Virenscanner-Checkliste für KMU: 7 Funktionen, die ein Endpunktschutz heute braucht

Ein Virenscanner muss heute mehr können, als Dateien mit einer Liste bekannter Schädlinge zu vergleichen. Sieben Funktionen entscheiden, ob ein Endpunktschutz aktuellen Angriffen standhält: Verhaltensüberwachung mit Cloudschutz, Schutz vor gefährlichen Webseiten, Regeln zur Verringerung der Angriffsfläche, Erkennung und Reaktion auf dem Gerät, automatische Angriffsunterbrechung, Schwachstellenverwaltung und eine zentrale Verwaltung aller Geräte. Dazu kommt die Frage, wer die Warnungen liest. Für kleine und mittlere Unternehmen mit Microsoft 365 Business Premium ist Microsoft Defender for Business die naheliegende Lösung: Es bringt laut Microsoft Virenschutz der nächsten Generation, Endpoint Detection and Response, automatische Angriffsunterbrechung und Schwachstellenverwaltung für Windows, macOS, iOS und Android mit; Server kommen über eine Zusatzlizenz dazu. Was die Begriffe bedeuten und wie Sie Ihren Schutz an der Checkliste messen, ordnet dieser Artikel. Einen Überblick über unsere Leistung finden Sie auf der Seite Endpoint Security für KMU.

Die Begriffe: Virenscanner, Endpoint Protection, EDR, MDR und XDR

Endpoint Security bezeichnet den Schutz aller Endgeräte, die auf Ihr Netzwerk und Ihre Daten zugreifen. Microsoft zählt dazu Notebooks, Desktops, Smartphones, Tablets, Server und virtuelle Maschinen, aber auch vernetzte Geräte wie Kameras oder smarte Lautsprecher. Endpoint Protection, oft als EPP abgekürzt, ist die vorbeugende Schicht: Virenschutz, Verhaltensanalyse, Schutz vor gefährlichen Webseiten und Regeln, die typische Angriffswege schließen. Der klassische Virenscanner ist ein Teil davon, aber eben nur ein Teil.

EDR steht für Endpoint Detection and Response. Ein EDR überwacht laut Microsoft fortlaufend die Aktivitäten auf den Geräten, erkennt verdächtiges Verhalten und hilft, Vorfälle zu untersuchen und darauf zu reagieren, etwa durch das Isolieren eines Geräts vom Netzwerk. Es geht über den Virenscanner hinaus, weil es auch Angriffe ohne Schaddatei sichtbar macht: gestohlene Zugangsdaten, missbräuchlich genutzte Bordmittel des Systems, Bewegungen von Gerät zu Gerät. XDR, Extended Detection and Response, erweitert diesen Blick über die Geräte hinaus auf Identitäten, E-Mail, Cloud-Anwendungen und Netzwerk und führt die Signale in einer Oberfläche zusammen. MDR, Managed Detection and Response, ist dagegen kein Produkt, sondern eine Dienstleistung: Fachleute überwachen die Warnungen aus EDR oder XDR rund um die Uhr, bewerten sie und reagieren. Microsoft beschreibt den Unterschied so: XDR ist ein Softwarewerkzeug, das Sicherheitsprodukte und Daten zusammenführt, aber kein verwalteter Dienst mit einem Team menschlicher Analysten, wie MDR es ist.

Warum Signaturen allein nicht mehr reichen

Der signaturbasierte Virenscanner erkennt, was er kennt: eine Datei, deren Fingerabdruck in seiner Datenbank steht. Angreifer haben sich darauf eingestellt. Sie melden sich mit gestohlenen oder abgefischten Passwörtern regulär an, nutzen Fernwartungswerkzeuge und Skripte, die auf jedem Windows vorhanden sind, und verschlüsseln Daten erst, wenn sie sich im Netz umgesehen haben. Für den Scanner sieht das aus wie normale Arbeit. Warum das so ist und was EDR dagegen ausrichtet, haben wir im Beitrag Warum ein Virenscanner heute nicht mehr reicht ausgeführt.

Moderne Endpoint Protection setzt deshalb an mehreren Stellen an. Verhaltensüberwachung erkennt Programme daran, was sie tun, nicht daran, wie sie heißen. Cloudschutz prüft unbekannte Dateien innerhalb von Sekunden gegen die aktuelle Bedrohungslage und blockiert sie beim ersten Auftreten. Netzwerkschutz verhindert den Aufruf von Phishingseiten und von Seiten, die Schadcode ausliefern. Regeln zur Verringerung der Angriffsfläche unterbinden zum Beispiel, dass Office-Dokumente Programme starten. Und die Erkennungsschicht zeichnet Prozesse, Netzwerkverbindungen, Anmeldungen und Änderungen am System auf, damit ein Vorfall rückwärts verfolgt werden kann. Erst dieses Zusammenspiel macht aus einem Virenscanner eine Endpoint Security.

Die Checkliste: sieben Funktionen, die ein Endpunktschutz heute braucht

Prüfen Sie Ihren aktuellen Schutz Punkt für Punkt. Alle sieben Funktionen sind in Microsoft Defender for Business enthalten; die Angaben dazu stammen aus der Dokumentation von Microsoft. Bei anderen Produkten fragen Sie den Hersteller nach genau diesen Punkten.

1. Verhaltensüberwachung und Cloudschutz in Echtzeit. Der Schutz erkennt Programme daran, was sie tun, nicht nur daran, wie sie heißen, und prüft unbekannte Dateien innerhalb von Sekunden gegen die aktuelle Bedrohungslage. Bei Defender for Business sind laut Microsoft der Echtzeitschutz mit Verhaltensüberwachung, die Prüfung aller heruntergeladenen Dateien und das Blockieren beim ersten Auftreten mit hoher Cloudblockstufe in der Standardrichtlinie aktiv; neue Sicherheitsinformationen holt der Dienst alle vier Stunden.
2. Schutz vor gefährlichen Webseiten und Phishing. Der Netzwerkschutz verhindert den Aufruf von Phishingseiten und von Seiten, die Schadcode ausliefern, egal ob der Link aus einer E-Mail, einem Chat oder einem Dokument kommt. In der Standardrichtlinie von Defender for Business läuft er laut Microsoft im Blockmodus; potenziell unerwünschte Anwendungen werden ebenfalls blockiert.
3. Regeln zur Verringerung der Angriffsfläche. Typische Angriffswege werden geschlossen, bevor Schadcode überhaupt läuft, zum Beispiel, dass Office-Dokumente Programme starten. Dazu gehört eine vereinfachte Konfiguration von Firewall und Virenschutz für Windows, die Defender for Business laut Microsoft mitbringt.
4. Erkennung und Reaktion auf dem Gerät (EDR). Der Schutz zeichnet Prozesse, Netzwerkverbindungen, Anmeldungen und Änderungen am System auf, fasst Warnungen zu Vorfällen zusammen und erlaubt Gegenmaßnahmen: Ihr Administrator oder Ihr IT-Dienstleister kann laut Microsoft manuell einen Virenscan starten, ein Gerät isolieren, eine Datei stoppen und in Quarantäne verschieben sowie Dateien per Indikator sperren oder freigeben. Die automatisierte Untersuchung und Behebung arbeitet Warnungen selbstständig ab.
5. Automatische Angriffsunterbrechung. Erkennt der Schutz einen von Menschen gesteuerten Angriff, etwa den Anlauf einer Ransomware, muss er selbst handeln, bevor jemand die Warnung liest. Defender for Business kapselt laut Microsoft das betroffene Gerät, trennt die Verbindungen der betroffenen Benutzerkonten auf diesem Gerät, um die Ausbreitung im Netz zu begrenzen, und legt einen Vorfall im Portal an. Die Funktion ist ohne weitere Einrichtung aktiv.
6. Schwachstellenverwaltung. Der Schutz zeigt, welche Software auf den Geräten installiert ist, welche bekannten Schwachstellen sie hat und was zuerst zu tun ist. Defender for Business liefert dafür laut Microsoft einen Gefährdungswert, Sicherheitsempfehlungen und eine Softwareinventur der Geräte samt der dazu bekannten Schwachstellen.
7. Zentrale Verwaltung aller Geräte. Standardrichtlinien, die vom ersten Tag an für alle eingebundenen Geräte gelten, eine zentrale Sicht auf Windows, macOS, iOS und Android, Benachrichtigungen bei neuen Vorfällen und ein monatlicher Sicherheitsbericht ersparen kleinen Teams die tägliche Kontrolle jedes einzelnen Rechners. Bei Defender for Business läuft die Verwaltung im Microsoft Defender Portal; wer Microsoft Intune nutzt, kann die Richtlinien laut Microsoft auch dort pflegen.

Fehlt einer dieser Punkte, ist Ihr Virenscanner nur die vorbeugende Schicht ohne die Erkennungsschicht dahinter. Dann bleibt im Ernstfall nur das Ziehen des Netzwerksteckers.

Was Microsoft Defender for Business abdeckt

Microsoft Defender for Business ist laut Microsoft eine Endpoint Security auf Basis von Microsoft Defender for Endpoint, zugeschnitten auf Unternehmen mit bis zu 300 Nutzern. Es ist in Microsoft 365 Business Premium enthalten und daneben einzeln erhältlich, etwa als Ergänzung zu Business Basic oder Business Standard. Die Verwaltung läuft im Microsoft Defender Portal; wer Microsoft Intune nutzt, kann die Richtlinien auch dort pflegen. Microsoft liefert Standardrichtlinien mit empfohlenen Einstellungen aus, die für alle eingebundenen Geräte vom ersten Tag an gelten.

Unterstützt werden Windows 10 und 11 in den Editionen Business, Pro und Enterprise, die drei aktuellen macOS-Versionen sowie iOS und Android über die Mobilgeräteabwehr oder über Intune; Windows Server und Linux brauchen die Zusatzlizenz Defender for Business servers. Die Daten können laut Microsoft in einem Rechenzentrum in der Europäischen Union liegen.

Was nicht enthalten ist, gehört zur ehrlichen Beschreibung: Die erweiterte Suche in den Rohdaten, die Datenaufbewahrung über sechs Monate und der Expertendienst Microsoft Threat Experts bleiben laut Vergleichstabelle von Microsoft dem Plan 2 von Defender for Endpoint vorbehalten. Defender for Business ist also ein EDR, aber kein MDR. Wer die Warnungen bewertet und reagiert, müssen Sie selbst regeln.

Über die Checkliste hinaus: Abdeckung, Zusammenspiel und der Mensch

Die sieben Funktionen sind die Technik. Damit sie wirken, kommt es auf drei weitere Dinge an. Erstens die Abdeckung: Jedes Gerät, das E-Mails liest oder Firmendaten öffnet, gehört in den Schutz, auch die Macs der Geschäftsführung, die Smartphones des Außendienstes und der Server im Keller. Microsoft empfiehlt im Zusammenhang mit der Angriffsunterbrechung, alle Geräte des Unternehmens einzubinden, Computer wie Smartphones und Tablets, damit sie so früh wie möglich geschützt sind. Ein Gerät außerhalb des Schutzes kann die offene Tür sein, durch die der Angriff kommt.

Zweitens das Zusammenspiel mit dem Rest der Sicherheit. Endpoint Security schützt Geräte, nicht Konten; ohne Multi-Faktor-Authentifizierung bleibt der Weg über gestohlene Passwörter offen. Die Schwachstellenverwaltung nützt nur, wenn ihre Empfehlungen in ein geregeltes Patchmanagement münden. Und drittens der Mensch: Legen Sie fest, wer werktags und wer am Wochenende auf eine Warnung reagiert, in welcher Zeit und mit welchen Befugnissen. Ohne diese Antwort bleibt ein EDR ein Rekorder, der einen Einbruch aufzeichnet, den niemand anschaut.

EDR, MDR oder beides: die Frage nach dem Betrieb

Für viele kleine Unternehmen ist die Technik nicht der Engpass, sondern der Betrieb. Ein EDR erzeugt Warnungen, die jemand innerhalb von Stunden bewerten muss, am Wochenende ebenso wie in der Urlaubszeit. Drei Wege sind üblich: Die eigene IT übernimmt die Überwachung, ein IT-Dienstleister betreut die Geräte und reagiert im Rahmen seiner Erreichbarkeit, oder ein MDR-Dienst mit Sicherheitsleitstelle überwacht rund um die Uhr. Der passende Weg hängt davon ab, wie lange Ihr Betrieb einen Ausfall verkraftet und ob Versicherer oder Kunden Nachweise verlangen. Welche Kombination für welche Unternehmensgröße sinnvoll ist, vergleichen wir auf der Seite EDR, MDR und XDR im Vergleich.

Häufige Fragen

Reicht der in Windows eingebaute Defender nicht aus?

Microsoft Defender Antivirus in Windows ist ein solider Virenschutz, also die vorbeugende Schicht. Erkennung und Reaktion, automatische Angriffsunterbrechung, Schwachstellenverwaltung und die zentrale Verwaltung aller Geräte kommen erst mit Defender for Business hinzu. Voraussetzung sind Windows 10 oder 11 in den Editionen Business, Pro oder Enterprise; Windows Home steht laut Microsoft nicht auf der Liste der unterstützten Editionen.

Brauchen auch Smartphones Endpoint Security?

Ja. Auf dem Smartphone landen dieselben Phishinglinks wie am PC, dazu kommen schädliche Apps und ungesicherte WLANs. Defender for Business deckt iOS und Android laut Microsoft über die Mobilgeräteabwehr oder über Intune ab; wichtig ist, dass die Geräte auch tatsächlich eingebunden werden.

Was unterscheidet EDR und MDR in einem Satz?

EDR ist das Werkzeug, das Angriffe auf Geräten erkennt und Gegenmaßnahmen ermöglicht; MDR ist der Dienst, bei dem Fachleute dieses Werkzeug für Sie rund um die Uhr bedienen. Microsoft beschreibt EDR als Tool, das MDR-Anbieter häufig einsetzen, und MDR als Kombination aus Technologie und menschlicher Expertise.

So unterstützt Sie die High5Manufaktur GmbH

Die High5Manufaktur GmbH richtet Microsoft Defender for Business für Ihre Notebooks, Macs, Smartphones und Server ein, bindet alle Geräte ein, schärft die Standardrichtlinien nach und sorgt dafür, dass Vorfälle bei einem Menschen landen, der reagiert. Als Cloud Solution Provider (CSP) stellen wir die passenden Lizenzen bereit und verbinden den Endgeräteschutz mit Multi-Faktor-Authentifizierung, der Geräteverwaltung (MDM) mit Intune und Patchmanagement zu einem stimmigen Ganzen. Sie haben dabei einen festen Ansprechpartner, der Ihre Umgebung kennt. Im kostenlosen Erstgespräch sehen wir uns Ihren aktuellen Schutz an und sagen Ihnen ehrlich, wo Lücken sind. Details zu unserer Leistung finden Sie auf der Seite Endpoint Security für KMU.

Quellen

• Microsoft Learn, What is Microsoft Defender for Business? (inklusive Vergleich mit Defender for Endpoint Plan 1 und 2), Stand 27.08.2025, https://learn.microsoft.com/en-us/defender-business/mdb-overview
• Microsoft Learn, Requirements for Microsoft Defender for Business, Stand 11.09.2025, https://learn.microsoft.com/en-us/defender-business/mdb-requirements
• Microsoft Learn, Review or edit your next-generation protection policies in Microsoft Defender for Business, Stand 24.09.2025, https://learn.microsoft.com/en-us/defender-business/mdb-next-generation-protection
• Microsoft Learn, Automatic attack disruption in Microsoft Defender for Business, Stand 07.06.2024, https://learn.microsoft.com/en-us/defender-business/mdb-attack-disruption
• Microsoft Learn, Overview of endpoint detection and response capabilities (Microsoft Defender for Endpoint), Stand 26.03.2025, https://learn.microsoft.com/en-us/defender-endpoint/overview-endpoint-detection-response
• Microsoft Learn, Review remediation actions in Microsoft Defender for Business (manuelle Reaktionsaktionen), Stand 03.07.2026, https://learn.microsoft.com/en-us/defender-business/mdb-review-remediation-actions
• Microsoft Learn, View your Microsoft Defender Vulnerability Management dashboard in Microsoft Defender for Business, Stand 11.09.2025, https://learn.microsoft.com/en-us/defender-business/mdb-view-tvm-dashboard
• Microsoft Security, What is endpoint security? (Aufzählung der Endgeräte, EPP, EDR, XDR), abgerufen 05.09.2026, https://www.microsoft.com/en-us/security/business/security-101/what-is-endpoint-security
• Microsoft Security, What Is MDR? Managed Detection and Response, abgerufen 05.09.2026, https://www.microsoft.com/en-us/security/business/security-101/what-is-mdr-managed-detection-response