Übersicht über Ausschlüsse und Indikatoren in Microsoft Defender for Endpoint

  • Gilt für:: Microsoft Defender Antivirus, Microsoft Defender for Endpoint on macOS, Microsoft Defender for Endpoint on Linux

Microsoft Defender for Endpoint und Defender for Business umfassen eine vielzahl von Funktionen zum Verhindern, Erkennen, Untersuchen und Reagieren auf fortgeschrittene Cyberthreats. Microsoft das Produkt vorkonfiguriert, damit es auf dem Betriebssystem, auf dem es installiert ist, gut funktioniert. In den meisten Fällen sind keine weiteren Änderungen erforderlich.

Trotz vorkonfigurierten Einstellungen tritt manchmal unerwartetes Verhalten auf. Beispiel:

  • Falsch positive Ergebnisse: Dateien, Ordner oder Prozesse, die keine Bedrohungen sind, werden von Defender für Endpunkt oder Microsoft Defender Antivirus als böswillig erkannt. Diese Entitäten werden blockiert oder an quarantänegesendet, obwohl sie keine Bedrohung sind.
  • Leistungsprobleme: Bei der Ausführung mit Defender für Endpunkt oder Microsoft Defender Antivirus treten unerwartete Leistungsprobleme auf.
  • Probleme mit der Anwendungskompatibilität: Bei Anwendungen tritt bei der Ausführung mit Defender for Endpoint oder Microsoft Defender Antivirus unerwartetes Verhalten auf.

In den folgenden Abschnitten werden die in Defender for Endpoint und Microsoft Defender Antivirus verfügbaren Arten von Ausschlüssen sowie deren jeweilige Verwendung beschrieben. Eine Zusammenfassung der Verwaltungstools, mit denen Sie jeden Ausschlusstyp konfigurieren können, finden Sie unter Ausschlussreferenz für Microsoft Defender for Endpoint.

Note

Das Erstellen von Ausschlüssen oder Indikatoren ist ein möglicher Ansatz zur Behandlung von Problemen mit Defender für Endpunkt oder Microsoft Defender Antivirus, aber häufig gibt es andere Schritte, die Sie zuerst ausführen können.

Arten von Ausschlüssen

Es gibt mehrere Arten von Ausschlüssen, die berücksichtigt werden müssen. Einige Arten von Ausschlüssen wirken sich auf mehrere Funktionen in Defender für Endpunkt aus, während andere Typen spezifisch für Microsoft Defender Antivirus sind.

Informationen zu Indikatoren, die ein verwandter, aber separater Mechanismus zum Zulassen oder Blockieren bestimmter Dateien, IP-Adressen, URLs und Zertifikate sind, finden Sie unter Übersicht über Indikatoren in Microsoft Defender for Endpoint.

In den folgenden Tabellen sind die Arten von Ausschlüssen zusammengefasst, die Sie definieren können, gruppiert nach, ob sie auf allen Plattformen oder nur auf Windows verfügbar sind. Beachten Sie den Geltungsbereich für jeden Ausschlusstyp.

  • Plattformübergreifende Ausschlüsse: Diese Ausschlüsse sind auf Windows, macOS- und Linux-Geräten verfügbar.

    Ausschlusstyp Geltungsbereich Anwendungsfälle
    Benutzerdefinierte Ausschlüsse Virenschutz

    Regeln zur Verringerung der Angriffsfläche (Attack Surface Reduction, ASR)

    Netzwerkschutz    		 Eine Datei, ein Ordner oder ein Prozess wird als böswillig identifiziert, obwohl es sich nicht um eine Bedrohung handelt.

    Bei der Ausführung mit Defender für Endpunkt treten unerwartete Leistungs- oder Anwendungskompatibilitätsprobleme auf.

    In Windows berücksichtigen einige ASR-Regeln Microsoft Defender Antivirus-Datei- und Ordnerausschlüsse (Pfad).
    Datei- und Zertifikat-Zulassungsindikatoren Virenschutz

    ASR-Regeln

    Kontrollierter Ordnerzugriff (CFA)    		 Eine mit einem Zertifikat signierte Datei oder ein mit einem Zertifikat signierter Prozess wird als bösartig eingestuft, obwohl sie bzw. er es nicht ist.
    Domänen-/URL- und IP-Adressindikatoren Netzwerkschutz

    SmartScreen

    Webinhaltsfilterung    		 SmartScreen meldet ein falsch positives Ergebnis.

    Sie möchten die Blockierung durch den Webinhaltsfilter für eine bestimmte Website aufheben.

  • Windows ausschließliche Ausschlüsse: Diese Ausschlüsse sind nur auf Windows Geräten verfügbar.

    Ausschlusstyp Geltungsbereich Anwendungsfälle
    Vorkonfigurierte Antivirenausschlüsse Virenschutz Microsoft Defender Antivirus schließt automatisch einige Betriebssystemdateien und Windows Server Rollen aus, sodass Sie diese Ausschlüsse nicht selbst definieren müssen.
    Ausschlüsse von ASR-Regeln ASR-Regeln Eine ASR-Regel verursacht unerwartetes Verhalten.
    Automatisierungsordnerausschlüsse Automatische Untersuchung und Reaktion Die automatisierte Untersuchung und Behebung führt eine Maßnahme für eine Datei, eine Dateierweiterung oder ein Verzeichnis durch, die eigentlich manuell behandelt werden sollte.
    CFA-Ausschlüsse CFA CFA blockiert, dass eine Anwendung auf einen geschützten Ordner zugreift.

Note

Prozessausschlüsse wirken sich direkt auf den Netzwerkschutz auf allen Plattformen und ASR-Regeln in Windows aus. Ein Prozessausschluss auf jedem Betriebssystem (Windows, macOS oder Linux) verhindert, dass der Netzwerkschutz Datenverkehr überprüft oder Regeln für diesen bestimmten Prozess erzwingt.

Vorkonfigurierte Antivirenausschlüsse

Sie müssen diese Ausschlusstypen nicht definieren, aber es ist hilfreich zu wissen, was sie sind und wie sie funktionieren. Microsoft Defender Antivirus konfiguriert die folgenden Ausschlusstypen vor:

  • Integrierte Microsoft Defender Antivirusausschlüsse:
    • Microsoft Defender Antivirus enthält integrierte Ausschlüsse für Betriebssystemdateien auf allen unterstützten Client- und Serverversionen von Windows. Die Liste wird auf dem neuesten Stand gehalten, da sich die Bedrohungslandschaft ändert. Weitere Informationen finden Sie unter integrierten Ausschlüssen.
    • Für unterstützte Versionen von Windows Server gelten zusätzliche integrierte Ausschlüsse für Serverfunktionen wie den Windows Internet Name Service (WINS) und den File Replication Service (FRS). Weitere Informationen finden Sie unter integrierten Ausschlüssen für Windows Server.

Benutzerdefinierte Ausschlüsse

mit Microsoft Defender for Endpoint und Microsoft Defender Antivirus können Sie benutzerdefinierte Ausschlüsse konfigurieren, um die Leistung zu optimieren und falsch positive Ergebnisse zu vermeiden. Die benutzerdefinierten Ausschlüsse, die Sie definieren können, variieren je nach Betriebssystem.

  • macOS: Sie können Ausschlüsse definieren, die nur für Antivirenscans gelten (On-Demand-Scans, Echtzeitschutz und Überwachung). Diese Ausschlüsse gelten nicht für die Endpunkterkennung und -reaktion (EDR), sodass ausgeschlossene Dateien weiterhin EDR-Warnungen und andere Erkennungen auslösen können. Zu den unterstützten Ausschlusstypen gehören:

    • Dateierweiterungsausschlüsse: Schließen Sie alle Dateien mit einer bestimmten Erweiterung aus.
    • Dateiausschlüsse: Schließen Sie eine bestimmte Datei aus, die durch den vollständigen Pfad identifiziert wird.
    • Ordnerausschlüsse: Schließen Sie alle Dateien unter einem angegebenen Ordner rekursiv aus.
    • Prozessausschlüsse: Ausschließen eines bestimmten Prozesses und aller darin geöffneten Dateien.

    Weitere Informationen finden Sie unter Konfigurieren und Überprüfen von Ausschlüssen für Microsoft Defender for Endpoint unter macOS.

  • Linux: Sie können Ausschlüsse als Antivirenausschlüsse konfigurieren (auf Echtzeitschutz, On-Demand-Scans und Verhaltensüberwachung angewendet, während EDR-Sichtbarkeit erhalten bleibt) oder als globale Ausschlüsse (auf Sensorebene angewendet, sowohl Antiviruserkennungen als auch EDR-Warnungen stummschalten). Zu den unterstützten Ausschlusstypen gehören:

    • Dateierweiterungsausschlüsse: Schließen Sie alle Dateien mit einer bestimmten Erweiterung aus (nicht für globale Ausschlüsse verfügbar).
    • Dateiausschlüsse: Schließen Sie eine bestimmte Datei aus, die durch den vollständigen Pfad identifiziert wird.
    • Ordnerausschlüsse: Schließen Sie alle Dateien unter einem angegebenen Ordner rekursiv aus.
    • Prozessausschlüsse: Schließen Sie einen bestimmten Prozess (nach vollständigem Pfad oder Dateinamen) und alle darin geöffneten Dateien aus.

    Weitere Informationen finden Sie unter Konfigurieren und Überprüfen von Ausschlüssen für Microsoft Defender für Endpunkt unter Linux.

  • Windows: Sie können Microsoft Defender Antivirus so konfigurieren, dass Kombinationen aus Prozessen, Dateien, Ordnern (Pfaden) und Erweiterungen aus geplanten Scans, On-Demand-Scans, Echtzeitschutz und potenziell unerwünschten Erkennungen von Apps (PUA) ausgeschlossen werden. Diese Ausschlüsse gelten nur für die Virenüberprüfung. Sie gelten nicht für EDR, sodass ausgeschlossene Dateien weiterhin EDR-Warnungen auslösen können. Verwenden Sie benutzerdefinierte Indikatoren, um Dateien für alle Defender für Endpunktfunktionen auszuschließen. Zu den unterstützten Ausschlusstypen gehören:

    • Datei- und Ordnerausschlüsse: Schließen Sie eine bestimmte Datei oder alles in einem Ordner aus. Auch als Pfadausschlüsse bezeichnet.
    • Dateierweiterungsausschlüsse: Schließen Sie alle Dateien aus, die eine bestimmte Erweiterung haben, unabhängig vom Speicherort.
    • Prozessausschlüsse: Schließen Sie alle Dateien aus, die ein bestimmter Prozess öffnet.
    • Kontextbezogene Ausschlüsse: Eingrenzen eines Pfadausschlusses, sodass er nur in einem bestimmten Kontext gilt, z. B. nur, wenn ein bestimmter Prozess die Datei öffnet.

    Weitere Informationen finden Sie unter "Ausschlüsse in Microsoft Defender Antivirus".

Regelausschlüsse zur Verringerung der Angriffsfläche

Regeln zur Verringerung der Angriffsfläche (Attack Surface Reduction, ASR) blockieren riskantes Softwareverhalten, aber einige legitime Apps haben dieses riskante Verhalten (z. B. das Starten ausführbarer Dateien, die andere Dateien herunterladen und ausführen). Einige ASR-Regeln berücksichtigen Microsoft Defender Antivirusausschlüsse. ASR-Regeln unterstützen auch globale ASR-Regelausschlüsse und ASR-Regelausschlüsse pro ASR-Regel.

Weitere Informationen finden Sie unter Datei- und Ordnerausschlüsse für ASR-Regeln.

Ordnerausschlüsse von der Automatisierung

Automatisierungsordnerausschlüsse gelten für die automatisierte Untersuchung und Abhilfe in Microsoft Defender for Endpoint Plan 2, bei der Warnungen untersucht und sofort Maßnahmen ergriffen werden, um erkannte Sicherheitsverletzungen zu beheben. Wenn eine Warnung eine automatisierte Untersuchung auslöst, erreicht die Untersuchung ein Urteil (Bösartig, verdächtig oder keine Bedrohungen gefunden) für jeden Beweisabschnitt. Abhängig von der Automatisierungsstufe und anderen Sicherheitseinstellungen erfolgen Wartungsaktionen automatisch oder nachdem Ihr Sicherheitsbetriebsteam sie genehmigt hat.

Weitere Informationen finden Sie unter Verwalten von Automatisierungsordnerausschlüssen.

Kontrollierte Ordnerzugriffsausschlüsse

Der kontrollierte Ordnerzugriff (CFA) schützt Ihre Daten, indem nicht vertrauenswürdige Apps daran gehindert werden, Dateien in geschützten Ordnern auf Windows Geräten zu ändern. Standardmäßig schützt CFA allgemeine Systemordner, und Sie können weitere Ordner hinzufügen. Wenn CFA eine app blockiert, der Sie vertrauen, können Sie einen Ausschluss definieren, damit die App Dateien in geschützten Ordnern ändern kann.

Weitere Informationen finden Sie unter Konfigurieren des kontrollierten Ordnerzugriffs.

Benutzerdefinierte Wartungsaktionen

Wenn Microsoft Defender Antivirus beim Ausführen einer Überprüfung eine potenzielle Bedrohung erkennt, versucht es, die erkannte Bedrohung zu beheben oder zu entfernen. Sie können benutzerdefinierte Wartungsaktionen definieren, um zu konfigurieren, wie Microsoft Defender Antivirus bestimmte Bedrohungen behandeln soll, ob vor der Behebung ein Wiederherstellungspunkt erstellt werden soll und wann Bedrohungen entfernt werden sollen.

Weitere Informationen finden Sie unter Konfigurieren von Wartungsaktionen für Microsoft Defender Antiviruserkennungen.

Wie Ausschlüsse und Indikatoren ausgewertet werden

Die meisten Organisationen verfügen über mehrere Arten von Ausschlüssen und Indikatoren, um zu bestimmen, ob Benutzer auf eine Datei oder einen Prozess zugreifen und diese verwenden sollten. Auf Windows Geräten werden diese Ausschlüsse und Indikatoren in einer bestimmten Reihenfolge verarbeitet, sodass Richtlinienkonflikte systematisch behandelt werden.

Hier erfahren Sie, wie es funktioniert. Die Auswertung stoppt bei der ersten Bedingung, die gilt:

  1. Wenn die Datei von Windows Defender Anwendungssteuerungs- und AppLocker-Erzwingungsmodusrichtlinien nicht zulässig ist, wird sie blockiert.
  2. Andernfalls ist die Datei, wenn sie von einer Microsoft Defender Antivirus-Ausnahme zugelassen wird, zugelassen.
  3. Andernfalls wird die Datei blockiert oder gewarnt, wenn die Datei einen Block- oder Warnindikator enthält.
  4. Andernfalls gilt sie als blockiert, wenn die Datei von SmartScreen blockiert wird.
  5. Andernfalls ist die Datei, wenn sie durch einen Indikator für zulässige Dateien erlaubt ist, zugelassen.
  6. Andernfalls, wenn die Datei durch Regeln zur Reduzierung der Angriffsfläche, überwachten Ordnerzugriff oder Antivirenschutz blockiert wird, ist sie blockiert.
  7. Andernfalls ist die Datei zulässig.

Behandlung von Richtlinienkonflikten

Wenn Indikatoren in Defender for Endpoint in Konflikt stehen, können Sie Folgendes erwarten:

  • Wenn in Konflikt stehende Dateiindikatoren vorhanden sind, wird der Indikator angewendet, der den sichersten Hash verwendet. Sha256 hat beispielsweise Vorrang vor SHA-1, das Vorrang vor MD5 hat.

  • Wenn konfliktende URL-Indikatoren vorhanden sind, wird der spezifischere Indikator verwendet.

    • Für Microsoft Defender SmartScreen wird ein Indikator angewendet, der den längsten URL-Pfad verwendet. www.contoso.com/admin/ Beispielsweise hat Vorrang vor www.contoso.com.
    • Der Netzwerkschutz erzwingt in erster Linie auf Domänenebene, kann jedoch bestimmte URL-Pfade in einigen Szenarien blockieren.

  • Wenn es ähnliche Indikatoren für eine Datei oder einen Prozess mit unterschiedlichen Aktionen gibt, hat der Indikator, der auf eine bestimmte Gerätegruppe ausgerichtet ist, Vorrang vor einem Indikator, der auf alle Geräte ausgerichtet ist.

Funktionsweise der automatisierten Untersuchung und Behebung

Automatisierte Untersuchungs- und Wiederherstellungsfunktionen in Defender für Endpunkt bestimmen zunächst ein Urteil für jeden Beweis und führen dann je nach Defender für Endpunkt-Indikatoren eine Aktion aus. Daher könnte eine Datei oder ein Prozess das Urteil „Gut“ erhalten (was bedeutet, dass keine Bedrohungen gefunden wurden) und dennoch blockiert werden, wenn ein Indikator mit dieser Aktion vorliegt. Ebenso könnte eine Entität die Bewertung "schlecht" erhalten (was bedeutet, dass sie als bösartig eingestuft wird) und trotzdem zulässig sein, wenn es einen Indikator mit dieser Aktion gibt.

Weitere Informationen finden Sie unter Engine für automatisierte Untersuchung und Behebung.

Alternativen und Schritte, die Sie berücksichtigen sollten, bevor Sie einen Ausschluss erstellen

Durch das Erstellen eines Ausschluss- oder Zulassungsindikators entsteht eine Schutzlücke. Verwenden Sie diese Techniken nur, nachdem Sie die Ursache des Problems ermittelt haben. Ziehen Sie bis dahin Alternativen in Betracht, z. B. das Übermitteln einer Datei an Microsoft für die Analyse oder das Unterdrücken einer Warnung.

In der folgenden Liste werden allgemeine Szenarien und die Schritte beschrieben, die Sie berücksichtigen müssen, bevor Sie einen Ausschluss oder einen Indikator zulassen.

Dateien zur Analyse übermitteln

Wenn Sie über eine Datei verfügen, von der Sie glauben, dass sie fälschlicherweise als Schadsoftware erkannt wurde (falsch positiv), oder eine Datei, von der Sie vermuten, dass es sich um Schadsoftware handelt, obwohl sie nicht erkannt wurde (falsch negativ), können Sie die Datei zur Analyse an Microsoft übermitteln. Ihre Übermittlung wird sofort gescannt und dann von Microsoft Sicherheitsanalysten überprüft. Sie können den Status Ihrer Übermittlung auf der Seite " Übermittlungsverlauf" überprüfen.

Das Übermitteln von Dateien zur Analyse trägt dazu bei, falsch positive und falsch negative Ergebnisse für alle Kunden zu reduzieren. Weitere Informationen findest du in den folgenden Artikeln:

Unterdrücken von Warnungen

Wenn Sie im Microsoft Defender-Portal Warnungen für Tools oder Prozesse erhalten, von denen Sie wissen, dass sie keine Bedrohung darstellen, können Sie diese Warnungen unterdrücken.

Um eine Warnung zu unterdrücken, erstellen Sie eine Unterdrückungsregel und geben an, welche Aktionen für diese Warnung bei anderen identischen Warnungen ausgeführt werden sollen. Sie können Unterdrückungsregeln für eine bestimmte Warnung auf einem einzelnen Gerät oder für alle Warnungen erstellen, die denselben Titel in Ihrer Organisation haben.

Weitere Informationen findest du in den folgenden Artikeln:

Siehe auch

  • Last updated on