Manipulationsschutz für Ihre Organisation mit Microsoft Intune verwalten

  • Gilt für:: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2, Microsoft Defender for Business, Microsoft Defender Antivirus

Manipulationsschutz trägt dazu bei, dass bestimmte Sicherheitseinstellungen, wie Viren- und Bedrohungsschutz, nicht deaktiviert oder geändert werden können. Wenn Sie Teil des Sicherheitsteams Ihrer organization sind und Microsoft Intune verwenden, können Sie das Manipulationsschutzfeature für Ihre organization im Intune Admin Center verwalten. Alternativ können Sie Konfigurations-Manager verwenden. Mit Intune oder Konfigurations-Manager können Sie die folgenden Aufgaben ausführen:

Wichtig

Wenn Sie Microsoft Intune verwenden, um Defender für Endpunkt-Einstellungen zu verwalten, stellen Sie sicher, dass Sie DisableLocalAdminMerge auf Geräten auf true festlegen.

Wenn der Manipulationsschutz aktiviert ist, können manipulationsgeschützte Einstellungen nicht geändert werden. Um Beeinträchtigungen bei der Verwaltung, einschließlich Intune (und Konfigurations-Manager), zu vermeiden, beachten Sie, dass Änderungen an manipulationsgeschützten Einstellungen scheinbar erfolgreich sein können, aber vom Manipulationsschutz blockiert werden. Abhängig von Ihrem jeweiligen Szenario stehen Ihnen mehrere Optionen zur Verfügung:

  • Wenn Sie Änderungen an einem Gerät vornehmen müssen und das Manipulationsschutzfeature diese Änderungen blockiert, empfehlen wir, den Problembehandlungsmodus zu verwenden, um den Manipulationsschutz auf dem Gerät vorübergehend zu deaktivieren. Nachdem der Problembehandlungsmodus beendet wurde, werden alle Änderungen, die an manipulationsgeschützten Einstellungen vorgenommen wurden, in den konfigurierten Zustand zurückgesetzt.
  • Sie können Intune oder Konfigurations-Manager verwenden, um Geräte vom Manipulationsschutz auszuschließen.
  • Wenn Sie den Manipulationsschutz über Intune verwalten, können Sie manipulationsgeschützte Antivirenausschlüsse ändern.

Voraussetzungen

Unterstützte Betriebssysteme

  • Windows

Anforderungen für die Verwaltung des Manipulationsschutzes in Intune

Anforderung Details
Rollen und Berechtigungen Sie müssen über geeignete Berechtigungen verfügen, die über Rollen zugewiesen werden, z. B. Sicherheitsadministrator. Siehe Microsoft Entra-Rollen mit Intune-Zugriff.
Geräteverwaltung Ihr organization verwendet Konfigurations-Manager oder Intune zum Verwalten von Geräten. Gemeinsam verwaltete Geräte werden für dieses Feature nicht unterstützt.
Intune-Lizenzen Intune Lizenzen sind erforderlich. Weitere Informationen finden Sie unter Microsoft Intune Lizenzierung.
Betriebssystem Windows-Geräte müssen mit Windows 10 Version 1709 oder höher oder Windows 11 betrieben werden. (Weitere Informationen zu Releases finden Sie unter Windows-Releaseinformationen.)

Für Mac finden Sie weitere Informationen unter Schützen von macOS-Sicherheitseinstellungen mit Manipulationsschutz.
Sicherheitsinformationen Sie müssen Windows-Sicherheit mit Sicherheitsinformationen verwenden, die auf Version 1.287.60.0 (oder höher) aktualisiert wurde.
Antischadsoftwareplattform Geräte müssen eine Antischadsoftwareplattformversion 4.18.1906.3 (oder höher) und eine Antischadsoftware-Engine-Version 1.1.15500.X (oder höher) verwenden. Siehe Verwalten von Microsoft Defender Antivirusupdates und Anwenden von Baselines.
Microsoft Entra ID Ihre Intune- und Defender for Endpoint-Mandanten müssen dieselbe Microsoft Entra-Infrastruktur gemeinsam verwenden.
Defender für Endpunkt Ihre Geräte müssen in Defender for Endpoint eingebunden werden.

Hinweis

Wenn Geräte nicht in Microsoft Defender for Endpoint registriert sind, wird der Manipulationsschutz als Nicht anwendbar angezeigt, bis der Onboardingprozess abgeschlossen ist. Der Manipulationsschutz kann Änderungen an bestimmten Sicherheitseinstellungen blockieren. Wenn Ihnen ein Fehlercode mit der Ereignis-ID 5013 angezeigt wird, lesen Sie Ereignisprotokolle und Fehlercodes zur Problembehandlung bei Microsoft Defender Antivirus überprüfen.

Aktivieren (oder Deaktivieren) des Manipulationsschutzes in Microsoft Intune

Informationen zum Erstellen einer Antivirenrichtlinie in Microsoft Intune, die den Manipulationsschutz für Ihre Geräte aktiviert oder deaktiviert, finden Sie unter Erstellen einer Endpunktsicherheitsrichtlinie (wird in der Intune-Dokumentation auf einer neuen Registerkarte geöffnet). Verwenden Sie beim Erstellen der Antivirenrichtlinie die folgenden Einstellungen:

  • Richtlinientyp": Antivirus
  • Plattform: Windows
  • Profil: Windows-Sicherheit
  • Grundlagen: Geben Sie einen Namen und eine Beschreibung für Ihre Richtlinie ein.
  • Konfigurationseinstellungen: Aktivieren des Manipulationsschutzes (Gerät) im Abschnitt Defender
  • Bereichstags: Wenn Ihre Organisation Bereichstags verwendet, wählen Sie die Tags aus, die Sie verwenden möchten.
  • Aufgaben: Wählen Sie alle Benutzer und alle Geräte aus. Überprüfen Sie, ob der Wert von Zieltyp bei beiden Include ist.

Manipulationsschutz für Antivirenausschlüsse

Ihre Organisation kann Ausschlüsse für Microsoft Defender Antivirus definieren. Der Manipulationsschutz kann diese Ausschlüsse ebenfalls schützen, wenn die folgenden Bedingungen erfüllt sind:

Bedingung Kriterien
Microsoft Defender-Plattform Geräte müssen plattformversion 4.18.2211.5 oder höher ausführen. Weitere Informationen finden Sie unter Monatliche Plattform- und Engine-Versionen.
DisableLocalAdminMerge Einstellung Diese Einstellung verhindert das Zusammenführen lokaler Listen. Aktivieren Sie diese Option DisableLocalAdminMerge , damit Geräteeinstellungen nicht mit Organisationsrichtlinien (z. B. Intune-Einstellungen) zusammengeführt werden. Siehe DisableLocalAdminMerge.
Geräteverwaltung Geräte dürfen nur in Intune oder nur im Konfigurations-Manager verwaltet werden. Sense muss aktiviert sein.
Antivirusausschlüsse Ausschlüsse müssen in Intune oder Konfigurations-Manager verwaltet werden. Weitere Informationen finden Sie unter Microsoft Defender Antivirusrichtlinieneinstellungen für Windows Geräte.

Das Ausschlussschutzfeature muss auf Geräten aktiviert sein. Weitere Informationen finden Sie unter Ermitteln, ob Antivirenausschlüsse auf einem Windows-Gerät manipulationssicher sind.

Hinweis

Wenn Konfigurations-Manager das einzige Tool zur Verwaltung von Ausschlüssen ist und alle Bedingungen erfüllt sind, sind diese Ausschlüsse manipulationssicher. Sie müssen Ausschlüsse nicht auch über Intune übertragen.

Weitere Informationen zu Antivirenausschlüssen finden Sie unter "Ausschlüsse für Microsoft Defender for Endpoint" und "Microsoft Defender Antivirus".

Ermitteln, ob Antivirenausschlüsse auf einem Windows-Gerät manipulationssicher sind

Sie können einen Registrierungsschlüssel verwenden, um festzustellen, ob die Funktion zum Schutz der Ausschlüsse von Microsoft Defender Antivirus aktiviert ist. Verwenden Sie dieses Verfahren, um den Manipulationsschutzstatus anzuzeigen, aber nicht zu ändern.

Achtung

Ändern Sie den Wert der Registrierungsschlüssel nicht. Dieses Verfahren dient nur zum Anzeigen von Registrierungswerten. Das Ändern von Schlüsseln hat keine Auswirkung darauf, ob der Manipulationsschutz für Ausschlüsse gilt.

  1. Öffnen Sie auf einem Windows-Gerät den Registrierungs-Editor. (Schreibgeschützter Modus ist in Ordnung. Sie bearbeiten den Registrierungsschlüssel nicht.)

  2. Um zu bestätigen, dass das Gerät nur von Intune oder nur von Konfigurations-Manager verwaltet wird, wenn Sense aktiviert ist, überprüfen Sie die folgenden Registrierungsschlüsselwerte:

    • ManagedDefenderProductType (befindet sich bei Computer\HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Defender oder HKLM\SOFTWARE\Microsoft\Windows Defender)
    • EnrollmentStatus (befindet sich bei Computer\HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SenseCM oder HKLM\SOFTWARE\Microsoft\SenseCM)

    In der folgenden Tabelle wird zusammengefasst, was die Registrierungsschlüsselwerte bedeuten:

    ManagedDefenderProductType Wert EnrollmentStatus Wert Bedeutung des Werts
    6 (beliebiger Wert) Das Gerät wird nur mit Intune verwaltet.
    (Erfüllt die Anforderung, dass Ausschlüsse manipulationssicher sind.)
    7 4 Das Gerät wird mit Konfigurations-Manager verwaltet.
    (Erfüllt die Anforderung, dass Ausschlüsse manipulationssicher sind.)
    7 3 Das Gerät wird gemeinsam mit Konfigurations-Manager und Intune verwaltet.
    (Dies wird nicht unterstützt, wenn für Ausschlüsse der Manipulationsschutz aktiviert ist.)
    Ein anderer Wert als 6 oder 7 (beliebiger Wert) Das Gerät wird nicht nur von Intune oder nur Konfigurations-Manager verwaltet.
    (Ausschlüsse sind nicht manipulationssicher.)

  3. Überprüfen Sie den TPExclusions Registrierungsschlüssel (unter Computer\HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Defender\Features oder HKLM\SOFTWARE\Microsoft\Windows Defender\Features), um zu bestätigen, dass der Manipulationsschutz bereitgestellt wurde und dass Ausschlüsse manipulationssicher sind.

    TPExclusions Bedeutung des Werts
    1 Die erforderlichen Bedingungen sind erfüllt, und die neue Funktion zum Schutz von Ausschlüssen ist auf dem Gerät aktiviert.
    (Ausschlüsse sind vor Manipulation geschützt.)
    0 Der Manipulationsschutz schützt die Ausnahmen auf dem Gerät derzeit nicht.
    (Wenn alle Anforderungen erfüllt sind und dieser Zustand falsch erscheint, wenden Sie sich an den Support.)

Achtung

Ändern Sie den Wert der Registrierungsschlüssel nicht. Verwenden Sie das vorangehende Verfahren nur für Informationen. Das Ändern von Schlüsseln hat keine Auswirkung darauf, ob der Manipulationsschutz für Ausschlüsse gilt.

Verwandte Inhalte

  • Last updated on