Was es ist
Defender for Endpoint wertet aus, was auf einem Gerät tatsächlich passiert, und meldet Abläufe, die nicht dazu passen. Die Auswertung läuft in der Microsoft-Cloud, die Signale kommen vom Betriebssystem selbst statt von einem nachträglich installierten Agenten.
Wofür es gedacht ist
Für Umgebungen, die ohnehin auf Microsoft stehen. Der grösste praktische Vorteil ist selten die Erkennung, sondern dass Identität, Geräteverwaltung und Endpoint Security dieselben Gruppen und dieselbe Konsole benutzen.
Worauf zu achten ist
Zwei Dinge. Erstens die Lizenz: Der volle Funktionsumfang hängt am Plan, und der Unterschied zwischen den Stufen ist genau der Teil, den man später vermisst. Zweitens die ersten Wochen: Backup-Agenten, Monitoring und selbstgebaute Skripte verhalten sich aus Sicht eines EDR wie Angreifer. Diese Ausnahmen gehören dokumentiert, sonst steht in zwei Jahren ein Regelwerk da, das niemand mehr anfassen will.
