Stellen Sie Windows-Geräte mit dem Microsoft Defender-Bereitstellungstool bereit

Das Microsoft Defender-Bereitstellungstool ist eine leichte, sich selbst aktualisierende Anwendung, die Voraussetzungen installiert und unterstützte Windows-Geräte in Microsoft Defender for Endpoint integriert. Führe das Tool interaktiv auf einzelnen Geräten aus oder automatisiere es mit Kommandozeilenparametern, Konfigurationsdateien, Gruppenrichtlinien, Microsoft Configuration Manager oder einem anderen Software-Deployment-System.

Nutze das Deployment-Tool als separate Onboarding-Methode. Es lässt sich nicht mit dem Onboarding über Microsoft Intune, Microsoft Defender for Cloud oder andere Bereitstellungsmethoden integrieren. Bevor Sie beginnen, prüfen Sie die unterstützten Betriebssysteme und Voraussetzungen.

Das Bereitstellungstool bietet folgende Funktionen:

• Voraussetzungshandhabung: Überprüft erforderliche Updates und behebt Probleme, die die Bereitstellung blockieren.
• Protokollierung und Rückmeldung: Erfasst Operationen in einem lokalen Logbuch und zeigt Fehlerbeschreibungen im interaktiven Modus an.
• Installation und Aktualisierungen: Vermeidet das Neuinstallieren bestehender Komponenten und lädt aktuelle Komponenten bei Bedarf herunter.
• Automatisierung: Unterstützt Kommandozeilenparameter und wiederverwendbare Konfigurationsdateien für automatisierte Deployments.
• Staging: Lädt Installationsdateien für Zielgeräte herunter, die die Dateien nicht direkt herunterladen können.
• Server-Passivmodus: Konfiguriert Microsoft Defender Antivirus so, dass es im passiven Modus auf Windows Server läuft.
• Nicht persistente virtuelle Desktopinfrastruktur (VDI): Sorgt dafür, dass Geräte, die mit demselben Hostnamen neu erstellt werden, im Defender-Portal als ein einzelnes Gerät angezeigt werden.
• Schutzmechanismen für Pakete: Erfordert einen portalgenerierten Zugangsschlüssel für das Onboarding und unterstützt Ablaufdaten für Pakete von einem Tag bis zu einem Jahr. Verwenden Sie die kürzeste praktische Gültigkeitsfrist.
• Paketverwaltung: Listet Deployment-Pakete im Microsoft Defender-Portal auf und ermöglicht es Ihnen, sie nach Eigenschaften wie Status und Ablaufdatum zu filtern.
• Eingebaute Hilfe: Zeigt die verfügbaren Kommandozeilenoptionen an, wenn du . ausführst DefenderDT.exe -?.

Im interaktiven Modus fordert das Tool den Zugangsschlüssel aus dem Defender-Portal an, installiert erforderliche Updates und Defender-Komponenten und verbindet das Gerät mit Defender for Endpoint. Wenn die Installation einen Neustart erfordert, melde dich nach dem Neustart an, damit das Tool fortfahren kann.

Für fortgeschrittene und groß angelegte Deployments verwenden Sie Kommandozeilenparameter oder eine Konfigurationsdatei.

Unterstützte Betriebssysteme

Das Defender-Bereitstellungstool unterstützt die folgenden Betriebssysteme:

• Windows 11
• Windows 10, Version 1809 (November 2018) oder später
• Windows 7 SP1
• Windows Server 2016 oder höher
• Windows Server 2012 R2
• Windows Server 2008 R2 SP1

Voraussetzungen

Überprüfen Sie die allgemeinen Voraussetzungen und die Anforderungen für Windows 7 SP1 und Windows Server 2008 R2 SP1, bevor Sie das Tool einsetzen.

Allgemeine Voraussetzungen

• Die meisten Operationen erfordern Verwaltungsrechte.

• Erlaube Zugriff auf definitionupdates.microsoft.com. Das Tool lädt Updates und Installationsdateien aus dieser Domäne herunter. Da die Dateien in einem Inhaltsverteilungsnetzwerk gehostet werden, sind die zugehörigen IP-Adressbereiche weder statisch noch vorhersehbar.

• Das Tool überprüft die Verbindung zu Ihrer Organisation vor der Einarbeitung. Andere Defender for Endpoint-Funktionen erfordern ebenfalls Zugriff auf Service-URLs wie *.endpoint.security.microsoft.com. Für die vollständigen Anforderungen siehe Konfigurieren Ihrer Netzwerkumgebung, um die Verbindung zum Defender for Endpoint-Dienst sicherzustellen.

Um eine reibungslose Konnektivität zu gewährleisten, schließen Sie den Datenverkehr zu *.endpoint.security.microsoft.com von der SSL/TLS-Inspektion, HTTPS-Interception und dem Man-in-the-Middle-(MITM)-Proxying aus. Wenn Sie die SSL-Inspektion aktivieren, können Defender für Endpunktsensoren möglicherweise nicht mit Back-End-Diensten kommunizieren, was zu Onboarding- oder Konnektivitätsfehlern führt.

Voraussetzungen für Windows 7 SP1 und Windows Server 2008 R2 SP1

• Geräte müssen eine x64-Version von Windows 7 SP1 oder Windows Server 2008 R2 SP1 ausführen. Installieren Sie die neuesten verfügbaren Updates, um die Installationszeit und die Wahrscheinlichkeit eines Neustarts zu reduzieren.

• Installieren Sie SHA-2-Code-Signing-Unterstützung. Das Deployment-Tool erfordert mindestens KB4474419.

  • Installiere das Servicing Stack Update (SSU) KB4490628. Windows Update bietet die erforderliche SSU automatisch an.

  • Installieren Sie das SHA-2-Update KB4474419, das am 10. September 2019 veröffentlicht wurde. Windows Update bietet das erforderliche Update automatisch an.

• Auf Windows Server 2008 R2 SP1 installieren Sie .NET Framework 3.5 oder neuer.

Generieren und Herunterladen eines neuen Onboardingpakets

Generiere ein Onboarding-Paket und einen Zugriffsschlüssel im Microsoft Defender-Portal. Du brauchst den Zugriffsschlüssel, wenn du das Tool interaktiv oder mit dem -Key Parameter ausführst.

1. Auf der Onboarding-Seite im Microsoft Defender-Portal unter https://security.microsoft.com/securitysettings/endpoints/onboarding, konfigurieren Sie die folgenden Einstellungen:

   • Schritt 1: Wählen Sie ein Betriebssystem aus, um die Bereitstellung zu starten: Wählen Sie Windows.
   • Schritt 2: Wählen Sie eine Bereitstellungsoption: Wählen Sie Onboard in Deploy, indem Sie Pakete oder Dateien> herunterladen und anwenden. Defender Deployment-Tool.

   

2. Im Generate Defender-Deployment-Tool mit einem geöffneten Access Key Flyout konfigurieren Sie das Paket:

   • Name: Geben Sie einen eindeutigen, beschreibenden Paketnamen ein.
   • Organisation: Verifizieren Sie die angezeigte Organisation.
   • Ablaufdatum: Nutzen Sie die kürzeste praktische Gültigkeitsperiode, um das Risiko unautorisierter Paketnutzung zu verringern:
     • In 7 Tagen (Standard)
     • In 30 Tagen
     • Custom (bis zu einem Jahr)

   Wählen Sie "Generieren" aus.

   

3. Wenn das Paket bereit ist, kopieren und speichern Sie den Zugangsschlüssel sicher.

   

4. Wählen Sie das Bereitstellungstool herunterladen und speichern Sie die heruntergeladene ausführbare Datei.

Bereitstellen der Defender-Endpunktsicherheit auf Geräten

Führe das Defender-Deployment-Tool interaktiv oder nicht-interaktiv aus.

Interaktive Verwendung

Verwenden Sie den interaktiven Modus für ein Gerät oder eine kleine Anzahl von Geräten. Doppelklicke auf die ausführbare Datei, um die Standard-Onboarding-Einstellungen zu verwenden, oder starte das Tool über die Eingabeaufforderung, um Optionen anzugeben.

Um ein Gerät mit den Standardeinstellungen an Bord zu nehmen:

1. Doppelklicken Sie auf die ausführbare Datei, um sie zu starten.

2. Im Dialog, der bestätigt, dass das Onboarding beginnt, wählen Sie "Weiter" aus.

3. Geben Sie den Schlüssel des Defender-Bereitstellungstools ein, den Sie aus dem Portal kopiert haben, und wählen Sie dann Weiter aus.

   

4. Warte, bis die Installation abgeschlossen ist, und wähle dann OK aus. Wenn das Tool einen Neustart benötigt, melden Sie sich nach dem Neustart an, damit die Installation fortgesetzt werden kann.

Nicht interaktive Verwendung

Nutzen Sie die Kommandozeilen-Schnittstelle, um Installation und Onboarding zu automatisieren oder um andere Operationen auszuführen, wie z. B. Voraussetzungsprüfungen.

Für die verfügbaren Parameter siehe Defender Deployment Tool Command Reference. Um die Befehlsreferenz für deine heruntergeladene Tool-Version einzusehen, führe DefenderDT.exe -?.

Erweiterte und umfangreiche Bereitstellungen

Führen Sie das Defender-Deployment-Tool nicht interaktiv aus Group Policy, Microsoft Configuration Manager oder einem anderen Software-Deployment-System aus. Verwenden Sie Kommandozeilen-Parameter, um Onboarding, Staging, Updates, Neustarts, Proxys und andere Operationen anzupassen.

Für wiederkehrende Deployments verwenden Sie eine Konfigurationsdatei anstelle von wiederholten Kommandozeilenparametern. Führe das Tool mit -MakeConfig aus, um DefenderDTconfig.txt zu erzeugen. Bearbeiten Sie die Konfiguration, und laden Sie sie anschließend mit -Config:<path>. Wenn du keinen Pfad angibst, sucht das Tool im aktuellen Verzeichnis nach DefenderDTconfig.txt. Ein Beispiel finden Sie unter Konfigurationsdatei verwenden.

Befehlsreferenz zum Defender-Einsatzwerkzeug

Die folgende Tabelle listet die Parameter auf, die im Defender-Bereitstellungstool Version 1.0.0.6 (September 2026) verfügbar sind. Führe aus DefenderDT.exe -? , um die in deiner heruntergeladenen Version verfügbaren Parameter zu überprüfen.

Verwenden Sie für das Onboarding, Offboarding, Deinstallieren, Aktualisieren und das Generieren von Konfigurationsdateien eine Eingabeaufforderung mit erhöhten Rechten (ein Eingabeaufforderungsfenster, das Sie geöffnet haben, indem Sie Als Administrator ausführen ausgewählt haben). Die Operationen -Help, -Precheck und -Stage erfordern keine Administratorrechte. Eine Konfigurationsdatei umgeht außerdem die Administratorkontrolle, wenn sie nur Precheck oder Staging angibt.

Verwendungsbeispiele

Ersetzen Sie Platzhalterpfade, Schlüssel und Proxy-Adressen in den folgenden Beispielen durch Werte für Ihre Umgebung. Verwenden Sie eine Eingabeaufforderung mit erhöhten Rechten, mit Ausnahme der Precheck- und Staging-Beispiele.

• Führe die Standard-Onboarding-Sequenz aus, ohne Dialoge anzuzeigen. Das Tool verwendet WindowsDefenderATP.onboarding aus dem aktuellen Ordner:

  DefenderDT.exe -Quiet
  

• Nehmen Sie das Onboarding mit einem Zugriffsschlüssel vor, konfigurieren Sie einen Proxy, erlauben Sie einen erforderlichen Neustart und unterbinden Sie Dialogfelder:

  DefenderDT.exe -Key:<access-key> -Proxy:https://proxy.contoso.com:8080 -AllowReboot -Quiet
  

• Onboarding durch Verwendung einer Onboarding-Datei an einem Netzwerkstandort, ohne Dialoge anzuzeigen:

  DefenderDT.exe -File:\\server.contoso.com\share\WindowsDefenderATP.onboarding -Quiet
  

• Offboarden Sie das Gerät, indem Sie eine lokale Offboarding-Datei verwenden, ohne zur Bestätigung aufgefordert oder Dialoge anzuzeigen:

  DefenderDT.exe -Offboard -File:C:\Packages\WindowsDefenderATP.offboarding -Yes -Quiet
  

• Überprüfen Sie Voraussetzungen, zeigen Sie detaillierte Ausgaben an und verhindern Sie Dialoge:

  DefenderDT.exe -PreCheck -Verbose -Quiet
  

• Lade Installationsdateien für alle unterstützten Windows-Versionen auf einen absoluten Staging Path herunter:

  DefenderDT.exe -Stage:C:\DefenderDT\StagedFiles
  

Verwenden einer Konfigurationsdatei

Erstelle eine Konfigurationsdatei, wenn du dieselben Parameter in mehreren Deployments wiederverwenden möchtest.

1. Generieren Sie DefenderDTconfig.txt im aktuellen Ordner:

   DefenderDT.exe -MakeConfig
   

2. Öffnen Sie DefenderDTconfig.txt in einem Texteditor und konfigurieren Sie die Parameter für Ihre Bereitstellung. Verwenden Sie absolute Pfade für Parameter, die einen Pfad akzeptieren.

3. Führen Sie das Tool mit der Konfigurationsdatei aus. Das folgende Beispiel lädt die Datei von einem Netzwerkstandort:

   DefenderDT.exe -Config:\\server.contoso.com\share\DefenderDTconfig.txt
   

   Wenn DefenderDTconfig.txt sich im aktuellen Ordner befindet, führe DefenderDT.exe -Config aus.

Bereitstellen mithilfe von Gruppenrichtlinien

Verwenden Sie eine Group Policy Immediate Scheduled Task, um das Deployment-Tool wie SYSTEM mit erhöhten Berechtigungen auszuführen. Für die generischen Schritte zum Erstellen, Konfigurieren, Verknüpfen und Testen der geplanten Aufgabe siehe Onboard-Geräte mit der Gruppenrichtlinie.

Verwenden Sie diese Defender-Deployment-Tool-spezifischen Werte:

• Speichere DefenderDT.exe, die .onboarding Datei und jede beliebige DefenderDTconfig.txt Datei an einem freigegebenen, nur lesbaren Speicherort, auf den die Zielgeräte Zugriff haben.
• Für Programm/Skript geben Sie den vollständigen UNC-Pfad zu DefenderDT.exe ein. Verwenden Sie den vollständig qualifizierten Domainnamen (FQDN) des Dateiservers.
• Für Add-Argumente geben Sie die erforderlichen Kommandozeilenparameter ein. Verwenden Sie zum Beispiel -File:\\server\share\WindowsDefenderATP.onboarding -Quiet, wenn sich die Onboarding-Datei nicht im Arbeitsverzeichnis des Tools befindet.
• Führen Sie die Aufgabe als NT AUTHORITY\SYSTEMaus, unabhängig davon, ob ein Benutzer angemeldet ist oder nicht, und wählen Sie Ausführen mit den höchsten Rechten.
• Testen Sie das Group Policy-Objekt (GPO) mit einer begrenzten Gerätegruppe, bevor Sie eine breitere Bereitstellung durchführen.

Weitere Informationen zur Management-Konsole finden Sie unter Group Policy Management Console.

Offboarding eines Geräts

Um ein Gerät zu offboarden, laden Sie das Offboarding-Paket vom Defender-Portal herunter, übertragen es auf das Zielgerät und führen das Deployment-Tool mit dem Paket aus.

Schritt 1: Herunterladen des Offboarding-Pakets

1. Auf der Offboarding-Seite im Microsoft Defender-Portal wählen Sie unter https://security.microsoft.com/securitysettings/endpoints/offboardingWindows unter Betriebssystem auswählen.

2. Unter Defender Deployment Tool wählen Sie Paket herunterladen, um die .zip Datei mit dem Offboarding-Skript herunterzuladen.

   

Schritt 2: Ausführen des offboarding-Befehls

Führen Sie diese Schritte auf dem Gerät durch, das Sie aus dem Verbund entfernen möchten:

1. Kopiere die .zip Datei auf das Zielgerät und entpacke die .offboarding Datei.

2. Führe das Bereitstellungstool in einer erhöhten Eingabeaufforderung mit dem absoluten Pfad zur extrahierten .offboarding Datei aus. Zum Beispiel:

   DefenderDT.exe -Offboard -File:C:\Packages\WindowsDefenderATP.offboarding
   

3. Geben Sie Y im Bestätigungsdialog ein, um fortzufahren.

4. Warten Sie, bis der Vorgang abgeschlossen ist. Nach einem erfolgreichen Offboarding zeigt das Tool folgende Nachricht an:

   Microsoft Defender deployment tool completed, exit code: 0 [Success]
   

Überlegungen und Einschränkungen

Überprüfen Sie die allgemeinen Einschränkungen und die Einschränkungen für Windows 7 SP1 und Windows Server 2008 R2 SP1.

Allgemeine Überlegungen und Einschränkungen

• Wenn die interaktive Sequenz einen Neustart erfordert, melden Sie sich nach dem Neustart erneut an, damit das Tool fortfahren kann. Ansonsten ist das Gerät nicht vollständig eingegliedert.

• Auf Windows Server 2016 und später konnte der Funktions-Aktivierungsschritt 'Windows-Defender' fehlschlagen, wenn die Microsoft Defender Antivirus-Funktion deinstalliert oder entfernt wurde. Die Benutzeroberfläche und das lokale Protokoll zeigen den Ausgangscode 710 und EnableFeatureFailed. Das Log könnte auch den Fehler 14081 und 0x3701 The referenced assembly could not be foundenthalten. Eröffnen Sie einen Support-Fall für Windows Server, wenn Sie auf dieses Problem stoßen.

Bekannte Probleme und Einschränkungen für Windows 7 SP1 und Windows Server 2008 R2 SP1

• Sie erhalten möglicherweise Warnungen zu mpclient.dll, mpcommu.dll, mpsvc.dll, msmplics.dll und sense1ds.dll, die entweder von MpCmdRun.exe oder MsSense.exe geladen werden. Die Warnungen sollten mit der Zeit verschwinden.

• Auf Windows 7 SP1 und Windows Server 2008 R2 SP1 mit installiertem Desktop Experience Pack könnte das Action Center anzeigen, dass Windows keine Antivirensoftware auf diesem Computer gefunden hat. Die Benachrichtigung zeigt kein Bereitstellungsproblem an.

• Verwenden Sie die Vorschauversion des Client-Analyzer-Tools, um Protokolle zu sammeln und die Verbindung auf Windows 7 SP1 und Windows Server 2008 R2 SP1 zu beheben. Der Analyzer benötigt PowerShell 5.1 oder neuer.

• Microsoft Defender Antivirus bietet auf diesen Betriebssystemen keine lokale Benutzeroberfläche. Um die Microsoft Defender Antivirus-Einstellungen lokal zu verwalten, installieren Sie PowerShell 5.1 oder neuer.

• Die Konfiguration der Gruppenrichtlinie erfordert einen Central Store mit aktuellen Gruppenrichtlinienvorlagen auf einem Domänencontroller. Um den Editor für lokale Gruppenrichtlinien zu verwenden, aktualisieren Sie WindowsDefender.admx und WindowsDefender.adml manuell mit den aktuellen Windows 11-Vorlagen.

• Die Defender-Endpunktsicherheitslösung wird in C:\Program Files\Microsoft Defender for Endpoint installiert.

• Der Parameter -Passive des Bereitstellungstools gilt für Windows Server. Es wird für Windows 7 SP1 nicht unterstützt.

Problembehandlung

Überprüfen Sie das Logbuch des Defender-Deployment-Tools auf Probleme während Installation und Onboarding. Das Logbuch befindet sich unter:

C:\ProgramData\Microsoft\DefenderDeploymentTool\DefenderDeploymentTool-<COMPUTERNAME>.log

Das Tool zeichnet außerdem Ereignisse in diesen Windows-Ereignisprotokollen auf:

• Onboarding: Windows-Protokolle > Anwendung > Quelle: WDATPOnboarding
• Offboarding: Windows-Protokolle > Anwendung > Quelle: WDATPOffboarding

Um zu überprüfen, dass die Installation erfolgreich war, führen Sie folgende Prüfungen durch:

1. Überprüfen Sie mit den folgenden Befehlen, ob die Dienste ausgeführt werden:

   Sc.exe query sense
   
   Sc.exe query windefend
   

   Die folgende Ausgabe sollte angezeigt werden:

   SERVICE_NAME: sense
           TYPE               : 10  WIN32_OWN_PROCESS
           STATE              : 4  RUNNING
                                   (STOPPABLE, NOT_PAUSABLE, ACCEPTS_PRESHUTDOWN)
           WIN32_EXIT_CODE    : 0  (0x0)
           SERVICE_EXIT_CODE  : 0  (0x0)
           CHECKPOINT         : 0x0
           WAIT_HINT          : 0x0
   
   SERVICE_NAME: windefend
           TYPE               : 10  WIN32_OWN_PROCESS
           STATE              : 4  RUNNING
                                   (STOPPABLE, NOT_PAUSABLE, ACCEPTS_SHUTDOWN)
           WIN32_EXIT_CODE    : 0  (0x0)
           SERVICE_EXIT_CODE  : 0  (0x0)
           CHECKPOINT         : 0x0
           WAIT_HINT          : 0x0
   

2. Protokolle, Einstellungen und andere Diagnoseinformationen zu Microsoft Defender Antivirus finden Sie unter Diagnosedaten für Microsoft Defender Antivirus erfassen.

3. Verwenden Sie das Client-Analyzer-Tool, um Logs zu sammeln und die Verbindung unter Windows zu beheben.

Exitcodes

Für groß angelegte Einsätze über eine Softwareverteilungslösung sollten folgende Ausgangscodes überwacht werden:

Verwandte Inhalte

• Bereitstellen der Defender-Endpunktsicherheitslösung für Windows 7 SP1- und Windows Server 2008 R2 SP1-Geräte
• Einschränken von Antwortaktionen für Ressourcen mit hohem Wert