurz gesagt: Microsoft Defender ist kein Produkt, sondern eine Familie aus rund einem Dutzend Diensten mit unterschiedlichen Lizenzen und unterschiedlichem Umfang. Die Erkennungsleistung des Virenschutzes ist unabhängig getestet und erreicht Spitzenwerte. Die praktisch relevanten Lücken liegen woanders: bei nicht eingebundenen Geräten, bei Ausschlüssen, bei der Lizenzstufe, bei der Aufbewahrungsdauer der Daten und bei der Frage, wer die Warnungen nachts liest.

Welchen Defender meinen Sie eigentlich?

Der häufigste Abdeckungsirrtum in Microsoft-Umgebungen ist kein technischer, sondern ein begrifflicher: Menschen glauben, ein Produkt zu haben, das sie gar nicht lizenziert haben. Unter dem Namen Defender vertreibt Microsoft mehrere voneinander unabhängige Dienste, die unterschiedliche Angriffswege abdecken und getrennt bezahlt werden.

Dienst	Deckt ab	Enthalten in
Microsoft Defender Antivirus	Schadsoftware auf dem Endgerät, Echtzeitschutz	Windows selbst, ohne Zusatzlizenz
Defender for Endpoint Plan 1	Prävention: Virenschutz, Angriffsflächenreduzierung, Gerätesteuerung, Webschutz	Microsoft 365 E3
Defender for Endpoint Plan 2	Zusätzlich EDR, erweiterte Bedrohungssuche, automatisierte Untersuchung, Schwachstellenmanagement	Microsoft 365 E5
Defender for Business	Endpunktschutz mit EDR für Organisationen bis 300 Beschäftigte	Microsoft 365 Business Premium
Defender for Office 365 Plan 1	E-Mail: Safe Links, Safe Attachments, erweiterter Phishing-Schutz	Seit 1. Juli 2026 in Microsoft 365 E3 und Office 365 E3
Defender for Office 365 Plan 2	Zusätzlich automatisierte Untersuchung, Threat Explorer, Angriffssimulation	Microsoft 365 E5
Defender for Identity	Angriffe auf Active Directory und Entra ID	Microsoft 365 E5
Defender for Cloud Apps	Nutzung von SaaS-Anwendungen, Schatten-IT	Microsoft 365 E5
Defender for Cloud	Server und Cloud-Workloads in Azure und darüber hinaus	Separate Abrechnung nach Verbrauch
Defender XDR	Die Korrelationsschicht über alle genannten Signale	Nur so vollständig wie die darunterliegenden Lizenzen

Die letzte Zeile ist die wichtigste. Defender XDR ist keine eigenständige Schutzschicht, sondern eine Auswertung der Signale, die Sie ohnehin erzeugen. Wer Defender for Identity und Defender for Cloud Apps nicht lizenziert hat, betreibt kein XDR im eigentlichen Sinne, sondern eine Endpunkt- und E-Mail-Korrelation. Der Name auf der Oberfläche bleibt derselbe.

Was Defender nachweislich gut kann

Bei der reinen Erkennungsleistung gehört Microsoft seit mehreren Jahren zur Spitzengruppe, und das ist unabhängig geprüft. Wer Defender heute noch als Grundschutz abtut, argumentiert gegen die Messwerte.

Im Business-Test von AV-TEST für Windows-Clients erreichte Microsoft Defender Antivirus (Enterprise) in der Version 4.18 im April 2026 die volle Schutzwirkung von 6,0 von 6,0 Punkten. Erkannt wurden 100 Prozent der Zero-Day-Angriffe aus Web und E-Mail bei 285 Testfällen, gegenüber einem Branchendurchschnitt von 99,6 Prozent, und 100 Prozent von 12.025 weit verbreiteten Schadprogrammen der vorangegangenen vier Wochen. Zusammen mit je 6,0 Punkten für Geschwindigkeit und Benutzbarkeit ergab das die Höchstpunktzahl und die Auszeichnung als Top-Produkt. Im Juni 2026 hielt die Schutzwirkung den Bestwert, während die Bewertung der Systembelastung leicht nachgab.

Ein zweites Labor relativiert das Bild an einer Stelle, ohne es umzustoßen. Im Malware Protection Test von AV-Comparatives vom März 2026 lag Microsoft bei der Online-Schutzwirkung mit 99,93 Prozent in der Spitzengruppe und bei der Online-Erkennung bei 98,1 Prozent. Die Offline-Erkennung fiel mit 89,2 Prozent deutlich ab. Praktisch bedeutet das: Defender ist stark, solange das Gerät mit der Cloud sprechen kann, und schwächer, wenn es das nicht kann. Für Außendienstgeräte, Fertigungsnetze und getrennte Umgebungen ist das eine relevante Einschränkung.

Die richtige Schlussfolgerung aus diesen Zahlen lautet nicht, dass Sie nichts weiter brauchen. Sie lautet, dass das Austauschen des Virenschutzes fast nie die wirksamste verfügbare Maßnahme ist. Die Ausgaben lohnen sich an anderer Stelle.

Der Test, an dem Microsoft nicht mehr teilnimmt

Die bekannteste unabhängige Prüfung von Erkennungs- und Reaktionsprodukten fand zuletzt ohne Microsoft statt, und das erschwert den direkten Vergleich erheblich. Diese Information fehlt in praktisch jeder Produktbroschüre, lässt sich aber in wenigen Minuten selbst nachprüfen.

MITRE veröffentlichte die Ergebnisse der ATT&CK Evaluations Enterprise 2025, der siebten Runde, am 10. Dezember 2025. Nachgestellt wurden zwei Angreifergruppen: Scattered Spider mit Schwerpunkt auf Social Engineering, Umgehung von Mehr-Faktor-Authentifizierung und schneller Ausnutzung von Cloud-Umgebungen, sowie die staatlich zugeordnete Spionagegruppe Mustang Panda. Insgesamt umfasste die Prüfung 16 Schritte mit 90 Teilschritten, erstmals einschließlich einer Cloud-Infrastruktur. Der Schwerpunkt der Bewertung verschob sich von reiner Sichtbarkeit hin zur Fähigkeit, Angriffe tatsächlich zu blockieren.

Teilgenommen haben elf Anbieter: Acronis, AhnLab, CrowdStrike, Cyberani, Cybereason, Cynet, ESET, Sophos, Trend Micro, WatchGuard und WithSecure. Microsoft hatte bereits im Juni 2025 angekündigt, in dieser Runde nicht anzutreten. SentinelOne und Palo Alto Networks zogen im September 2025 nach.

Das ist kein Qualitätsurteil, und MITRE stellt ausdrücklich keine Rangliste auf. Für Ihre Beschaffung hat es trotzdem zwei konkrete Folgen. Erstens lässt sich die Reaktionsfähigkeit von Defender XDR derzeit nicht anhand desselben unabhängigen Szenarios mit anderen Produkten vergleichen. Zweitens sollten Sie skeptisch werden, wenn ein Angebot mit MITRE-Ergebnissen argumentiert, ohne die Runde und die Teilnehmerliste zu nennen. Die AV-TEST-Werte weiter oben betreffen den Virenschutz, nicht die Erkennungs- und Reaktionsschicht. Das sind zwei verschiedene Dinge, die regelmäßig vermischt werden.

Die Lizenzgrenze: was in E3 fehlt

Die größte einzelne Abdeckungslücke in den meisten Microsoft-Umgebungen ist keine Konfiguration, sondern die Lizenzstufe. Zwischen E3 und E5 liegt nicht ein Preisunterschied mit ein paar Extras, sondern der Unterschied zwischen Prävention und Untersuchung.

Fähigkeit	Microsoft 365 E3	Microsoft 365 E5
Virenschutz, Angriffsflächenreduzierung, Webschutz	Enthalten	Enthalten
EDR mit Live Response und sechs Monaten Historie	Fehlt	Enthalten
Erweiterte Bedrohungssuche per Abfragesprache	Fehlt	Enthalten
Automatisierte Untersuchung und Behebung	Fehlt	Enthalten
Schwachstellenmanagement	Fehlt	Grundfunktionen enthalten
E-Mail-Schutz Plan 1	Seit 1. Juli 2026 enthalten	Enthalten
E-Mail-Untersuchung, Threat Explorer, Angriffssimulation	Fehlt	Enthalten
Schutz von Active Directory und Entra ID	Fehlt	Enthalten
Sichtbarkeit von SaaS-Nutzung und Schatten-IT	Fehlt	Enthalten

Eine Verbesserung gab es zuletzt am E-Mail-Weg. Seit dem 1. Juli 2026 ist Defender for Office 365 Plan 1 in Microsoft 365 E3 und Office 365 E3 enthalten. Die Ausbringung begann Mitte Juni 2026 und soll im Herbst 2026 abgeschlossen sein, wobei der Schutz für lizenzierte Benutzer automatisch aktiviert wird. Falls Sie E-Mails über ein vorgelagertes Gateway eines Drittanbieters leiten, prüfen Sie die Reihenfolge, sonst laufen zwei Filter unabgestimmt nebeneinander.

Wer nicht komplett auf E5 wechseln will, kann das Defender-Sicherheitspaket als Zusatz zu E3 buchen. Es kostet in der Listenpreisdarstellung rund 10,40 Euro pro Benutzer und Monat bei jährlicher Abrechnung und enthält die Endpunkt-, E-Mail-, Identitäts- und SaaS-Komponenten samt Korrelation. Rechnen Sie diesen Betrag gegen Ihre tatsächliche Nutzerzahl, bevor Sie den Sprung auf E5 kalkulieren. Wie sich das gegen einen betriebenen Dienst verhält, lässt sich an unserer Preisübersicht nachrechnen.

Defender for Business und die Grenze bei 300 Beschäftigten

Für kleinere Organisationen ist Defender for Business der wirtschaftlich sinnvollste Einstieg, aber er hat drei harte Grenzen, die selten im Angebot stehen. Alle drei treffen genau dann zu, wenn ein Unternehmen wächst.

Die erste Grenze ist die Organisationsgröße. Defender for Business ist auf Organisationen mit bis zu 300 Beschäftigten ausgelegt und in Microsoft 365 Business Premium enthalten. Oberhalb dieser Zahl ist ein Wechsel auf Defender for Endpoint nötig, und der findet nicht automatisch statt.

Die zweite Grenze ist die Gerätezahl. Pro Benutzerlizenz lassen sich bis zu fünf Clientgeräte einbinden. Bei Zweitgeräten, Testsystemen und privat genutzten Geräten ist diese Grenze schneller erreicht, als die Personalliste vermuten lässt.

Die dritte Grenze ist die wichtigste und wird am häufigsten übersehen: Server sind nicht enthalten. Für jede Instanz von Windows Server oder Linux benötigen Sie eine zusätzliche Lizenz, in der Regel das Server-Zusatzprodukt zu Defender for Business, lizenziert pro Betriebssystemumgebung. Pro Abonnement sind maximal 60 solcher Serverlizenzen möglich. Darüber hinaus führt der Weg zu Defender for Endpoint Server oder Defender for Servers.

Die praktische Folge ist unangenehm konkret. In vielen kleineren Umgebungen sind die Arbeitsplätze sauber eingebunden und der Dateiserver, auf dem alles liegt, was zählt, ist es nicht. Genau dort landet Verschlüsselung.

Was Defender strukturell nicht abdeckt

Die folgenden Lücken schließen sich nicht durch eine höhere Lizenzstufe, weil sie außerhalb der Reichweite jedes Endpunktprodukts liegen. Sie sind der eigentliche Gegenstand dieses Artikels.

Bereich	Warum Defender dort nicht greift	Was stattdessen nötig ist
Nicht eingebundene Geräte	Ohne Onboarding gibt es keine Telemetrie und keine Reaktionsmöglichkeit. Die Geräteermittlung macht solche Systeme sichtbar, aber Sichtbarkeit ist kein Schutz.	Vollständiges Geräteinventar, Netzzugangskontrolle, Einbindung als Pflicht statt als Projekt
Altsysteme und Fertigungstechnik	Steuerungssysteme, medizinische Geräte und ähnliche Anlagen lassen sich häufig gar nicht mit einem Agenten versehen	Netzsegmentierung, passive Überwachung, gesonderte Zuständigkeit
Private Geräte im Zugriff	Ein nicht verwaltetes Gerät mit gültigen Zugangsdaten sieht aus Sicht der Dienste wie ein legitimer Zugriff aus	Bedingter Zugriff mit Gerätekonformität als Bedingung
Netzwerkrandgeräte	Firewalls, VPN-Gateways und ähnliche Systeme sind keine Endpunkte im Sinne des Produkts	Eigene Überwachung und Protokollweiterleitung
Sicherung und Wiederherstellung	Defender ist kein Backup und stellt keine verschlüsselten Daten wieder her	Getrennte, nicht dauerhaft erreichbare Sicherungen
Fehlkonfiguration	Regeln zur Angriffsflächenreduzierung im reinen Überwachungsmodus zeichnen auf, blockieren aber nichts	Regelmäßige Prüfung des tatsächlichen Durchsetzungsmodus
Der Betrieb selbst	Eine Warnung ohne zuständige Person ist ein Protokolleintrag	Zuständigkeiten, Eskalationswege, Abdeckung außerhalb der Bürozeiten

Die erste Zeile verdient Zahlen, weil sie in der Praxis den größten Anteil hat. Der Microsoft Digital Defense Report 2024 hielt fest, dass bei den Angriffen, die tatsächlich bis zur Verschlüsselung kamen, über 90 Prozent nicht verwaltete Geräte als Einstiegspunkt oder für die entfernte Verschlüsselung nutzten. Im selben Zeitraum stieg die Zahl der Berührungen mit von Menschen gesteuerter Ransomware auf das 2,75-Fache, während der Anteil der Organisationen, bei denen es bis zur Verschlüsselung kam, über zwei Jahre um mehr als das Dreifache sank. Die Erkennung wurde also besser. Der Weg um sie herum blieb derselbe.

Entfernte Verschlüsselung ist dabei das Verfahren, das die Logik von Endpunktschutz am direktesten aushebelt. Der Schadcode läuft auf einem nicht verwalteten Rechner und verschlüsselt Dateien auf anderen Systemen über Dateifreigaben. Auf den geschützten Systemen wird nie ein verdächtiger Prozess ausgeführt, sondern nur eine Datei verändert. Ein einziges unverwaltetes Gerät reicht, um eine sonst vollständig geschützte Umgebung zu treffen. Was daraus folgt, haben wir im Leitfaden zu Ransomware und ihrer Abwehr ausführlich beschrieben.

Ausschlüsse sind bewusst gesetzte Lücken

Microsoft formuliert es in der eigenen Dokumentation unmissverständlich: Jeder Ausschluss ist eine Schutzlücke und verringert die Verteidigung. In der Praxis sind Ausschlusslisten trotzdem der am schnellsten wachsende und am seltensten geprüfte Teil einer Defender-Konfiguration.

Drei Punkte aus der Dokumentation, die im Betriebsalltag selten ankommen:

• Ausschlüsse wirken weiter, als man denkt. Sie verringern auch den Schutz für Funktionen, die auf dem Virenschutzmodul aufsetzen, etwa Datei- und Zertifikatindikatoren. Prozessausschlüsse verhindern zusätzlich, dass Netzwerkschutz und Regeln zur Angriffsflächenreduzierung den Datenverkehr dieser Prozesse prüfen.
• Ein häufiger Fehler macht sie unwirksam. Ein Ausschlusswert, der nur aus einem Dateinamen besteht, schließt die Datei nicht zuverlässig aus. Erforderlich ist der vollständige Pfad. Wer das falsch einträgt, hat weder Schutz noch die erhoffte Ausnahme.
• Ein Ausschluss beim Virenschutz ist keine Blindheit bei EDR. Ausgeschlossene Dateien können weiterhin Verhaltenserkennungen und EDR-Warnungen auslösen. Unter macOS gilt das allerdings umgekehrt: benutzerdefinierte Ausschlüsse wirken dort nur für Virenscans, nicht für EDR.

Praktischer Rat, der wenig kostet: Behandeln Sie die Ausschlussliste wie eine Zugriffsliste. Jeder Eintrag braucht einen Grund, eine verantwortliche Person und ein Ablaufdatum. Ausschlüsse, die vor drei Jahren für eine Anwendung gesetzt wurden, die es nicht mehr gibt, sind der Normalfall, nicht die Ausnahme. Diese Art von Grundlagenarbeit gehört in die dokumentierte Steuerung und nicht in ein Ticket, das niemand wiederfindet.

Die Aufbewahrungsfrist, die kaum jemand prüft

Zwischen dem Zeitraum, den Sie im Portal sehen, und dem Zeitraum, den Sie tatsächlich durchsuchen können, liegt ein Faktor von sechs. Dieser Unterschied entscheidet regelmäßig darüber, ob ein Vorfall aufgeklärt werden kann oder nicht.

Microsoft Defender bewahrt Daten 180 Tage auf und stellt sie in dieser Zeit im Portal dar. In der erweiterten Bedrohungssuche, also dort, wo Sie eigene Abfragen über die Rohdaten laufen lassen, reichen die Daten jedoch nur 30 Tage zurück, sofern sie nicht über Microsoft Sentinel weitergeleitet werden. Genau diese Abfragen brauchen Sie, wenn Sie den Verlauf eines Vorfalls rekonstruieren wollen.

Eine Verlängerung ist möglich und kostet Geld. Eine Ausdehnung über 30 Tage hinaus bis zu 90 Tagen verursacht Aufnahmekosten in Sentinel, aber keine zusätzlichen Speicherkosten. Über die Data-Lake-Stufe sind Aufbewahrungszeiten bis zu zwölf Jahren möglich, wobei die letzten 30 Tage weiterhin unmittelbar in der Bedrohungssuche verfügbar bleiben. Wichtig ist der Zeitpunkt der Entscheidung: Wenn Sie die Weiterleitung erst nach einem Vorfall einschalten, beginnt die Aufbewahrung ab diesem Tag. Rückwirkend entsteht nichts.

Dass dieses Problem real ist und nicht theoretisch, zeigt der Sophos Active Adversary Report 2026. Auf Basis von 661 Vorfällen aus Incident Response und betriebener Erkennung zwischen November 2024 und Oktober 2025 in 70 Ländern hat sich die Zahl der Fälle mit fehlenden Protokollen gegenüber dem Vorjahr verdoppelt. Wesentlicher Treiber waren Firewall-Systeme mit einer voreingestellten Aufbewahrung von sieben Tagen, in einzelnen Fällen von 24 Stunden. Kein Erkennungsprodukt und kein noch so gutes Team kann untersuchen, was nie gespeichert wurde.

Identität ist die Lücke, die kein Endpunktschutz schließt

Der häufigste Ausgangspunkt eines Vorfalls ist inzwischen kein Schadprogramm, sondern ein gültiges Anmeldedatenpaar, und dagegen hilft ein Endpunktprodukt strukturell wenig. Wer sich anmeldet, muss nichts umgehen.

Sophos ordnete in derselben Untersuchung 67,32 Prozent der Vorfälle einer identitätsbezogenen Ursache zu: kompromittierte Zugangsdaten mit 42,06 Prozent, Brute-Force-Angriffe mit 15,58 Prozent und Phishing mit 6,35 Prozent. In 59 Prozent der Fälle fehlte Mehr-Faktor-Authentifizierung oder war so konfiguriert, dass Angreifer sie umgehen konnten. Bis zum Active Directory brauchten Angreifer im Mittel 3,4 Stunden.

Die aufschlussreichste Zahl ist eine andere. Bei 97 Prozent der Opfer, bei denen kompromittierte Zugangsdaten die Ursache waren, war Mehr-Faktor-Authentifizierung zum Zeitpunkt des Angriffs in irgendeiner Form aktiviert. Der Schaden entsteht also nicht dort, wo die Maßnahme fehlt, sondern in den Lücken ihrer Abdeckung: bei Dienstkonten, bei Altprotokollen, bei Ausnahmen für einzelne Anwendungen, bei Notfallzugängen. Der Microsoft Digital Defense Report 2025 beziffert die Wirksamkeit moderner Mehr-Faktor-Authentifizierung auf über 99 Prozent und stellt zugleich fest, dass 97 Prozent der Identitätsangriffe schlichte Passwortangriffe sind, also Passwortspray oder Brute Force. Beides passt zusammen: Die Maßnahme wirkt, wo sie greift, und die Angreifer suchen die Stellen, an denen sie nicht greift.

Für die Abdeckungsfrage bedeutet das zweierlei. Erstens sitzt der relevante Angriffsweg in einem Produkt, das in E3 nicht enthalten ist. Zweitens ist die Ausnahmeliste Ihrer Zugriffsrichtlinien sicherheitsrelevanter als die Feinheiten Ihrer Virenschutzkonfiguration. Wie Angreifer an diese Zugangsdaten kommen, behandelt unser Beitrag zu Phishing und seiner Erkennung.

Die Lücke, die keine Lizenz schließt

Auch eine vollständig lizenzierte und sauber konfigurierte Defender-Umgebung erzeugt am Ende nur eines: Warnungen, die jemand lesen und bewerten muss. Diese Person ist in keinem Lizenzpaket enthalten.

Der Zeitpunkt macht die Sache schwierig. Sophos stellte fest, dass 88 Prozent der Ransomware-Nutzlasten außerhalb der regulären Arbeitszeit ausgebracht werden und 79 Prozent der Datenabflüsse ebenfalls außerhalb der Bürozeiten stattfinden. Eine Warnung um 02:30 Uhr am Sonntag ist technisch dasselbe wie eine Warnung um 10:00 Uhr am Dienstag. Betrieblich ist sie etwas völlig anderes.

Dazu kommt das Tempo. Wenn ein Angreifer im Mittel nach 3,4 Stunden das Active Directory erreicht, dann ist eine Bearbeitung am nächsten Werktag keine verzögerte Reaktion, sondern gar keine. Diese Rechnung ist der eigentliche Grund, warum Organisationen Erkennung und Reaktion einkaufen, und sie hängt nicht davon ab, welches Produkt die Warnung erzeugt hat.

Die gute Nachricht für Microsoft-Umgebungen: Sie erzeugen die nötige Telemetrie bereits und bezahlen sie in vielen Fällen auch. Was fehlt, ist der Betrieb darauf. Eine Schicht über Sentinel, Defender, Intune und Entra ID setzt genau dort an, und die Erkennungs- und Reaktionsplattform arbeitet auf dem vorhandenen Bestand, statt ihn zu ersetzen. Wie die zugehörige Sicherheitsarchitektur aufgebaut ist, können Sie im Detail nachlesen. Je nach Trägerschaft unterscheidet sich der Zuschnitt: Dienstleister mit vielen Mandanten haben andere Anforderungen als kleinere Organisationen ohne eigenes Sicherheitsteam oder große Unternehmen mit bestehendem Team.

Microsoft Defender und NIS2

Für die Nachweispflichten aus NIS2 ist nicht entscheidend, welches Produkt Sie einsetzen, sondern ob Sie im Ernstfall belegen können, was passiert ist. Genau an dieser Stelle werden die zuvor beschriebenen Aufbewahrungsfristen zu einem Compliance-Thema.

Artikel 21 der Richtlinie verlangt geeignete und verhältnismäßige technische und organisatorische Maßnahmen, ausdrücklich einschließlich der Bewältigung von Sicherheitsvorfällen und Konzepten zur Bewertung der Wirksamkeit. Artikel 23 setzt die Fristen: eine Frühwarnung an die zuständige Stelle binnen 24 Stunden nach Kenntnis eines erheblichen Vorfalls und eine ausführlichere Meldung binnen 72 Stunden.

Die 72-Stunden-Meldung ist der Punkt, an dem eine 30-Tage-Abfragehistorie zum Problem wird. Wenn ein Angreifer sich sechs Wochen unbemerkt bewegt hat, sind die entscheidenden frühen Schritte bereits aus dem durchsuchbaren Fenster gefallen, und Sie melden eine Bewertung, die Sie nicht vollständig belegen können. Aufbewahrung ist deshalb keine reine Speicherfrage, sondern eine Meldefähigkeit. Wer wissen will, ob die Pflichten überhaupt greifen, findet die Einordnung unter welche Unternehmen unter NIS2 fallen, die laufende Umsetzung beschreibt NIS2 in der Praxis, und die NIS2-Übersicht ordnet die Anforderungen den Maßnahmen zu.

Der Umfang des Problems ist national gut dokumentiert. Das BSI verzeichnete im Berichtszeitraum Juli 2024 bis Juni 2025 durchschnittlich 119 neue Schwachstellen pro Tag, ein Zuwachs von 24 Prozent gegenüber dem Vorjahr, sowie rund 280.000 neue Schadprogrammvarianten täglich. Hochgerechnet sind das mehr als 43.000 Schwachstellen im Jahr. Kein Team bewertet diese Menge vollständig. Priorisierung ist keine Bequemlichkeit, sondern die einzige verfügbare Arbeitsweise, und sie setzt voraus, dass Sie Nachweise statt Zusicherungen vorliegen haben.

Was Sie konkret prüfen sollten

Sieben Prüfungen decken die Mehrzahl der real vorhandenen Lücken auf, und keine davon dauert länger als einen Vormittag. Sie brauchen dafür keinen externen Anbieter.

Prüfung	Was ein schlechtes Ergebnis bedeutet
Anzahl eingebundener Geräte gegen das Anlagenverzeichnis abgleichen	Die Differenz ist Ihre tatsächliche Angriffsfläche, nicht Ihr Restrisiko
Sind alle Server eingebunden und gesondert lizenziert?	Der Dateiserver ist das Ziel, nicht der Arbeitsplatz
Welche Regeln zur Angriffsflächenreduzierung stehen auf Blockieren, welche nur auf Überwachen?	Überwachungsmodus zeichnet auf und verhindert nichts
Ausschlussliste ausdrucken und jeden Eintrag begründen lassen	Einträge ohne aktuellen Grund sind offene Türen mit Bestandsschutz
Wie weit reicht die Bedrohungssuche tatsächlich zurück?	30 Tage genügen für eine 72-Stunden-Meldung nach sechs Wochen Verweildauer nicht
Für welche Konten und Protokolle gibt es Ausnahmen von der Mehr-Faktor-Authentifizierung?	Diese Liste ist der wahrscheinlichste Einstiegsweg
Wer bearbeitet eine Warnung um 03:00 Uhr, und wie wird diese Person erreicht?	Ohne Antwort ist die Erkennung eine Aufzeichnung

Die letzten drei Zeilen sind die, an denen es in der Praxis scheitert. Die ersten vier lassen sich an einem Vormittag beantworten und verändern das Bild oft erheblich.

Warum gemeinsame Verteidigung die Rechnung verändert

Dieselbe Vorgehensweise trifft viele Organisationen nacheinander, und deshalb lässt sich das zweite Ziel mit dem verteidigen, was beim ersten sichtbar geworden ist. Diese Eigenschaft von Angriffen wird beim Vergleich von Produkten fast immer übersehen.

Ein einzelnes Unternehmen sieht nur, was in der eigenen Umgebung passiert. Bei 119 neuen Schwachstellen pro Tag und einer Angreiferseite, die dieselben Werkzeuge gegen viele Ziele einsetzt, ist das eine schmale Grundlage. Genau hier setzt die gemeinsame Bedrohungsaufklärung von UnifiedONE an: Ein Angriff, der in einer Mitgliedsumgebung untersucht wurde, wird zu einer geprüften Erkennung für alle übrigen. Was Angreifer in Microsoft-Umgebungen tatsächlich getan haben, wird wöchentlich offen in The Repeat dokumentiert.

Für die Ausgangsfrage dieses Artikels heißt das: Die Erkennungsqualität Ihres Produkts ist eine Konstante, an der Sie wenig ändern können und wenig ändern müssen. Veränderbar sind die Reichweite der Abdeckung, die Aufbewahrung der Daten und die Frage, wie schnell Sie von einem Angriff erfahren, der anderswo bereits stattgefunden hat.

Häufige Fragen

Reicht Microsoft Defender für Unternehmen aus?

Für die Erkennung von Schadsoftware ja, das belegen unabhängige Tests mit Spitzenwerten. Als vollständige Sicherheitslösung nicht, und zwar aus drei Gründen: Der in Windows enthaltene Virenschutz bietet keine zentrale Verwaltung und keine Untersuchungsfunktionen, wesentliche Bausteine wie Identitäts- und SaaS-Schutz sind nur in höheren Lizenzstufen enthalten, und niemand liest die Warnungen außerhalb der Bürozeiten.

Was ist der Unterschied zwischen Defender for Endpoint Plan 1 und Plan 2?

Plan 1 deckt Prävention ab: Virenschutz der nächsten Generation, Angriffsflächenreduzierung, Gerätesteuerung und Webschutz. Plan 2 ergänzt Erkennung und Untersuchung: EDR mit Live Response und sechs Monaten Historie, erweiterte Bedrohungssuche per Abfragesprache, automatisierte Untersuchung und Behebung sowie Schwachstellenmanagement. Plan 1 ist in Microsoft 365 E3 enthalten, Plan 2 in E5.

Was ist Microsoft Defender XDR?

Defender XDR ist die Korrelationsschicht, die Signale aus Endpunkten, E-Mail, Identitäten und Cloud-Anwendungen zu einem gemeinsamen Vorfall zusammenführt. Es ist keine zusätzliche Schutzschicht, sondern eine Auswertung. Der Umfang hängt vollständig davon ab, welche der zugrundeliegenden Dienste Sie lizenziert haben.

Sind Server in Microsoft Defender enthalten?

Nein. Benutzerlizenzen decken Clientgeräte ab, in der Regel bis zu fünf pro Benutzer. Für jede Instanz von Windows Server oder Linux ist eine gesonderte Lizenz nötig. Bei Defender for Business sind maximal 60 Serverlizenzen pro Abonnement möglich, darüber hinaus führt der Weg zu Defender for Endpoint Server oder Defender for Servers.

Wie lange bewahrt Microsoft Defender Daten auf?

Daten werden 180 Tage aufbewahrt und im Portal dargestellt. In der erweiterten Bedrohungssuche sind sie jedoch nur 30 Tage lang abfragbar, sofern sie nicht über Microsoft Sentinel weitergeleitet werden. Eine Verlängerung auf bis zu 90 Tage verursacht Aufnahmekosten, über die Data-Lake-Stufe sind bis zu zwölf Jahre möglich. Die Aufbewahrung beginnt erst mit der Aktivierung, nicht rückwirkend.

Sind Ausschlüsse in Defender gefährlich?

Microsoft bezeichnet jeden Ausschluss ausdrücklich als Schutzlücke. Sie wirken weiter als erwartet, weil auch Funktionen betroffen sind, die auf dem Virenschutzmodul aufsetzen, und Prozessausschlüsse zusätzlich Netzwerkschutz und Regeln zur Angriffsflächenreduzierung aussetzen. Behandeln Sie die Liste wie eine Zugriffsliste: Grund, Verantwortliche, Ablaufdatum.

Braucht man neben Defender noch Microsoft Sentinel?

Sobald Sie länger als 30 Tage zurück abfragen wollen, Protokolle aus Quellen außerhalb der Microsoft-Welt einbinden müssen oder Nachweise für Meldepflichten und Versicherer brauchen, ja. Für reine Endpunkterkennung in einer überschaubaren Umgebung nicht zwingend. Die Entscheidung fällt an der Aufbewahrungs- und Nachweisfrage, nicht an der Erkennungsfrage.

Kurz zusammengefasst

• Defender ist kein Produkt, sondern eine Familie. Klären Sie zuerst, welche Dienste Sie lizenziert haben, bevor Sie über Lücken sprechen.
• Die Erkennungsleistung ist unabhängig bestätigt: 6,0 von 6,0 Punkten Schutzwirkung bei AV-TEST im April 2026, mit einer messbaren Schwäche bei der Offline-Erkennung laut AV-Comparatives.
• Microsoft hat an den ATT&CK Evaluations Enterprise 2025 von MITRE nicht teilgenommen. Ein direkter unabhängiger Vergleich der Reaktionsfähigkeit ist derzeit nicht möglich.
• Die größte Einzellücke ist die Lizenzstufe. In E3 fehlen EDR, Bedrohungssuche, Identitätsschutz und SaaS-Sichtbarkeit.
• Über 90 Prozent der Angriffe, die bis zur Verschlüsselung kamen, nutzten laut Microsoft nicht verwaltete Geräte. Das ist eine Inventarfrage, keine Produktfrage.
• Im Portal sehen Sie 180 Tage, abfragen können Sie 30. Für eine Meldung nach Artikel 23 NIS2 kann das zu wenig sein.
• 67,32 Prozent der Vorfälle hatten laut Sophos eine identitätsbezogene Ursache, und bei 97 Prozent der Fälle mit kompromittierten Zugangsdaten war Mehr-Faktor-Authentifizierung aktiviert. Entscheidend sind die Ausnahmen.
• 88 Prozent der Ransomware-Nutzlasten werden außerhalb der Arbeitszeit ausgebracht. Keine Lizenzstufe stellt jemanden ein, der nachts hinsieht.

Quellen

1. AV-TEST, Test Microsoft Defender Antivirus (Enterprise) 4.18 for Windows 11, April 2026. Abgerufen am 3. September 2026.
2. AV-Comparatives, Malware Protection Test March 2026, März 2026. Abgerufen am 3. September 2026.
3. MITRE, ATT&CK Evaluations Advance Cloud Security and Counter-Espionage, 10. Dezember 2025, sowie die Ergebnisübersicht unter evals.mitre.org. Abgerufen am 3. September 2026.
4. SecurityWeek, MITRE Posts Results of 2025 ATT&CK Enterprise Evaluations, Dezember 2025, zur Teilnehmerliste und zu den Absagen von Microsoft, SentinelOne und Palo Alto Networks. Abgerufen am 3. September 2026.
5. Microsoft Learn, Datenaufbewahrung und Datensicherheit in Microsoft Defender XDR. Abgerufen am 3. September 2026.
6. Microsoft Learn, Übersicht über Ausschlüsse und Indikatoren in Microsoft Defender Antivirus sowie Häufige Fehler bei Ausschlüssen. Abgerufen am 3. September 2026.
7. Microsoft Learn, Microsoft Defender for Business, häufig gestellte Fragen, zu Nutzer- und Gerätegrenzen sowie zur gesonderten Serverlizenzierung. Abgerufen am 3. September 2026.
8. Microsoft Tech Community, Microsoft Defender for Office 365 Plan 1 is now rolling out to Microsoft 365 E3, Juni 2026. Abgerufen am 3. September 2026.
9. Microsoft, Microsoft Digital Defense Report 2024, zum Anteil nicht verwalteter Geräte bei Angriffen, die die Verschlüsselungsphase erreichten. Abgerufen am 3. September 2026.
10. Microsoft, Microsoft Digital Defense Report 2025, Oktober 2025, zu Identitätsangriffen und zur Wirksamkeit von Mehr-Faktor-Authentifizierung. Abgerufen am 3. September 2026.
11. Sophos X-Ops, Nowhere, man: The 2026 Active Adversary Report, Februar 2026, auf Basis von 661 Fällen zwischen November 2024 und Oktober 2025 in 70 Ländern. Abgerufen am 3. September 2026.
12. Bundesamt für Sicherheit in der Informationstechnik, Die Lage der IT-Sicherheit in Deutschland, Berichtszeitraum Juli 2024 bis Juni 2025. Abgerufen am 3. September 2026.
13. Europäische Union, Richtlinie (EU) 2022/2555 (NIS2), Artikel 21 und 23. Abgerufen am 3. September 2026.