Cyber-Angriffe auf Schweizer KMU haben sich seit 2023 mehr als verdreifacht. Phishing, Ransomware und Supply-Chain-Attacken machen Endpoint Security zur Pflicht. Microsoft Defender for Business ist die in Microsoft 365 Business Premium enthaltene Endpoint-Security-Lösung – speziell für Unternehmen bis 300 Mitarbeitende. Dieser Leitfaden zeigt das CNEXT-Setup für Schweizer KMU.
Was ist Microsoft Defender for Business?
Microsoft Defender for Business (MDB) ist die KMU-Variante von Microsoft Defender for Endpoint Plan 2 – mit vereinfachter Konfiguration. Es umfasst:
- Next-Generation Antivirus mit Cloud-basierter Bedrohungserkennung
- Endpoint Detection & Response (EDR) mit Behavior-based Detection
- Attack Surface Reduction (ASR) Rules
- Web Content Filtering (Anti-Phishing, Block schädlicher URLs)
- Vulnerability Management (Microsoft Defender Vulnerability Management)
- Automated Investigation & Response (AIR)
Unterstützt: Windows 10/11, macOS, iOS und Android.
Lizenzierung in der Schweiz
| Lizenz | Defender for Business enthalten? |
|---|---|
| Microsoft 365 Business Basic | ❌ |
| Microsoft 365 Business Standard | ❌ |
| Microsoft 365 Business Premium | ✅ |
| Microsoft Defender for Business standalone | ✅ (~CHF 3 / Nutzer / Monat) |
| M365 E3 + Defender for Endpoint Plan 1 / 2 | ✅ Plan 1 oder 2 |
| M365 E5 | ✅ Defender for Endpoint Plan 2 |
Für Schweizer KMU ist Microsoft 365 Business Premium in der Regel die beste Wahl – Defender for Business plus Intune sind enthalten.
Onboarding-Optionen
Defender for Business unterstützt mehrere Onboarding-Wege:
- 1Intune (empfohlen) – Devices automatisch via Compliance Policy onboarden
- 2Local Script – Manuelles Onboarding für Pilotgeräte
- 3Group Policy (für Hybrid-AD) – Klassisches Windows-Onboarding
- 4Microsoft 365 Defender Wizard – KMU-Setup-Assistent (max. 800 Geräte)
CNEXT empfiehlt Intune-basiertes Onboarding in Kombination mit dem M365 Defender Wizard.
Die 6 Phasen eines Defender Rollouts
1. Pre-Setup (1 Woche)
- Lizenzcheck und Aktivierung
- Defender for Business Tenant-Aktivierung
- Intune-Integration aktivieren
- Notifications und Alerts konfigurieren (E-Mail an IT-Team / SIEM)
2. Pilot (2 Wochen)
- 5–10 Pilotgeräte (Mix aus IT, Power-User, Standard-User)
- Onboarding-Test über Intune
- Erste Detections analysieren
- Feedback Helpdesk
3. Policies (2 Wochen)
- Next-Gen Protection Policy (Cloud Protection, PUA, Network Protection)
- Firewall Policy (Domain / Private / Public)
- ASR Rules im Audit Mode aktivieren
- Web Content Filtering mit Schweiz-spezifischen Kategorien
- Attack Surface Reduction für Office-Macros und Skripts
4. ASR Rules in Block Mode (2 Wochen)
Nach 1–2 Wochen Audit-Mode-Beobachtung in Block Mode überführen:
- Block executable content from email and webmail
- Block JavaScript or VBScript from launching downloaded executable content
- Block Office applications from creating child processes
- Block credential stealing from Windows local security authority
- Block process creations from PSExec and WMI commands
5. Tenant-weiter Rollout (4 Wochen)
- Onboarding-Wellen (z. B. 50 Geräte / Woche)
- Helpdesk-Schulung
- Microsoft Defender Vulnerability Management aktivieren
- Erste Schwachstellen-Patches via Intune ausrollen
6. Operations (laufend)
- Wöchentliches Defender-Dashboard-Review
- Monatlicher Bericht für Management
- Quartalsweise Tabletop-Übung (Incident Response)
- Integration in SIEM (Microsoft Sentinel oder Drittanbieter)
Schweizer Compliance-Aspekte
- Datenresidenz: Defender-Daten liegen in der EU Data Boundary, nicht primär in der Schweiz
- nDSG: Defender verarbeitet Telemetrie- und Sicherheitsdaten – im Verzeichnis nach Art. 12 nDSG dokumentieren
- Mitarbeitendeninformation: Bei BYOD und privaten Smartphones Mitarbeitende klar informieren
- FINMA / ISO 27001: Defender for Business deckt Anforderungen an Endpoint Detection ab
Integration mit Microsoft Sentinel
Schweizer Mittelstands- und Konzernkunden integrieren Defender oft in Microsoft Sentinel (Cloud-SIEM):
- Alle Defender-Alerts in einem Dashboard
- Korrelation mit Entra ID, Exchange Online Protection und Drittquellen
- Automated Response über Logic Apps
- Aufbewahrung der Logs für 1+ Jahr (Compliance)
CNEXT richtet Sentinel-Integration als Erweiterung an.
Häufige Fragen
Reicht Defender for Business gegen Ransomware? Defender liefert mehrere Schichten (Antivirus, EDR, ASR, Cloud Protection) und stoppt die meisten bekannten Ransomware-Familien. Zusätzlich braucht es Backup (Microsoft 365 Backup), Phishing-Schulung und Conditional Access.
Kann Defender for Business auch macOS und Mobilgeräte schützen? Ja, Windows, macOS, iOS, Android und Linux Server werden unterstützt.
Was passiert, wenn wir später auf Defender for Endpoint Plan 2 wechseln? Defender for Business deckt fast alle Funktionen ab. Plan 2 ergänzt Threat Hunting (KQL), Threat & Vulnerability Management Pro und Microsoft Threat Experts.
Was kostet ein Defender-Setup mit CNEXT? Onboarding und Policies für ein KMU mit 50 Geräten typisch CHF 10'000–20'000. Managed-Service-Optionen ab CHF 1'500 / Monat.
Fazit
Microsoft Defender for Business ist 2026 die effizienteste Endpoint-Security-Lösung für Schweizer KMU – bereits enthalten in Microsoft 365 Business Premium. Mit der richtigen Konfiguration und Integration in Intune wird er zur kompletten Sicherheits-Baseline. CNEXT übernimmt Setup, Schulung und Betrieb für Schweizer Unternehmen.