Konfigurationsschutz in Microsoft Defender for Endpoint

Konfigurationsschutz ist ein Konfigurationsdurchsetzungsmodell, das cloud-verwaltete Richtlinien zur einzigen Wahrheitsquelle für Microsoft Defender Antivirus-Einstellungen macht. Wenn der Konfigurationsschutz aktiviert ist, haben Intune- und Microsoft Defender for Endpoint-Richtlinien Vorrang. Das Gerät ignoriert Einstellungen aus der Gruppenrichtlinie, Skripten, dem Microsoft Configuration Manager und lokalen Administratoränderungen.

Konfigurationsschutz beseitigt Konfigurationsabweichungen und Richtlinienkonflikte, indem die Manipulationsschutz-ähnliche Durchsetzung auf die gesamte Defender Antivirus-Konfigurationsoberfläche ausgeweitet wird.

Manipulationsschutz und Konfigurationsschutz sind komplementäre, aber unterschiedliche Funktionen:

Konfigurationsschutz ist ein Superset des Manipulationsschutzes, der eine richtlinienbasierte Kontrolle über die vollständige Microsoft Defender Antivirus-Konfiguration bietet.

Prerequisites

• Geräte müssen für Microsoft Defender for Endpoint onboardet werden.
• Geräte müssen über Microsoft Intune oder die Verwaltung von Sicherheitseinstellungen in Defender for Endpoint verwaltet werden.
• Geräte müssen Windows 10, Windows 11, Windows Server 2019, Windows Server 2022 oder Windows Server 2025 ausführen.
• Geräte müssen eine Microsoft Defender for Endpoint EDR Sensor-Version höher als 10.8804 (September 2025) ausführen.
• Geräte müssen die Microsoft Defender Antivirus Platform Version 4.18.26060.3004 oder später (Juni 2026) ausführen.

Konfigurationsschutz unterstützt derzeit nicht:

• Co-Management-Umgebungen (Konfigurations-Manager + Intune).
• GCC High-Umgebungen.

Was Konfigurationsschutz abdeckt

Derzeit bietet der Konfigurationsschutz Schutz und Durchsetzung für Microsoft Defender Antivirus-Einstellungen, darunter:

• Antivirus-Konfiguration (Scan-Einstellungen, Ausschlüsse, Updates)
• Richtlinien zur Verringerung von Angriffsflächen (ASR)
• Konfigurationsdienstanbieter (Configuration Service Provider, CSP)- und Richtlinien-CSP-Oberfläche (breites Set von Antivirus-Kontrollen)
• Lokales Admin-Zusammenführungsverhalten

Derzeit deckt der Konfigurationsschutz nicht ab:

• Microsoft Defender Gerätesteuerung
• Endpunkterkennung und -reaktion (EDR)-Einstellungen
• Windows-Betriebssystemeinstellungen (wie Firewall)

Wie die Durchsetzung des Konfigurationsschutzes funktioniert

Konfigurationsschutz setzt cloud-verwaltete Richtlinien durch drei Mechanismen durch:

• Durchsetzung aus einer einzigen Quelle: Wenn der Konfigurationsschutz aktiviert ist, gelten die folgenden Regeln zur Durchsetzung:

  • Nur die Richtlinien von Intune und Defender for Endpoint werden für die Defender Antivirus-Einstellungen anerkannt.
  • Group Policy Object (GPO), Skripte, Konfigurations-Manager und lokale Administratoränderungen werden ignoriert.
  • Microsoft Defender Antivirus akzeptiert lokale Ausschlüsse nicht standardmäßig. Organisationen können lokale, von Administratoren definierte Antivirenausschlüsse erlauben, indem sie das Zusammenführen lokaler Administratoren über Defender- oder Intune-Richtlinien aktivieren. Wenn die Zusammenführung lokaler Administratoren aktiviert ist, können lokal definierte Antivirenausschlüsse mit zentral verwalteten Ausschlüssen zusammengeführt werden. Lokal definierte Ausschlüsse zur Verringerung der Angriffsfläche (ASR) werden derzeit nicht anerkannt, selbst wenn der lokale Administrator-Merge aktiviert ist.

• Sichere Standardeinstellungen: Wenn eine Einstellung in einer Richtlinie nicht explizit konfiguriert ist, wendet der Konfigurationsschutz von Microsoft definierte Standardwerte an. Dieses Verhalten stellt sicher, dass Geräte eine starke Sicherheitslage aufrechterhalten, selbst wenn Administratoren nicht alle verfügbaren Einstellungen konfiguriert haben.

• Konfliktlösung: Der Konfigurationsschutz verwendet ein wertbasiertes Prioritätsmodell anstelle eines Modells, bei dem der letzte Schreibvorgang gewinnt:

  • On hat Vorrang vor Off. Wenn eine Richtlinie den Konfigurationsschutz auf An und eine andere auf Aus setzt, bleibt die Funktion auf dem Gerät aktiviert.
  • Wenn mehrere Richtlinien unterschiedliche Werte zuweisen, wird ein Konflikt gemeldet, aber der Wert „On“ wird dennoch erzwungen.
  • Wenn mehrere Richtlinien denselben Wert zuweisen, ist das Ergebnis Erfolg ohne Konflikte.

  Important

  Nicht konfiguriert bedeutet nicht Aus. Um die Funktion zu deaktivieren, stellen Sie ausdrücklich eine Richtlinie bereit, die den Konfigurationsschutz auf Aus setzt.

Konfigurationsschutz aktivieren

Sie können den Konfigurationsschutz entweder über Microsoft Intune oder über die Verwaltung von Sicherheitseinstellungen in Microsoft Defender for Endpoint aktivieren.

Microsoft Intune ist das empfohlene Werkzeug zum Konfigurieren und Verteilen von Microsoft Defender for Endpoint-Funktionen auf Geräten. Intune ist jedoch ein separates Produkt, das nicht Teil von Defender für Endpunkt ist und nicht in allen Abonnements enthalten ist. Um Intune zu verwenden, benötigen Sie ein Abonnement, das es enthält, oder Sie können es separat als eigenständiges Abonnement oder Add-On kaufen. Wenn Sie nicht über Intune verfügen, können Sie eine der anderen Methoden in diesem Artikel verwenden. Weitere Informationen finden Sie unter Microsoft Intune-Lizenzierung.

Der Konfigurationsschutz wird über dieselbe Richtlinienoberfläche wie der Manipulationsschutz konfiguriert. Im Windows-Sicherheit Experience-Profil benennt Intune die Manipulationsschutzeinstellung in Konfigurationsschutz (Gerät) um, sobald Konfigurationsschutz verfügbar ist. Du kannst den Konfigurationsschutz nicht über den Settings Catalog oder die Device Control v1 (DCv1)-Vorlage aktivieren.

Da Konfigurationsschutz und Manipulationsschutz dieselbe Richtlinieneinstellung verwenden, hat die Einstellung Konfigurationsschutz (Ein) auf diesem Gerät Vorrang vor dem Wert für den Manipulationsschutz. Man setzt keine separaten Manipulations- und Konfigurationsschutzrichtlinien für dasselbe Setting ein. Um bestehende Manipulationsschutzrichtlinien (DCv1) auf Konfigurationsschutz zu migrieren, erstellen Sie eine Windows-Sicherheit Experience-Richtlinie mit Konfigurationsschutz (ein) und entfernen Sie dann die Manipulationsschutzeinstellung aus Ihren DCv1-Richtlinien, um Konflikte zu vermeiden.

1. Auf der Endpoint-Sicherheitsseite im Microsoft Intune-Verwaltungszentrum unter https://intune.microsoft.com, erstellen Sie ein neues Windows-Sicherheit Experience-Profil oder bearbeiten Sie ein bestehendes.
2. Finden Sie die Einstellung Konfigurationsschutz (Gerät) (früher Manipulationsschutz).
3. Setzen Sie den Wert auf Konfigurationsschutz (An), um den Konfigurationsschutz zu aktivieren.
4. Weisen Sie die Richtlinie den entsprechenden Gerätegruppen zu.

Minimale Client-Version und Rollback

Bevor Sie Konfigurationsschutz (Ein) zuweisen, aktualisieren Sie Geräte auf die Microsoft Defender Antivirus-Plattform Version 4.18.26060.3004 oder später und validieren Sie die Bereitstellung mit einer Pilotgruppe.

Bei Geräten mit älteren Plattformversionen könnte Intune Konfigurationsschutz (Ein) und Manipulationsschutz (Aus) senden, aber das Gerät könnte nur die Manipulationsschutzeinstellung anwenden. Dieses Verhalten führt dazu, dass sowohl der Konfigurationsschutz als auch der Manipulationsschutz deaktiviert bleiben.

Um zurückzurollen, ändern Sie die Windows-Sicherheit Experience-Richtlinie von Konfigurationsschutz (Ein) auf Manipulationsschutz (Ein), setzen Sie die Richtlinie neu aus, synchronisieren Sie die betroffenen Geräte und überprüfen, ob der Manipulationsschutz aktiviert ist. Es gilt die übliche Latenz bei der Richtlinienbereitstellung.

Berichterstellung und Überwachung

Der Konfigurationsschutzstatus ist sowohl im Intune-Verwaltungszentrum als auch im Microsoft Defender-Portal sichtbar, je nachdem, wie die Geräte verwaltet werden.

• Intune: Für Geräte, die über Mobile Geräteverwaltung (MDM) direkt in Intune registriert sind, können Sie Folgendes anzeigen:

  • Richtlinienstatus (Erfolg, Konflikt oder Fehler)
  • Konfigurationsschutzstatus auf Geräteebene

• Microsoft Defender Portal: Für Geräte, die über Defender for Endpoint Security Settings Management verwaltet werden, prüfen Sie das Microsoft Defender Portal für den effektiven Konfigurationszustand.

  Note

  Diese Geräte sind in Intune-Berichten nicht sichtbar. Nutzen Sie das Microsoft Defender-Portal, um den effektiven Konfigurationsschutzzustand zu überprüfen.

Überprüfen Sie den Konfigurationsschutz auf einem Gerät

Um den Konfigurationsschutzzustand direkt auf einem Gerät zu bestätigen, führen Sie folgendes PowerShell-Kommando aus:

Get-MpComputerStatus

Überprüfen Sie die folgenden Eigenschaften im Output:

• ControlledConfigurationState: Der aktuelle Durchsetzungszustand des Konfigurationsschutzes auf dem Gerät.
• IsTamperProtected: Gibt an, ob der Manipulationsschutz (die Grundlage des Konfigurationsschutzes) aktiv ist.
• TamperProtectionSource: Die Quelle, die den aktuellen Zustand erzwingt.

Sie können es auch nutzenGet-MpComputerStatus, um zu bestätigen, dass die Microsoft Defender Antivirus-Plattformversion die Voraussetzungen erfüllt, und um den Konfigurationszustand nach einer Richtlinienänderung oder einem Wiederherstellung des Konfigurationsschutzes zu überprüfen.

Lebenszyklusverhalten

Das Verhalten des Konfigurationsschutzes variiert je nach Änderungen des Gerätelebenszyklus:

• Aufhebung der Richtlinienzuweisung: Der Konfigurationsschutz wird auf dem Gerät aufgehoben, es sei denn, dass weiterhin eine andere Richtlinie zum Konfigurationsschutz gilt.
• Defender for Endpoint-Aufhebung: Der Konfigurationsschutz bleibt auf Ein (wird nicht automatisch bereinigt).
• Entfernen eines Geräts: Der Konfigurationsschutz wird entfernt und auf Aus zurückgesetzt.

Konfigurationsschutz auf einem Gerät zurücksetzen

Um den Konfigurationsschutzzustand auf einem Gerät zu löschen, führen Sie die folgenden Befehle in einer erhöhten Eingabeaufforderung aus (einem Eingabeaufforderungsfenster, das Sie durch die Auswahl Ausführen als Administrator geöffnet haben):

(set "_done=" & if exist "%ProgramData%\Microsoft\Windows Defender\Platform\" (for /f "delims=" %d in ('dir "%ProgramData%\Microsoft\Windows Defender\Platform" /ad /b /o:-n 2^>nul') do if not defined _done (cd /d "%ProgramData%\Microsoft\Windows Defender\Platform\%d" & set _done=1)) else (cd /d "%ProgramFiles%\Windows Defender")) >nul 2>&1

MpCmdRun.exe -Config -ResetControlledConfiguration

Weitere Informationen finden Sie unter Fehlerbehebungsmodus aktivieren und verwenden Sie den Fehlerbehebungsmodus in Microsoft Defender for Endpoint.

Bekannte Einschränkungen

Derzeit gelten für den Konfigurationsschutz folgende Einschränkungen:

• Man kann in Intune falsche Konflikte sehen, wenn sowohl Manipulationsschutz- als auch Konfigurationsschutzrichtlinien dasselbe Gerät ins Visier nehmen.
• Sie könnten Meldefehler zwischen dem Intune-Verwaltungszentrum und dem Microsoft Defender-Portal beobachten.
• Die Abdeckung ist auf die Antivirus-Einstellungen von Microsoft Defender beschränkt (Gerätesteuerung, EDR und Firewall sind noch nicht abgedeckt).
• Wenn Sie den Konfigurationsschutz über Microsoft Defender for Endpoint Security Settings Management oder Intune aktivieren, wird der Manipulationsschutz ausgeschaltet, es sei denn, eine andere Manipulationsschutzrichtlinie setzt ausdrücklich den Manipulationsschutz ein. Wenn der Konfigurationsschutz aktiviert und der Manipulationsschutz deaktiviert ist, ist der Manipulationsschutz-Secure-Wert niedriger. Wir arbeiten daran, diese Lücke zu schließen.

Verwandte Inhalte

• Überblick über den Manipulationsschutz
• Manipulationsschutz in Microsoft Intune konfigurieren
• Microsoft Defender Core Service-Konfigurationen und Experimente