> For the complete documentation index, see [llms.txt](https://docs.stoik.io/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.stoik.io/help/help-de/mdr/deploy/microsoft-defender.md). # Microsoft Defender Verbinden Sie Ihren Microsoft Defender XDR / Defender for Endpoint-Mandanten mit Stoïk, damit das Stoïk-CERT-Team ihn im Rahmen des MDR-(Managed Detection and Response-)Angebots überwachen und darauf reagieren kann. Im Gegensatz zu CrowdStrike oder SentinelOne verkauft Stoïk keine Microsoft-Defender-Lizenzen: Die Lizenzen bleiben Ihre, und Sie behalten die Kontrolle über Ihren Microsoft-Mandanten. {% hint style="warning" %} Die Verwaltung von MS Defender EDR befindet sich derzeit in der Beta-Phase. Geben Sie uns Bescheid, wenn Sie Feedback haben oder auf Probleme stoßen. {% endhint %} Ihr Mandant ist auf zwei Arten mit Stoïk verbunden, und beide sind erforderlich: * **Die Stoïk-Anwendung** ([Teil A](#part-a-authorise-the-stoik-application)): sendet Ihre Warnungen und die Liste der geschützten Geräte an Stoïk Protect. * **Das Stoïk-MDR-Gastkonto** ([Teil B](#part-b-give-the-stoik-cert-team-access-to-your-defender-portal)): ermöglicht es dem Stoïk-CERT-Team, in Ihrem Defender-Portal zu untersuchen und zu reagieren (Geräte-Timeline, Isolierung, Live Response). Die Einrichtung ist erst abgeschlossen, wenn Stoïk alle Ihre geschützten Geräte im Defender-Portal sehen kann: siehe [Die Einrichtung überprüfen und Stoïk benachrichtigen](#check-the-setup-and-notify-stoik). ## Voraussetzungen * Der Lizenzumfang wird mit Ihrem Stoïk-Vertriebsmitarbeiter im Rahmen des Stoïk-MDR-Kaufs vereinbart. Stoïk kauft keine Microsoft-Lizenzen in Ihrem Namen. * Arbeitsstationen verfügen über Defender for Endpoint Plan 2 (in Microsoft 365 E5 / A5 enthalten sowie in Defender for Business für KMU). * Ein **Globaler Administrator** Konto des Mandanten, der Ihre Defender-Geräte enthält. Für [B.3](#b.3-create-the-stoik-role-in-defender), ein **Sicherheitsadministrator** Konto funktioniert ebenfalls. ## Defender auf Ihren Geräten bereitstellen Eine Lizenz zuzuweisen ist nicht dasselbe wie den Defender-for-Endpoint-Agenten bereitzustellen. Jedes Gerät muss onboarded werden. * **Arbeitsstationen:** Sie über Intune, Gruppenrichtlinie oder das lokale Skript onboarden. Siehe die Microsoft- [Geräte onboarden](https://learn.microsoft.com/en-us/defender-endpoint/onboarding) Dokumentation zu den verfügbaren Methoden. * **Server**, eine von zwei Optionen: * Eine Defender-for-Endpoint-Serverlizenz: Abonnieren Sie sie zuerst im Rahmen Ihres Lizenzumfangs; siehe [Voraussetzungen](#prerequisites), und onboarden Sie dann die Server mit dem Onboarding-Paket von Microsoft. * **Microsoft Defender for Server** (Defender for Cloud): in `Defender for Cloud` > `Umgebungseinstellungen` > Ihr Abonnement > `Defender-Pläne` > `Server` > `Einstellungen`, setzen Sie **Endpunktschutz** zu **Ein**. Verbinden Sie lokale Server zuerst über **Azure Arc** mit. Das Azure-Abonnement muss zum **gleichen Microsoft-Mandanten** gehören, den Sie mit Stoïk verbinden, andernfalls erscheinen die Server in der Konsole eines anderen Mandanten. * **Windows Server 2012 R2 / 2016:** verwenden Sie den modernen einheitlichen Agenten. Geräte, die noch über den Microsoft Monitoring Agent (MMA) eingebunden sind, müssen migriert werden: MMA funktioniert ab dem 26. Februar 2027 nicht mehr. Siehe die Microsoft- [Migrationsanleitung](https://learn.microsoft.com/en-us/defender-endpoint/update-agent-mma-windows). {% hint style="warning" %} Ein Gerät, das unter `MDR` > `Überwachte Assets` in Stoïk Protect erscheint, bedeutet nicht, dass Defender for Endpoint darauf installiert und aktiv ist. Die dort angezeigten Assets stammen aus Entra ID und nicht aus Defender selbst, daher kann ein Gerät erscheinen, bevor der Agent tatsächlich bereitgestellt wurde, und Server, die nicht Entra-verbunden sind, können fehlen. Die Referenzliste ist `Assets` > `Geräte` im Defender-Portal. {% endhint %} ## Teil A: Die Stoïk-Anwendung autorisieren Autorisieren Sie die Stoïk-Anwendung mit einem einzigen Klick aus Stoïk Protect heraus. {% hint style="warning" %} Führen Sie Teil A und Teil B im **gleichen Microsoft-Mandanten**: demjenigen, in dem Ihre Geräte unter `Assets` > `Geräte` im Defender-Portal. {% endhint %} 1. Melden Sie sich beim [Stoïk Protect](https://app.stoik.io) mit Ihrem Stoïk-Konto. 2. Gehen Sie zu `MDR` > `Einstellungen`. 3. Klicken Sie **Verbinden Sie Ihr Microsoft-Konto**.
4. Sie werden zu Microsoft weitergeleitet. Prüfen Sie die von der Stoïk-MDR-Anwendung angeforderten Berechtigungen und klicken Sie auf **Akzeptieren**. 5. Sie werden zu Stoïk Protect zurückgeleitet. Die **Einstellungen** Seite zeigt die Verbindung als **Verbunden**, zusammen mit der erkannten **Microsoft-Mandanten-ID**. Notieren Sie sie: Sie muss mit derselben Mandanten-ID übereinstimmen wie die, die Sie in Schritt [B.1](#b.1-invite-the-stoik-mdr-user). Wenn sie abweicht, haben Sie einen anderen Mandanten verbunden: Kontaktieren Sie bevor Sie fortfahren. ## Teil B: Dem Stoïk-CERT-Team Zugriff auf Ihr Defender-Portal geben Führen Sie alle vier Schritte, B.1 bis B.4, unabhängig von Ihrer Defender-Konfiguration aus. Microsoft-Mandanten verwenden unterschiedliche Berechtigungsmodelle: Standard, ältere Defender-for-Endpoint-Rollen oder Defender-XDR-Unified-RBAC (der Standard für Mandanten, die seit 2025 neu zu Defender for Endpoint hinzugefügt wurden). Diese Schritte funktionieren in allen Fällen, und ein in Ihrem Mandanten nicht benötigter Schritt schadet nicht. ### B.1: Den Stoïk-MDR-Benutzer einladen {% stepper %} {% step %} Gehen Sie zu [portal.azure.com](https://portal.azure.com) (oder [entra.microsoft.com](https://entra.microsoft.com)) mit einem **Globaler Administrator** Konto. {% endstep %} {% step %} Gehen Sie zu `Benutzer` > `Alle Benutzer`, dann klicken Sie auf **Externen Benutzer einladen**.
{% endstep %} {% step %} Füllen Sie Folgendes aus: * **E-Mail-Adresse:** `mdr_api@stoikcert.onmicrosoft.com` * **Anzeigename:** `Stoik_Mdr_Api` Kopieren Sie Ihre **Mandanten-ID** (wird in Schritt 3 des Einladungsformulars angezeigt). Sie muss mit der Mandanten-ID übereinstimmen, die in Stoïk Protect in Teil A angezeigt wird.
{% endstep %} {% step %} Gehen Sie zum **Zuweisungen** Tab, klicken Sie auf **Rolle hinzufügen**, suchen Sie nach und wählen Sie **Sicherheitsoperator**, dann klicken Sie auf **Wählen Sie**.
{% hint style="info" %} Wenn die Rolle danach nicht in der Zuweisungsliste erscheint, handelt es sich um einen bekannten Microsoft-Anzeigefehler. Aktualisieren Sie die Seite; die Rolle wird meist korrekt angewendet. {% endhint %} {% endstep %} {% step %} Klicken Sie **Überprüfen + einladen**, dann **Einladen** um abzuschließen.
{% endstep %} {% endstepper %} {% hint style="info" %} In Ihrem Mandanten wird der Benutzername des Gasts zu `mdr_api_stoikcert.onmicrosoft.com#EXT#@.onmicrosoft.com`. Suchen Sie in den nächsten Schritten nach ihm anhand seines Anzeigenamens **Stoik\_Mdr\_Api**, nicht anhand seiner E-Mail-Adresse. {% endhint %}
Eine Richtlinie für bedingten Zugriff blockiert den eingeladenen Benutzer Wenn in Ihrem Mandanten Richtlinien für bedingten Zugriff bestehen, können sie das Stoïk-MDR-Gastkonto blockieren. Schließen Sie die `Stoik-MDR` Gruppe, die in [B.2](#b.2-create-the-stoik-mdr-group)erstellt wurde, von der blockierenden Richtlinie aus: 1. Gehen Sie zu `Schutz` > `Bedingter Zugriff` > `Richtlinien`. 2. Klicken Sie auf die Richtlinie, die den Zugriff blockiert. 3. Unter dem `Benutzer` Abschnitt klicken Sie auf die `Ausschließen` Registerkarte und aktivieren Sie `Benutzer und Gruppen`, dann suchen Sie nach der `Stoik-MDR` Gruppe und wählen Sie sie aus. 4. Klicken Sie **Speichern**.
Ihr Mandant erzwingt MFA Wenn Ihr Mandant MFA erzwingt, wird der Stoïk-MDR-Benutzer dazu aufgefordert, was das Stoïk-CERT-Team nicht durchführen kann. Statt das Konto von MFA auszunehmen, richten Sie stattdessen eine mandantenübergreifende Vertrauensstellung ein, damit die bereits im Mandanten von Stoïk durchgeführte MFA von Ihrem akzeptiert wird: 1. Melden Sie sich bei der [Microsoft Entra Admin Center](https://entra.microsoft.com). 2. Gehen Sie zu `Identity` > `Externe Identitäten` > `Einstellungen für mandantenübergreifenden Zugriff`. 3. Unter dem `Organisatorische Einstellungen` Tab, klicken Sie auf **Organisation hinzufügen**. 4. Geben Sie die Mandanten-ID von Stoïk ein `8100d7bd-172a-492e-bb96-e3f923731bd9` (oder `stoikcert.onmicrosoft.com`), wählen Sie sie aus und klicken Sie dann auf **Hinzufügen**. 5. Sobald die Organisation in der Liste erscheint, klicken Sie auf den Link unter der `Eingehender Zugriff` Spalte (typischerweise `Von Standard geerbt`). 6. Gehen Sie zum `Vertrauenseinstellungen` . 7. Wählen Sie **Einstellungen anpassen**. 8. Aktivieren Sie `Multi-Faktor-Authentifizierung von Microsoft Entra-Mandanten vertrauen`. 9. Klicken Sie **Speichern**.
### B.2: Die Stoik-MDR-Gruppe erstellen Defender-Gerätegruppen und ältere Defender-Rollen akzeptieren nur Gruppen, niemals einzelne Benutzer. Verwenden Sie in allen folgenden Schritten diese Gruppe, nicht den Benutzer. 1. In [entra.microsoft.com](https://entra.microsoft.com), gehen Sie zu `Gruppen` > `Alle Gruppen` > **Neue Gruppe**.
2. Füllen Sie Folgendes aus: * **Gruppentyp:** `Sicherheit` * **Gruppenname:** `Stoik-MDR` * **Mitgliedschaftstyp:** `Zugewiesen`
3. Nach **Mitglieder**, klicken Sie auf **Keine Mitglieder ausgewählt**, fügen Sie **Stoik\_Mdr\_Api**, dann klicken Sie auf **Erstellen**. ### B.3: Die Stoïk-Rolle in Defender erstellen Dieser Schritt ist obligatorisch, auch wenn Sie nicht wissen, welches Defender-Berechtigungsmodell Ihr Mandant verwendet. {% stepper %} {% step %} Gehen Sie zu [security.microsoft.com](https://security.microsoft.com) mit einem **Globaler Administrator** oder **Sicherheitsadministrator** Konto. {% endstep %} {% step %} Erweitern `System`, klicken Sie auf `Berechtigungen`, dann unter `Microsoft Defender XDR (Unified RBAC)`, wählen Sie `Rollen`.
{% endstep %} {% step %} Klicken Sie **Benutzerdefinierte Rolle erstellen** und füllen Sie **Rollenname** mit `stoik_mdr_role`. ![](https://243136008-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FaDGGQ49Oui29Ft0kJjSm%2Fuploads%2FH3rzxW1t5X9JnDyhVXrL%2Fmicrosoft-security-permissions-roles-add.png?alt=media\&token=2f8b3a94-1749-4846-9f89-31be3bb8fcd8)
{% endstep %} {% step %} Berechtigungen gewähren: Wählen Sie für jede der drei Berechtigungsgruppen (**Sicherheitsoperationen**, **Sicherheitslage**, **Autorisierung und Einstellungen**) **Alle Lese- und Verwaltungsberechtigungen**, klicken Sie auf **Übernehmen**, dann **Weiter**.
{% endstep %} {% step %} Fügen Sie die Zuweisung hinzu: * Klicken Sie **Zuweisung hinzufügen**. * Name: `stoik_mdr_assignment`. * Zuweisen an: die **`Stoik-MDR`** Gruppe und wählen Sie sie aus. * Wählen Sie **Alle Datenquellen**. * Aktivieren Sie **Zukünftige Datenquellen automatisch einschließen**. * Klicken Sie **Hinzufügen**, dann **Weiter**. ![](https://243136008-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FaDGGQ49Oui29Ft0kJjSm%2Fuploads%2Fb3lIdpsPj6FsV0ZSMlJ7%2Fmicrosoft-security-assigment-details.png?alt=media\&token=e276326b-6c53-44c6-9b74-46377f8f18b0) {% endstep %} {% step %} Klicken Sie **Senden** um abzuschließen.
{% endstep %} {% step %} Immer noch in `System` > `Berechtigungen` > `Microsoft Defender XDR (Unified RBAC)`, öffnen Sie **Workload-Einstellungen** (oder **Workloads aktivieren**) und prüfen Sie, ob **Microsoft Defender for Endpoint** ist **aktiviert**. Wenn nicht, wird die obige Rolle für Geräte ignoriert. {% endstep %} {% endstepper %}
Sie möchten die älteren Defender-for-Endpoint-Rollen beibehalten Anstatt den Defender-for-Endpoint-Workload in Unified RBAC zu aktivieren: 1. Gehen Sie zu `Einstellungen` > `Endpunkte` > `Berechtigungen` > `Rollen`. 2. Klicken Sie **Element hinzufügen** und benennen Sie es `stoik_mdr_role`. 3. Aktivieren Sie **alle Berechtigungen**, einschließlich **Erweiterte Live-Antwort**. 4. In **Zugewiesene Benutzergruppen**, fügen Sie `Stoik-MDR`. 5. Klicken Sie **Speichern**.
### B.4: Zugriff auf alle Ihre Gerätegruppen gewähren Überspringen Sie diesen Schritt nur, wenn Sie noch nie eine Gerätegruppe erstellt haben. Eine Gerätegruppe mit auf andere Gruppen beschränktem Zugriff blendet alle ihre Geräte aus Stoïk aus, einschließlich Servern. 1. Gehen Sie zu `Einstellungen` > `Endpunkte` > `Berechtigungen` > `Gerätegruppen`. 2. Für **jede** Gerätegruppe, **einschließlich `Nicht gruppierte Geräte (Standard)`**: öffnen Sie sie, gehen Sie zu der **Benutzerzugriff** Registerkarte, fügen Sie `Stoik-MDR`, dann klicken Sie auf **Speichern**. Es kann einige Stunden dauern, bis Änderungen übernommen werden. ## Die Einrichtung überprüfen und Stoïk benachrichtigen 1. In [security.microsoft.com](https://security.microsoft.com), gehen Sie zu `Assets` > `Geräte` und notieren Sie die Anzahl Ihrer Geräte und Server (Filter `Betriebssystemplattform` unter Windows Server und Linux). 2. Gehen Sie in Entra zu `Unternehmensanwendungen` > die Stoïk-Anwendung > `Berechtigungen`, und prüfen Sie, dass alle Berechtigungen **Gewährt für \**. 3. Senden Sie eine E-Mail an mit Ihrer **Microsoft-Mandanten-ID** sowie den Geräte- und Serverzahlen aus Punkt 1. Das Stoïk-CERT-Team meldet sich dann mit dem Gastkonto an und validiert das Onboarding nur, wenn es `Assets` > `Geräte` mit denselben Zahlen sieht. Wenn das Menü fehlt oder die Liste leer ist, siehe [Problembehandlung](#troubleshooting).
Die Stoïk-Anwendung erneut genehmigen (bestehende Kunden) Wenn Stoïk seiner Anwendung eine Berechtigung hinzufügt (zum Beispiel, um Ihre echte Defender-Geräteliste in Stoïk Protect anzuzeigen oder ein Gerät zu isolieren), muss ein Globaler Administrator Ihres Mandanten sie erneut genehmigen: Öffnen Sie den Link, den Ihr Stoïk-CSM gesendet hat, und klicken Sie auf **Akzeptieren**. Dies betrifft nur die Stoïk-Anwendung (Teil A). Es ändert nicht den Zugriff des Gastkontos auf Ihr Defender-Portal (Teil B).
## Problembehandlung
Stoïk sieht Warnungen, aber kein Menü Assets > Devices oder eine leere Geräteliste Unified RBAC oder ältere Rollen sind aktiv und der Gast hat keine Defender-Rolle, oder eine Gerätegruppe schränkt den Zugriff ein. Führen Sie die Schritte [B.2](#b.2-create-the-stoik-mdr-group) zu [B.4](#b.4-give-access-to-all-your-device-groups)aus: Rolle zugewiesen an `Stoik-MDR`, Defender-for-Endpoint-Workload aktiviert, Gruppe zu jeder Gerätegruppe hinzugefügt.
Arbeitsstationen sind sichtbar, Server fehlen Die Server befinden sich in einer eingeschränkten Gerätegruppe, die Defender-for-Servers-Integration ist deaktiviert, oder das Azure-Abonnement befindet sich in einem anderen Mandanten. Siehe [B.4](#b.4-give-access-to-all-your-device-groups) für ihre Gerätegruppe und den Serverabschnitt von [Defender auf Ihren Geräten bereitstellen](#deploy-defender-on-your-devices).
Das Gastkonto kann sich nicht anmelden Eine Richtlinie für bedingten Zugriff oder eine MFA-Anforderung blockiert es. Siehe die beiden Dropdown-Listen unter [B.1](#b.1-invite-the-stoik-mdr-user).
Der Gast wird beim Zuweisen der Rolle nicht gefunden Der Benutzername eines Gasts enthält `#EXT#`, daher schlägt die Suche per E-Mail fehl. Suchen Sie nach **Stoik\_Mdr\_Api**, oder weisen Sie die `Stoik-MDR` Gruppe und wählen Sie sie aus.
Die Mandanten-ID in Stoïk Protect weicht von der Defender-Konsole ab Teil A wurde in einem anderen Mandanten genehmigt. Kontaktieren Sie , und wiederholen Sie dann [Teil A](#part-a-authorise-the-stoik-application) im Mandanten, der Ihre Geräte enthält.
Die Geräte in Stoïk Protect weichen von Defender ab Die Liste in Stoïk Protect stammt weiterhin aus Entra ID, oder die Anwendungsberechtigungen wurden nicht erneut genehmigt. Siehe `Die Stoïk-Anwendung erneut genehmigen` im [Die Einrichtung überprüfen und Stoïk benachrichtigen](#check-the-setup-and-notify-stoik).
Die Schaltfläche „Verbinden Sie Ihr Microsoft-Konto“ in Stoïk Protect gibt einen Fehler zurück Stellen Sie sicher, dass Sie bei Microsoft mit einem **Globaler Administrator** Konto.
Die Verbindung wird in Stoïk Protect als „Verbunden“ angezeigt, aber es erscheinen weder Host noch Warnung Die erste Datensynchronisierung kann bis zu einige Stunden dauern.
Ein Banner erwähnt Geräte, die über MMA ausgeführt werden Ältere Server verwenden noch den Legacy-Agenten, der am 26. Februar 2027 nicht mehr funktioniert. Migrieren Sie sie zum einheitlichen Agenten: siehe [Defender auf Ihren Geräten bereitstellen](#deploy-defender-on-your-devices).
Wenden Sie sich bei jedem ungelösten Problem oder wenn Sie den Zugriff von Stoïk auf Ihren Microsoft-Defender-Mandanten widerrufen möchten, an . --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://docs.stoik.io/help/help-de/mdr/deploy/microsoft-defender.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.