Wer mit Microsoft Defender for Servers arbeitet, muss sich irgendwann zwischen Plan 1 und Plan 2 entscheiden. Das klingt einfacher, als es ist. In vielen Tenants, die ich betreue, geht es dabei nicht bloß um Lizenzen. Security-Bedarf, Betriebsaufwand und Budgetvorgaben wollen gegeneinander abgewogen werden. Bei heterogenen Serverlandschaften wird daraus schnell eine Frage der Governance und der Architektur, etwa wenn Azure-VMs, per Azure Arc angebundene Server im eigenen RZ und vielleicht noch ein paar AWS-Instanzen nebeneinander laufen.

Plan 1 liefert mit Defender for Endpoint das unverzichtbare Fundament

Mit Plan 1 kommt die Integration von Microsoft Defender for Endpoint (MDE) auf die Server, und die halte ich für unverzichtbar. Windows- und Linux-Server lassen sich damit zentral überwachen, Endpoint Detection and Response (EDR) ist einsatzbereit, und die Microsoft Threat Intelligence steht zur Verfügung. Für alle Server, die über Defender for Servers P1 geschützt sind, ist die MDE-Lizenz bereits enthalten. Eine separate Zuweisung von MDE-Lizenzen entfällt also. Aktiviert wird der Plan im Defender-for-Cloud-Portal unter Environment settings → gewünschtes Azure-Abonnement → Defender plans.

Plan 1 liefert ein solides Grundniveau an Security Alerts und Empfehlungen, eine tiefgehende Schwachstellenbewertung gehört aber nicht dazu. Das wird oft übersehen. In vielen mittelständischen Umgebungen kommt es vor allem auf Sichtbarkeit und grundlegenden Schutz an, und dafür genügt Plan 1 häufig. Gibt es bereits eine etablierte Lösung für das Schwachstellenmanagement (z. B. Qualys, Rapid7), ist Plan 1 ebenfalls eine vernünftige Wahl, weil er sich gut in die vorhandenen Prozesse einfügt.

Plan 2 lohnt sich vor allem wegen agentloser Scans und DVM

Defender for Servers Plan 2 bietet deutlich mehr. Für mich fallen diese Punkte am stärksten ins Gewicht:

  • Agentlose Schwachstellenscans (etwa bei Azure-VMs, ohne MDE-Agent)
  • Premiumfunktionen aus Defender Vulnerability Management (DVM): inklusive Schwachstellenbewertungen und erweiterter Empfehlungen
  • Just-in-Time-VM-Zugriff (JIT): temporäre Öffnung nur der tatsächlich benötigten Ports
  • File Integrity Monitoring (FIM): Überwachung von Änderungen an kritischen Dateien
  • 500 MB/Tag/Server kostenfreie Log-Ingestion für bestimmte Tabellen im Log Analytics Workspace

Von den agentlosen Scans und den DVM-Premiumfunktionen profitieren vor allem Security-Teams, die nicht jeden Server mit einem Agenten ausstatten können oder wollen. Die 500 MB pro Tag und Server decken in vielen Umgebungen die wichtigsten Security-Logs gut ab. Da sich die Preise ändern, findet ihr die aktuellen Werte auf der offiziellen Preisseite.

Azure Arc bindet On-Premises- und Multi-Cloud-Server ein

Sollen auch Server außerhalb von Azure geschützt werden, führt kein Weg an Azure Arc vorbei. Arc behandelt Windows- und Linux-Server im eigenen RZ oder bei AWS wie native Azure-Ressourcen, sodass sie sich problemlos Defender for Servers zuordnen lassen. Ob Plan 1 oder Plan 2 lizenziert ist, macht dabei keinen Unterschied, denn zugewiesen wird pro Ressource oder Ressourcengruppe. Auch Funktionen wie Schwachstellenscans (Plan 2) oder EDR (Plan 1/2) stehen über Arc zur Verfügung.

Mein Tipp: Automatisiert das initiale Arc-Onboarding, etwa über Azure Policy oder die Arc-Befehlszeilentools. Dann verläuft auch der anschließende Defender-Rollout ohne böse Überraschungen.

Eine übersichtliche Erklärung des Arc-Ansatzes und der Integration mit Defender for Servers gibt es auf Microsoft Learn.

CSPM und Defender for Servers decken unterschiedliche Ebenen ab

Cloud Security Posture Management (CSPM) und Defender for Servers werden häufig verwechselt, obwohl sie auf getrennten Ebenen arbeiten. Das Foundation-CSPM-Modul ist in Microsoft Defender for Cloud kostenlos enthalten und liefert grundlegende Sicherheitsbewertungen der Cloud-Umgebung, zum Beispiel Konfigurationschecks. Erweiterte Funktionen wie Angriffspfadanalysen und Workbooks bringt erst das kostenpflichtige Defender CSPM (ehemals Microsoft Defender for Cloud CSPM) mit.

Defender for Servers kümmert sich gezielt um die Serverebene und ergänzt CSPM auf diese Weise. Wer sich auf CSPM Foundation beschränkt, verzichtet deshalb auf Endpoint Detection, Schwachstellenbewertung und File Integrity Monitoring. Diese Funktionen kommen erst mit Defender for Servers Plan 1 bzw. 2 hinzu. Für die genaue Abgrenzung lohnen sich die Details zur CSPM-Architektur.

Das Zusammenspiel lässt sich so darstellen:

flowchart TD
  CloudEnv["Cloud-Umgebung"] --> CSPM["CSPM Foundation/Defender"]
  VM["Azure/Arc Server"] --> P1["Defender for Servers P1"]
  VM --> P2["Defender for Servers P2"]
  P1 --> EDR["EDR (Defender for Endpoint)"]
  P2 --> EDR
  P2 --> DVM["Defender Vulnerability Mgmt"]
  P2 --> JIT["JIT/Agentless/FIM/500MB Logs"]

Abbildung: So greifen CSPM, Defender for Servers Plan 1/2 und die Zusatzfunktionen ineinander.

Bei Konfiguration und Planwechsel lauern einige Stolperfallen

Die Zuweisung von Plan 1 oder 2 erfolgt auf Abonnementebene im Defender-for-Cloud-Portal. Dort lassen sich die Defender-Pläne für einzelne Ressourcengruppen oder für das gesamte Abo aktivieren. Zwischen den Plänen kann man jederzeit wechseln, die Lizenzkosten ändern sich dann allerdings sofort. On-Premises-Server erscheinen erst im Portal, wenn ihr Arc-Onboarding abgeschlossen ist.

Bei der 500-MB/Tag/Server-Regel für Daten aus Log Analytics Workspaces lohnt sich ein genauer Blick. Sie gilt nur für bestimmte Tabellen (z. B. Security, SecurityBaseline, WindowsEvent), alles andere kostet extra. Die Einzelheiten stehen im Portal unter Defender for Servers → Data collection.

Immer wieder sehe ich, dass Plan 2 zwar aktiviert ist, die erweiterten Funktionen wie Just-in-Time oder File Integrity Monitoring aber nie per Richtlinie ausgerollt wurden. Ebenso häufig ist MDE nicht korrekt konfiguriert. In beiden Fällen hilft ein prüfender Blick auf die MDE-Integration.

Mein Entscheidungsbaum stützt sich auf drei Kriterien

In der Praxis entscheide ich anhand dieser Kriterien:

  1. Brauche ich Schwachstellenmanagement und agentlose Scans? Dann Plan 2.
  2. Reichen mir EDR und Basisüberwachung? Dann genügt Plan 1.
  3. Gibt es bereits ein anderes Schwachstellen-Tool? Dann eher Plan 1, um Kosten zu sparen.

In größeren, regulierten Umgebungen und in Cloud-only-Szenarien lande ich fast immer bei Plan 2, schon wegen der agentlosen Funktionen und der besseren Forensikmöglichkeiten. Gewachsene, hybride IT-Landschaften, in denen der Basisschutz zählt und die On-Prem-Integration bereits steht, fahren mit Plan 1 oft wirtschaftlicher. Akademisch ist die Lizenzfrage also selten. Die Entscheidung muss zur Governance, zum Security-Budget und zu den vorhandenen Tools passen.