Defender einstellen – daheim wie im Büro

Butter bei die Fische

Was Sie konkret einstellen sollten

Defender ab Werk ist wie ein Türsteher, der höflich fragt, ob Sie vielleicht auf der Liste stehen. Die scharfen Regeln sind alle da – sie sind nur aus. Microsoft muss schließlich dafür sorgen, dass Windows auch auf dem Kassensystem von 2012 noch startet, ohne dass jemand anruft.

Hier steht, was wir stattdessen einstellen. Keine Prinzipien-Diskussion, keine „es kommt darauf an“-Absicherung: Werte, Reihenfolge, fertig.

Für wen das hier ist: für alle, die ihren eigenen Rechner ernst nehmen – und für alle, die in einer kleineren Firma dafür zuständig sind, dass die Kollegen ihren ernst nehmen. Der Weg ist derselbe: Ein Erpressungstrojaner erkundigt sich vorher nicht nach der Rechtsform.

Beides in zwei Phasen: erst beobachten, dann blockieren. Wer alles auf einmal scharf stellt, dreht am dritten Tag genervt alles wieder zurück – und erzählt fortan überall, Härtung sei praxisfremd.

Das Ziel

Die Zielkonfiguration

Nichts von dem, was jetzt kommt, muss installiert oder gekauft werden. Es ist alles schon da – nur eben auf einer Werkseinstellung, die gleichzeitig auf jedem Rechner der Welt passen muss und deshalb auf keinem richtig sitzt.

Grundschutz: alles an. Echtzeitschutz, Verhaltensüberwachung, heruntergeladene Dateien, Skripte, E-Mail, Archive, USB, Netzwerkdateien, Blockieren beim ersten Erkennen. Hier gibt es nichts abzuwägen. Wer eines davon ausschaltet, hat dafür einen Grund – und der ist erfahrungsgemäß ein Programm, das der Hersteller hätte besser schreiben sollen.

Plan A – empfohlen

Mit der Suite: klicken statt tippen

Die kostenlose DefenderHardeningSuite zeigt jede Option an einem Ort – mit Ist-Wert, Empfehlung und Erklärung. Und sie legt vor jeder Änderung einen Snapshot an, den ein Klick zurückholt. Genau deshalb ist das Plan A: Sie können hier nichts kaputt machen, was nicht ein Klick wieder geradebiegt. Das beruhigt mehr, als es klingt – jedenfalls beim ersten Mal.

Die zwei Handgriffe nach Phase 2 – im Reiter Härten die Beispiel-Übermittlung auf „3 – Alle Beispiele“, im Reiter ASR die Regeln 15 bis 18 auf „Warnen“. So sieht das fertig aus:

Zwei Dinge nimmt Ihnen die Suite noch ab: Der Lern-Assistent wertet die Ereignisse der Beobachtungsphase aus und schlägt Ausnahmen mit Risikobewertung vor – statt Sie einen Abend lang durch die Ereignisanzeige klicken zu lassen. Die Ereignisanzeige ist ein hervorragendes Werkzeug, aber noch niemand hat sie freiwillig geöffnet. Und aus einem fertig eingestellten Rechner baut sie auf Wunsch ein Startskript für die ganze Flotte – für alle, deren Flotte aus mehr als einem Laptop besteht.

Der Fahrplan

Zwei Wochen, eine Stunde Aufmerksamkeit

Plan B – für Tastaturmenschen

Dasselbe in PowerShell

Sie halten Mausklicks für eine Zumutung? Bitte sehr, Sie sind hier unter Freunden. Gleiche Werte, gleiche zwei Phasen – nur ohne Snapshot-Netz. Deshalb zuerst das hier, als Administrator:

Ab hier auf eigene Gefahr – das meinen wir ernst, auch wenn der Rest launig klingt. Die folgenden Blöcke verändern die Sicherheitskonfiguration Ihres Systems. Wir stellen sie unentgeltlich zur Verfügung und haben jeden Wert am Quellcode geprüft – eine Gewährleistung für Fehlerfreiheit oder die Eignung für Ihre Umgebung übernehmen wir nicht, die Haftung ist auf Vorsatz und grobe Fahrlässigkeit beschränkt (§ 521 BGB). Alles steht offen lesbar da: erst lesen, dann ausführen. Und zwar in dieser Reihenfolge.

# Ist-Zustand sichern. Nicht ueberspringen. Doch, wirklich nicht.
Get-MpPreference | Export-Clixml "$HOME\Desktop\defender-vorher.xml"

Phase 1 – Beobachten. Vollständig, zum Kopieren:

#requires -RunAsAdministrator
# byteland-Empfehlung, Phase 1: Haertung scharf, ASR + CFA nur protokollierend

$einstellungen = @{
    # Grundschutz: $false heisst "nicht deaktiviert", also AN
    DisableRealtimeMonitoring     = $false
    DisableBehaviorMonitoring     = $false
    DisableIOAVProtection         = $false
    DisableScriptScanning         = $false
    DisableEmailScanning          = $false
    DisableArchiveScanning        = $false
    DisableRemovableDriveScanning = $false
    DisableScanningNetworkFiles   = $false
    DisableBlockAtFirstSeen       = $false

    MAPSReporting        = 2    # Erweitert
    SubmitSamplesConsent = 3    # Alle Beispiele
    CloudBlockLevel      = 4    # Hoch Plus
    CloudExtendedTimeout = 50   # Sekunden

    PUAProtection                = 1    # Blockieren
    EnableNetworkProtection      = 1    # Blockieren
    EnableControlledFolderAccess = 2    # 2 = nur beobachten

    SignatureUpdateInterval             = 4
    CheckForSignaturesBeforeRunningScan = $true
    MeteredConnectionUpdates            = $true
}
Set-MpPreference @einstellungen

# Alle 19 Regeln explizit: 1-18 beobachten (2), 19 aus (0)
$asrIds = @(
  '56a863a9-875e-4185-98a7-b882c64b5ce5',  # 1  Anfaellige signierte Treiber
  '9e6c4e1f-7d60-472f-ba1a-a39ef669e4b2',  # 2  LSASS-Diebstahl
  'e6db77e5-3df2-4cf1-b95a-636979351e5b',  # 3  WMI-Persistenz
  'd4f940ab-401b-4efc-aadc-ad5f3c50688a',  # 4  Office startet Kindprozesse
  '3b576869-a4ec-4529-8536-b80a7769e899',  # 5  Office erzeugt Ausfuehrbares
  '75668c1f-73b5-4cf0-bb93-3ecf5cb7cc84',  # 6  Office schleust Code ein
  '92e97fa1-2edf-4476-bdd6-9dd0b4dddc7b',  # 7  Win32-API aus Makros
  '26190899-1602-49e8-8b27-eb1d0a1ce869',  # 8  Outlook startet Kindprozesse
  'be9ba2d9-53ea-4cdc-84e5-9b1eeee46550',  # 9  Ausfuehrbares aus Mail/Webmail
  '7674ba52-37eb-4a4f-a9a1-f0f9a1619a2c',  # 10 Adobe Reader startet Kindprozesse
  '5beb7efe-fd9a-4556-801d-275e5ffc04cc',  # 11 Verschleierte Skripte
  'd3e037e1-3eb8-44c8-a917-57927947596d',  # 12 JS/VBScript startet Downloads
  'b2b3f03d-6a65-4f7b-a9c7-1c7ef74a9ba4',  # 13 Unsignierte Prozesse von USB
  'c1db55ab-c21a-4637-bb3f-a12568109d35',  # 14 Ransomware-Schutz
  '01443614-cd74-433a-b99e-2ecdc07bfc25',  # 15 Verbreitungs-/Alterspruefung
  'd1e49aac-8f56-4280-b9ba-993a6d77406c',  # 16 PSExec und WMI
  '33ddedf1-c6e0-47cb-833e-de6133960387',  # 17 Neustart im abgesicherten Modus
  'c0033c00-d16d-4114-a5a0-dc9b3a7d2ceb',  # 18 Kopierte Systemwerkzeuge
  'a8f5898e-1dc8-49a9-9878-85004b8a61e6'   # 19 Webshell (nur Server)
)
$asrAktionen = @(2,2,2,2,2,2,2,2,2,2,2,2,2,2,2,2,2,2, 0)

Set-MpPreference -AttackSurfaceReductionRules_Ids     $asrIds `
                 -AttackSurfaceReductionRules_Actions $asrAktionen

Phase 2 – Scharf. Ebenfalls vollständig – einmal markieren, einmal einfügen, fertig. Es ändern sich genau zwei Dinge gegenüber Phase 1 (beide im Code markiert), aber Sie sollen nicht zwei Blöcke von Hand zusammensetzen müssen:

#requires -RunAsAdministrator
# byteland-Empfehlung, Phase 2: scharf. ASR blockiert, Ordnerschutz blockiert.

$einstellungen = @{
    # Grundschutz: $false heisst "nicht deaktiviert", also AN
    DisableRealtimeMonitoring     = $false
    DisableBehaviorMonitoring     = $false
    DisableIOAVProtection         = $false
    DisableScriptScanning         = $false
    DisableEmailScanning          = $false
    DisableArchiveScanning        = $false
    DisableRemovableDriveScanning = $false
    DisableScanningNetworkFiles   = $false
    DisableBlockAtFirstSeen       = $false

    MAPSReporting        = 2    # Erweitert
    SubmitSamplesConsent = 3    # Alle Beispiele
    CloudBlockLevel      = 4    # Hoch Plus
    CloudExtendedTimeout = 50   # Sekunden

    PUAProtection                = 1    # Blockieren
    EnableNetworkProtection      = 1    # Blockieren
    EnableControlledFolderAccess = 1    # AENDERUNG 1: 1 = blockieren (war 2 = beobachten)

    SignatureUpdateInterval             = 4
    CheckForSignaturesBeforeRunningScan = $true
    MeteredConnectionUpdates            = $true
}
Set-MpPreference @einstellungen

# Alle 19 Regeln explizit, gleiche Reihenfolge wie in Phase 1
$asrIds = @(
  '56a863a9-875e-4185-98a7-b882c64b5ce5',  # 1  Anfaellige signierte Treiber
  '9e6c4e1f-7d60-472f-ba1a-a39ef669e4b2',  # 2  LSASS-Diebstahl
  'e6db77e5-3df2-4cf1-b95a-636979351e5b',  # 3  WMI-Persistenz
  'd4f940ab-401b-4efc-aadc-ad5f3c50688a',  # 4  Office startet Kindprozesse
  '3b576869-a4ec-4529-8536-b80a7769e899',  # 5  Office erzeugt Ausfuehrbares
  '75668c1f-73b5-4cf0-bb93-3ecf5cb7cc84',  # 6  Office schleust Code ein
  '92e97fa1-2edf-4476-bdd6-9dd0b4dddc7b',  # 7  Win32-API aus Makros
  '26190899-1602-49e8-8b27-eb1d0a1ce869',  # 8  Outlook startet Kindprozesse
  'be9ba2d9-53ea-4cdc-84e5-9b1eeee46550',  # 9  Ausfuehrbares aus Mail/Webmail
  '7674ba52-37eb-4a4f-a9a1-f0f9a1619a2c',  # 10 Adobe Reader startet Kindprozesse
  '5beb7efe-fd9a-4556-801d-275e5ffc04cc',  # 11 Verschleierte Skripte
  'd3e037e1-3eb8-44c8-a917-57927947596d',  # 12 JS/VBScript startet Downloads
  'b2b3f03d-6a65-4f7b-a9c7-1c7ef74a9ba4',  # 13 Unsignierte Prozesse von USB
  'c1db55ab-c21a-4637-bb3f-a12568109d35',  # 14 Ransomware-Schutz
  '01443614-cd74-433a-b99e-2ecdc07bfc25',  # 15 Verbreitungs-/Alterspruefung
  'd1e49aac-8f56-4280-b9ba-993a6d77406c',  # 16 PSExec und WMI
  '33ddedf1-c6e0-47cb-833e-de6133960387',  # 17 Neustart im abgesicherten Modus
  'c0033c00-d16d-4114-a5a0-dc9b3a7d2ceb',  # 18 Kopierte Systemwerkzeuge
  'a8f5898e-1dc8-49a9-9878-85004b8a61e6'   # 19 Webshell (nur Server)
)
# AENDERUNG 2: 1-14 blockieren (1), 15-18 warnen (6), 19 aus (0)
$asrAktionen = @(1,1,1,1,1,1,1,1,1,1,1,1,1,1, 6,6,6,6, 0)

Set-MpPreference -AttackSurfaceReductionRules_Ids     $asrIds `
                 -AttackSurfaceReductionRules_Actions $asrAktionen

Und weil man sich am Ende gern selbst auf die Schulter klopft – die Kontrolle:

Get-MpPreference | Select-Object CloudBlockLevel, SubmitSamplesConsent,
    EnableControlledFolderAccess, EnableNetworkProtection, PUAProtection

(Get-MpPreference).AttackSurfaceReductionRules_Actions   # 14x 1, 4x 6, dann 0

Die drei strittigen Werte

Warum wir höher gehen als der Standard

„Alle Beispiele“ statt „sichere Beispiele“

Die wichtigste Einstellung des Artikels – und die einzige, über die sich vernünftige Menschen ernsthaft streiten können.

Kann die Cloud anhand der Metadaten nicht entscheiden, fordert sie die Datei selbst an, zündet sie in einer Sandbox und schaut zu. Das stoppt neue Schadsoftware in Sekunden, lange bevor es Signaturen gibt. Der Haken an der Werkseinstellung: „Sichere Beispiele“ sendet nur Dateitypen ohne persönliche Daten – EXE, DLL, Skripte. Bei allem anderen kommt eine Rückfrage, die niemand beantwortet.

Und jetzt raten Sie, welcher Dateityp damit draußen bleibt. Genau: das Office-Dokument. Also ausgerechnet der Anhang, mit dem Phishing seit Jahren die meisten Netze aufmacht. Microsoft sagt es selbst: Wer will, dass Makros in Word-Dateien mitanalysiert werden, braucht „alle Beispiele“.

Und jetzt die Kehrseite, ohne Beschönigung: Ja, im Verdachtsfall verlässt dann auch mal ein Dokument das Haus, in dem Geschäfts- oder Personendaten stehen können. Nicht Ihre Dateiablage, nicht die Buchhaltung, nicht der Urlaubsordner – ausschließlich das, was Defender verdächtig findet und lokal nicht klären kann. Aber es bleibt eine Übermittlung an einen Dritten, und das ist keine Kleinigkeit, die man in einem Nebensatz abräumt.

Und jetzt stellen Sie die beiden schlimmsten Fälle nebeneinander. Mit dieser Einstellung: Im Zweifel wandern einzelne verdächtige Dateien zur Analyse zu Microsoft. Ohne sie: Der Phishing-Anhang geht durch, und im schlimmsten Fall sind die komplette Kundendatenbank und die gesamte Buchhaltung verschlüsselt, abgeflossen oder beides. Das eine ist ein überschaubares Risiko, das Sie bewusst eingehen. Das andere ist der Anruf beim Steuerberater, die Meldung an die Aufsichtsbehörde und die Frage, wann zuletzt jemand das Backup getestet hat.

Anders gesagt: Wer die Übermittlung aus Datenschutzgründen ablehnt, schützt ein paar Dokumente davor, analysiert zu werden – und riskiert dafür, dass alle Dokumente in fremde Hände geraten. Datenschutz verliert man nicht durch eine Sandbox-Analyse. Man verliert ihn durch einen erfolgreichen Angriff.

Deshalb in aller Deutlichkeit: Das oben ist unsere Empfehlung – die Entscheidung ist Ihre. Wir gewichten den Schutz vor dem realistischsten Angriffsweg höher als dieses Restrisiko. Aber wir sitzen nicht in Ihrem Haus, kennen Ihre Verträge nicht und stehen nicht in Ihrem Verarbeitungsverzeichnis. Wer nach eigener Abwägung bei „sichere Beispiele“ bleibt, hat deshalb keinen schlechter eingestellten Defender – sondern eine andere, genauso vertretbare Antwort auf dieselbe Frage.

Regeln 15–18 auf „Warnen“ statt „Überwachen“

Vier Regeln gelten als die Schreihälse der Familie: Verbreitungsprüfung, PSExec/WMI, Safe-Mode-Neustart, kopierte Systemwerkzeuge. Der übliche Rat lautet, sie dauerhaft auf „Überwachen“ zu lassen.

Gut gemeint, schützt null. „Überwachen“ protokolliert nur. Der Angriff läuft durch, Sie haben hinterher einen sauberen Bericht über Ihren eigenen Schaden.

„Warnen“ blockiert – lässt den Benutzer aber im Einzelfall durchwinken, wenn er weiß, was er tut. Eine Wand mit Klinke also, kein Loch. Zwei Einschränkungen: Auf Servern und unbeaufsichtigten Kisten sitzt niemand vor dem Bildschirm – dort gehören die vier auf „Blockieren“. Und die Regeln 2 (LSASS) und 6 kennen gar kein „Warnen“, die stehen ohnehin auf Blockieren.

Cloud-Blockierstufe „Hoch Plus“

Die misstrauischste Stufe, die Defender kennt, ohne ins Paranoide zu kippen: strengeres Urteil bei unklaren Dateien, dafür etwas mehr Fehlalarm-Risiko. Auf normalen Rechnern mit gängiger Software in der Praxis unauffällig. Nebeneffekt, den kaum jemand kennt: Einige ASR-Regeln melden sich überhaupt erst ab dieser Stufe.

Unterm Strich

Was das bringt

Ein so eingestellter Rechner macht genau die Türen zu, durch die tatsächlich eingebrochen wird: Makros in Anhängen, Skripte aus dem Netz, Zugriff auf Anmeldedaten im Speicher, Verschlüsselung eigener Dokumente, Fernstart von Prozessen. Ohne Zusatzprodukt, ohne Abo, ohne jährliche Verlängerungsmail – mit dem, was seit dem ersten Einschalten mitgeliefert wird.

Der Aufwand steckt nicht im Einschalten, sondern in der Reihenfolge und im Hinsehen während der ersten Woche. Rund eine Stunde, verteilt auf zwei Wochen – deutlich weniger, als ein einziges Gespräch dauert, in dem Sie jemandem erklären müssen, warum die Buchhaltung seit gestern verschlüsselt ist.

Gilt für ganz normale Rechner – Ihren zu Hause wie die im Büro. Auf Servern sind mehrere Werte anders zu setzen, und einige Schutzfunktionen brauchen dort eine ausdrückliche Freischaltung.