In vielen Tenants, die ich betreue, stapeln sich CVEs in Security-Mails, Excel-Listen oder verschiedenen Tools. Was davon zuerst angegangen werden muss, weiß oft niemand so genau. Microsoft Defender Vulnerability Management ist hier ein deutlicher Fortschritt: Es leitet aus der Masse an Schwachstellen konkrete, priorisierte Empfehlungen ab und bringt die passenden Abläufe für IT-Operations gleich mit. Die Empfehlungen stehen im Defender-Portal unter Endpoints → Schwachstellenmanagement → Empfehlungen, sortiert nach Risiko und Ausnutzbarkeit. Das Exposure-Score-Widget oben filtere ich standardmäßig auf die kritischsten Risiken. Der Score gewichtet Schwachstellen nämlich nach Angriffspfad, Exploit-Verfügbarkeit und Zahl der betroffenen Geräte. In größeren Umgebungen hilft das enorm, weil man sich weniger von der nächsten CVE-Schlagzeile treiben lässt und stattdessen gezielt handelt.

Jede Empfehlung verrät auf einen Blick, wie dringend sie ist

Zu jeder Empfehlung zeigt das Portal die zugehörigen CVEs, die Zahl der aktuell betroffenen Geräte, den Stand der bereits erledigten Behebungen und, was ich besonders praktisch finde, ob bekannte Exploits existieren. Die Spalte „Exploit verfügbar“ übersehe ich nie, denn in solchen Fällen sind Angreifer meist schnell. Die Schwachstellenliste lässt sich nach verschiedenen Kriterien filtern, etwa nach Geräten mit hoher Priorität oder nach End-of-Support-Software. So lassen sich alte Windows-Versionen oder Drittanbieter-Tools rechtzeitig ausmustern. Bei mir hat sich eine feste Routine eingespielt: Einmal pro Woche gehe ich die Empfehlungen zusammen mit IT-Operations durch, wir greifen die wichtigsten Schwachstellen auf und erstellen direkt im Portal Remediation Requests. An dieser Stelle zahlt sich die Integration mit Microsoft Intune richtig aus.

Mein Tipp: Nutzt Remediation Requests im Defender-Portal konsequent. Dann landen die Aufgaben direkt bei den zuständigen IT-Kollegen, mit Frist und Nachverfolgung.

Auch eine andere Funktion gefällt mir sehr: Lässt sich ein Update etwa aus Kompatibilitätsgründen nicht einspielen, kann man im Portal eine Ausnahme mit Begründung und Ablaufdatum hinterlegen. Das sorgt für Transparenz und verhindert, dass Risiken einfach in Vergessenheit geraten.

Der Softwarebestand deckt veraltete und nicht genehmigte Anwendungen auf

Gleich nach den Empfehlungen ist die Software-Inventarliste mein zweiter Favorit in Defender Vulnerability Management. Sie listet alle installierten Anwendungen samt Version auf und zeigt vor allem den Lebenszyklusstatus, also zum Beispiel, ob der Support für Office 2016 bald ausläuft. Für Compliance und Audits ist das unverzichtbar, weil sich veraltete oder nicht genehmigte Software gezielt aufspüren lässt. Bei vielen Kunden war genau das der Anstoß, das Thema „Shadow IT“ endlich anzupacken. Die Daten stammen übrigens nicht allein aus der NVD; Microsoft ergänzt sie um Threat Intelligence und eigene Bewertungen (mehr dazu in dieser Übersicht der Schwachstellenempfehlungen).

Plan 2 deckt das Wichtigste ab, das Add-on erweitert die Reichweite

Eine Frage höre ich ständig: Was bekomme ich mit Defender for Endpoint Plan 2 allein, und wann brauche ich das Defender Vulnerability Management Add-on? Plan 2 enthält bereits die zentralen Schwachstellenfunktionen, also Empfehlungen, Softwarebestand, Exposure Score und die Anbindung an Intune. Für tiefer gehende Analysen ist dagegen das Add-on nötig, etwa für authentifizierte Schwachstellenscans im Netzwerk, die Kontrolle unsicherer Browsererweiterungen oder ein Zertifikatsinventar. Sollen Nicht-Windows-Geräte oder Server ohne MDE-Agent gescannt werden, kommt man ohne das Add-on kaum weiter. Den aktuellen Funktionsumfang beschreibt Microsoft hier: Übersicht über Defender Vulnerability Management.

Diese Funktionen kommen mit dem Add-on hinzu:

  • Authentifizierte Schwachstellenscans (auch für Server)
  • Browsererweiterungen (Add-on-Schwachstellen, Einstellungen, Kontrolle)
  • Zertifikatsinventar
  • Schwachstellenscans auch ohne installierten Defender-Agent
  • Erweiterte Inventarisierung von Geräten und Software

Ein fester Wochenablauf führt von der Erkennung bis zur Behebung

Mein wöchentlicher Ablauf sieht in der Praxis so aus: Ich prüfe im Defender-Portal die Top-Empfehlungen nach Exposure Score und Exploit-Verfügbarkeit, filtere kritische Schwachstellen und End-of-Support-Software heraus und lege für die wichtigsten Fälle Remediation Requests direkt aus der jeweiligen Empfehlung an. Diese wandern anschließend nach Intune, sodass sich der gesamte Lebenszyklus dokumentieren und nachverfolgen lässt. Wo nötig, halte ich Ausnahmen sauber im Portal fest. Im Audit ist dann nachvollziehbar, warum etwas (noch) nicht gepatcht ist. Die Zusammenarbeit mit IT-Operations funktioniert so spürbar reibungsloser als über klassische Ticketsysteme oder E-Mails.

Mit Advanced Hunting lassen sich Schwachstellen gezielt auswerten

Für gezielte Abfragen greife ich regelmäßig auf Advanced Hunting im Defender-Portal zurück (Microsoft Defender-Portal → Endpunktsicherheit → Erweitertes Jagen, mit Security Reader/Operator oder höher). Wer herausfinden möchte, auf welchen Geräten sich besonders viele ungepatchte kritische Schwachstellen ansammeln, kann zum Beispiel mit dieser KQL-Abfrage beginnen:

DeviceTvmSoftwareVulnerabilities
| where Severity == "Critical"
| summarize count() by DeviceName, OSPlatform
| top 10 by count_

Damit sieht man schnell, wo der Handlungsbedarf am größten ist. Voraussetzung ist Defender for Endpoint Plan 2, denn erst ab diesem Lizenzniveau ist Advanced Hunting enthalten.

Ein Diagramm zeigt das Zusammenspiel der einzelnen Schritte

Die folgende Mermaid-Grafik stellt dar, wie Schwachstellen erkannt, priorisiert und an den IT-Betrieb übergeben werden, einschließlich der Rückmeldung zu Ausnahmen und Behebungen:

flowchart TD
A["Geräte mit Schwachstellen"] --> B["Empfehlungen im Defender-Portal"]
B --> C["Priorisierung (Exposure Score, Exploit)"]
C --> D["Remediation Request an Intune"]
C --> E["Ausnahme mit Begründung"]
D --> F["Behebung durch IT"]
E --> F
F --> G["Status ins Portal zurück"]

Abbildung: Schwachstellen-Lifecycle mit Defender Vulnerability Management.

Strukturierte Aufgaben bringen Ordnung ins Schwachstellen-Chaos

Auf Defender Vulnerability Management möchte ich inzwischen nicht mehr verzichten. Schwachstellen werden damit sichtbar, lassen sich priorisieren und im Alltag tatsächlich abarbeiten. Statt reiner CVE-Listen und hektischer Reaktionen gibt es strukturierte, nachverfolgbare Aufgaben, und das bringt Ruhe und Kontrolle in den Betrieb, besonders wenn IT und Security enger zusammenarbeiten müssen. Das Add-on liefert zusätzliche Tiefe und Reichweite, den entscheidenden Schritt aus der CVE-Flut schafft man aber schon mit Plan 2. Wer noch in Excel-Listen versinkt oder von CVE-Warnungen überrollt wird, sollte sich das Schwachstellenmanagement im Defender-Portal unbedingt einmal genauer ansehen. Mehr aus der Praxis zu Unified Security steht in meinem Beitrag Erste Schritte mit Microsoft Defender XDR: Überblick, Incident Queue und Hunting.