🛡️ Microsoft-Defender-Integration

„Bringen Sie Endpunktsicherheit, Schwachstellen und Vorfälle in Ihren GRC-Arbeitsbereich — live aus Microsoft Defender, bereit zur Verknüpfung mit Risiken, Assets und Kontrollen."
Sehen Sie Ihre Sicherheitslage auf einen Blick, sortieren Sie das Wichtige heraus und importieren Sie Defender-Datensätze als verwaltete Brainframe-Dokumente, ohne Ihren Compliance-Workflow zu verlassen.

Die Microsoft-Defender-Integration verbindet Brainframe über dieselbe Microsoft-Entra-ID-App-Registrierung, die Sie für die Verzeichnisintegration verwenden, mit Microsoft Defender for Endpoint und Microsoft 365 Defender. Nach der Konfiguration erhalten Sie ein Live-Sicherheitsdashboard, durchsuchbare Geräte- und Bedrohungsdaten sowie die Möglichkeit, Defender-Objekte als Brainframe-Dokumente zu importieren — mit aktuellen Daten bei jedem Öffnen eines importierten Datensatzes.

Für CISOs und Compliance-Fachleute schließt dies die Lücke zwischen operativem Sicherheits-Tooling und GRC-Nachweisen: Sie können eine kritische CVE, einen aktiven Vorfall oder eine Empfehlung zu einer Fehlkonfiguration direkt in ein Risikoregister, einen Auditordner oder eine Abhilfe-Nachverfolgung übernehmen — und diesen Datensatz aktuell halten, während Defender aktualisiert wird.

1️⃣ Bevor Sie beginnen

Für die Nutzung der Integration benötigen Sie:

• 🛠 Einen Brainframe-Arbeitsbereichsadministrator (zum Konfigurieren der Microsoft-Entra-ID-Anmeldedaten und zum Erteilen von Azure-Berechtigungen).
• 🔐 Eine bestehende Microsoft-Entra-ID-Integration im selben Arbeitsbereich — Defender verwendet diese Anmeldedaten wieder; für Defender wird kein separates Geheimnis gespeichert.
• 🪪 Eine Microsoft-Defender-for-Endpoint-Lizenz für die gewünschten Module (siehe Lizenzanforderungen unten).
• 📂 In Azure genehmigte schreibgeschützte API-Berechtigungen sowohl für die Defender-for-Endpoint-API als auch für die Sicherheits-APIs von Microsoft Graph.

💡 Defender und Entra teilen sich eine App-Registrierung. Sie fügen für Defender zusätzliche Anwendungsberechtigungen zur gleichen Entra-App hinzu — Sie erstellen keine zweite Registrierung.

2️⃣ Die Integration konfigurieren

Microsoft Defender verwendet keinen separaten Benutzername-/Passwort-Bildschirm. Bei der Konfiguration geht es darum, Ihre bestehende Entra-App um die richtigen Berechtigungen zu erweitern und zu überprüfen, dass jedes Defender-Modul verfügbar ist.

Gehen Sie zu Arbeitsbereichseinstellungen → Integrationen → Microsoft Defender → Konfigurieren (/integrations/microsoft-defender/config).

Schritt 1 — Entra-Anmeldedaten bestätigen

Die Konfigurationsseite zeigt an, ob Microsoft-Anmeldedaten erkannt wurden (Mandanten-ID und Client-ID aus Ihrer Entra-Integration).

• Fehlt Entra, klicken Sie auf Microsoft-Entra-ID-Anmeldedaten konfigurieren und schließen Sie diese Einrichtung zuerst ab.
• Ist Entra bereits konfiguriert, fahren Sie fort, indem Sie Defender-Berechtigungen in Azure hinzufügen.

Schritt 2 — Berechtigungen in Azure hinzufügen

Öffnen Sie Ihre App-Registrierung im Microsoft-Entra-Verwaltungscenter → App-Registrierungen → API-Berechtigungen.

A. Defender-for-Endpoint-API (WindowsDefenderATP)

Fügen Sie Anwendungsberechtigungen hinzu:

B. Microsoft Graph

Fügen Sie Anwendungsberechtigungen hinzu:

Klicken Sie anschließend auf der Seite mit den API-Berechtigungen auf Administratoreinwilligung für Ihren Mandanten erteilen. Die Administratoreinwilligung ist erforderlich — das bloße Hinzufügen von Berechtigungen genügt nicht.

Schritt 3 — Verbindung testen

Klicken Sie zurück in Brainframe auf Verbindung erneut testen. Die Tabelle Status der Modulfähigkeiten zeigt, welche Defender-Module verfügbar sind:

Sobald Anmeldedaten und mindestens ein Modul verfügbar sind, öffnen Sie Microsoft Defender über den Konfigurationsbildschirm, um mit dem Durchsuchen zu beginnen.

📌 Brainframe liest nur aus Defender. Es behebt keine Endpunkte, ändert keinen Vorfallsstatus und ändert keine Defender-Konfiguration in Ihrem Namen.

🪪 Lizenzanforderungen

💡 Zeigt ein Tab ein gelbes Banner Lizenz fehlt oder nicht bereitgestellt, können andere Tabs dennoch funktionieren. Brainframe zeigt die Einschränkung klar an, statt stillschweigend zu scheitern.

Behörden- und souveräne Clouds

Brainframe erkennt automatisch, ob Ihr Mandant kommerzielle, GCC-, GCC-High- oder DoD-Cloud-Regionen verwendet, und öffnet die passenden Defender-Portal-Links (security.microsoft.com gegenüber security.microsoft.us). Über die Standard-Entra-Einrichtung für diese Cloud hinaus ist keine zusätzliche Konfiguration erforderlich.

3️⃣ Die Seite der Microsoft-Defender-Integration verwenden

Öffnen Sie Arbeitsbereichseinstellungen → Integrationen → Microsoft Defender (oder den Eintrag Integrationen in der Seitenleiste, wenn Defender für Ihren Arbeitsbereich aktiviert ist).

Der Seitenkopf enthält Konfigurieren (Zahnrad) und Aktualisieren. Verwenden Sie Aktualisieren nach größeren Änderungen in Defender oder nach dem Erteilen neuer Berechtigungen in Azure.

📊 KPI-Karten oben (Sicherheitslage auf einen Blick)

Sieben Karten fassen die Lage auf Mandantenebene zusammen. Mehrere sind anklickbar — sie wechseln zum jeweiligen Tab und wenden einen passenden Filter an.

Farbhinweise unterstützen die Priorisierung: Grün für gesunde Werte, Bernstein/Orange für erforderliche Aufmerksamkeit, Rot für erhöhtes Risiko.

📌 Für Vorstandsberichte oder ISO-/SOC-Nachweise können Sie diese KPIs zusammen mit importierten Datensätzen in Ihren Compliance-Ordnern per Screenshot oder Export festhalten.

4️⃣ Tabs, Filter und Tabellen

Fünf Haupt-Tabs organisieren die Defender-Daten. Jeder Tab verfügt über Suche, Filter, sortierbare Spalten, Seitennummerierung, einen Link Defender-Dashboard öffnen (kontextabhängig zum aktiven Tab) sowie Import-Aktionen.

🖥 Geräte

Ihre angebundenen Endpunkte — das operative Asset-Inventar, das für Sicherheitsteams relevant ist.

Filter: Risiko, Exposition, Zustand, Betriebssystemplattform, RBAC-Gruppe, Gerätewert, Entra-verbunden (Ja/Nein), internetseitig.

Wichtige Spalten: Gerätename, OS, Zustand, Risiko, Exposition, Gerätewert, Zuletzt gesehen, Erstmals gesehen, IP, Entra-verbunden, Gruppe, Tags.

Typischer CISO-Einsatz: Unverwaltete oder risikoreiche Arbeitsstationen identifizieren, die mit unternehmenskritischen Assets verknüpft sind; wichtige Server oder privilegierte Administratorgeräte in ein Asset-Register importieren.

⚠️ Schwachstellen

CVE-basierte Schwachstellendaten aus Defender TVM.

Filter: Schweregrad (Kritisch / Hoch / Mittel / Niedrig), öffentlicher Exploit, verifizierter Exploit, in Exploit-Kit.

Wichtige Spalten: CVE, Schweregrad, CVSS, Exploit-Kennzeichen, Betroffene Geräte, Veröffentlichungs-/Aktualisierungsdatum, behebende KB, Beschreibung.

Typischer Compliance-Einsatz: Kritische/hohe CVEs mit öffentlichen Exploits in einen Dokumenttyp Schwachstelle importieren; mit Risikobehandlungen und Patch-Management-Kontrollen verknüpfen (z. B. ISO 27001 A.8, technische Maßnahmen NIS2).

🔧 Fehlkonfigurationen

Empfehlungen zur sicheren Konfiguration (Fehlkonfigurationen und Härtungslücken).

Filter: Kategorie, Art der Abhilfe, Status (Aktiv / Ausnahme), hat aktive Warnung, hat öffentlichen Exploit.

Wichtige Spalten: Name der Empfehlung, Kategorie, Auswirkung auf Schweregrad, Auswirkung auf Secure Score, Auswirkung auf Exposition, betroffene Geräte, Status, zugehörige Komponente.

Standardansicht: Nur aktive Empfehlungen.

Typischer Compliance-Einsatz: Konfigurationsabweichungen gegenüber CIS-Benchmarks oder internen Härtungsvorgaben verfolgen; wichtigste Empfehlungen in ein Register Fehlkonfigurationen importieren, verknüpft mit Kontrolltests.

🚨 Vorfälle und Warnungen

Zwei Unteransichten unter einem Tab:

Filter: Schweregrad, Status, Klassifizierung (Echt positiv / Falsch positiv / usw.), Datumsbereich, nur MDE vs. alle XDR-Quellen.

Vorfallsspalten: Name, Schweregrad, Status, Klassifizierung, Bewertung, Zugewiesen an, Erstellt, Prioritätswert, Anzahl der Warnungen.

Warnungsspalten: Titel, Schweregrad, Status, Dienstquelle, Erkennungsquelle, Kategorie, MITRE-Techniken, Klassifizierung, Aktivitätszeitstempel.

Typischer Compliance-Einsatz: Aktive Vorfälle in einen Ordner Vorfall importieren, für Meldeworkflows bei Sicherheitsverletzungen, Nachbereitungsreviews oder SOC-Übergabedokumentation.

✅ Abhilfeaufgaben

Nachverfolgte Abhilfe-Arbeitspakete aus Defender TVM (Patches, Konfigurationskorrekturen).

Filter: Status (Aktiv, Abgeschlossen, Storniert, Ausstehend).

Wichtige Spalten: Aufgabentitel, zugehörige Empfehlung, Status, Fälligkeitsdatum, Erstellt, Zielgeräte.

Typischer Compliance-Einsatz: Offene Abhilfeaufgaben als Aktion-Dokumente in einen Ordner für das Abhilfeprogramm importieren; mit Auditfeststellungen oder Penetrationstest-Nachverfolgungen abgleichen.

5️⃣ Durchsuchen, Importieren und Live-Dokumente

Durchsuchen und in Defender öffnen

• Klicken Sie auf eine Tabellenzeile, um diesen Datensatz im Microsoft-Defender-Portal in einem neuen Tab zu öffnen.
• Verwenden Sie die Schaltfläche ↗ In Defender öffnen bei einer Zeile für dieselbe Aktion, ohne die Zeile auszuwählen.
• Defender-Dashboard öffnen (oben rechts in der Filterleiste) springt zum passenden Abschnitt im Defender-Portal für den Tab, auf dem Sie sich befinden.

Import nach Brainframe

Der Import wandelt einen Defender-Datensatz in ein natives Brainframe-Dokument in einem von Ihnen gewählten Ordner um.

Standard-Dokumenttypen beim Import

Beim Import aus einer Tabellenansicht wählt Brainframe im Importdialog bereits den Dokumenttyp dieser Tabelle vor.

Live-Daten bei importierten Dokumenten

Im Gegensatz zu einem einmaligen Export bleiben importierte Defender-Dokumente mit der Quelle verbunden:

• Jedes Mal, wenn Sie das Dokument öffnen, ruft Brainframe die aktuellsten Daten aus Microsoft Defender ab.
• Schweregrad, Status, Expositionszahlen, MITRE-Techniken und andere Felder werden automatisch aktualisiert.
• Verwenden Sie In Defender öffnen aus dem Inline-Viewer, um zum kanonischen Datensatz im Portal zu springen.

Dies ist ideal für Nachweise, die aktuell bleiben müssen — z. B. eine mit einer Risikobehandlung verknüpfte Schwachstelle oder ein in einem Management-Review referenzierter Vorfall.

📌 Importierte Dokumente verbleiben in Ihrem Arbeitsbereich, auch wenn Sie später Entra-Berechtigungen ändern. Sie zeigen dann einfach die aktuellsten Daten, die Defender Ihnen noch zu lesen erlaubt.

6️⃣ Defender-Datensätze aus Ordnern und Tabellenansichten hinzufügen

Sie müssen nicht für jeden Import die vollständige Integrationsseite öffnen.

Ordner-Menü NEU

1. Öffnen Sie einen beliebigen Ordner → NEU → Aus Integrationen hinzufügen.
2. Wählen Sie Microsoft Defender aus dem Katalog (bei Bedarf nach Schwachstellen, Vorfällen, Assets oder Fehlkonfigurationen filtern).
3. Durchsuchen Sie dieselben Tabs, Filter und KPI-Karten wie auf der Haupt-Integrationsseite.
4. Importieren Sie einen oder mehrere Datensätze in den gewählten Ordner.

Cloud-Schaltfläche in der Tabellenansicht

Klicken Sie in einer Tabelle eines Dokumenttyps auf das Cloud-Symbol (Aus Integrationen hinzufügen). Derselbe Defender-Browser öffnet sich, wobei der Dokumenttyp der aktuellen Tabelle für den Import vorausgewählt ist.

Typische Workflows

7️⃣ Integrationen-Menü in der Seitenleiste

Wenn Defender in den Menüeinstellungen Ihres Arbeitsbereichs konfiguriert und aktiviert ist, erscheint Microsoft Defender unter Integrationen in der linken Seitenleiste.

• Ausgegraute Einträge bedeuten, dass die Integration in der Menükonfiguration sichtbar, aber für Ihren Benutzer nicht aktiviert oder nicht zugänglich ist — bitten Sie einen Administrator, sie unter Arbeitsbereichseinstellungen → Menüoberfläche zu aktivieren.

Die Konfiguration bleibt stets unter Integrationen → Microsoft Defender → Konfigurieren erreichbar.

8️⃣ Wie CISOs und Compliance-Teams Defender in Brainframe typischerweise nutzen

Sicherheitsbetrieb mit GRC verbinden

Ausrichtung an ISO 27001 / SOC 2 / NIS2 (Beispiele)

• Schwachstellenmanagement (A.8 / CC7) — Kritische/hohe CVEs importieren; mit Patch-SLAs und Risikoakzeptanzprotokollen verknüpfen.
• Sichere Konfiguration (A.8) — Empfehlungen zu Fehlkonfigurationen importieren; Härtungsstandards zuordnen.
• Vorfallsmanagement (A.5 / CC7) — Vorfälle importieren; Zeitlinien-Nachweise für Audits pflegen.
• Asset-Inventar (A.5) — Repräsentative Geräte importieren; mit dem Entra-Verbindungsstatus aus dem Tab Geräte abgleichen.
• Kontinuierliche Überwachung — Live-Aktualisierung bei importierten Datensätzen unterstützt Audit-Narrative nach dem Prinzip „Momentaufnahme plus laufend".

Kombination mit Microsoft Entra ID

Viele Organisationen nutzen beide Integrationen mit derselben App-Registrierung:

• Entra ID — Identitäten, Verzeichnisgeräte, bedingter Zugriff, Identitätsrisiko.
• Microsoft Defender — Endpunktzustand, CVEs, Vorfälle, Abhilfe.

Zusammen ergeben sie innerhalb von Brainframe ein vollständigeres Bild aus Identität + Endpunkt, ohne doppelte Anmeldedatenverwaltung.

9️⃣ Zusammenfassung der Berechtigungen

Anmeldedaten sind im Ruhezustand verschlüsselt und werden nach dem Speichern nie im Browser angezeigt (über die gemeinsame Entra-Integration).

🔟 Fehlerbehebung

Verwandte Integrationen

Details zur Einrichtung des Entra-Verzeichnisses und zu den Berechtigungen finden Sie im Leitfaden Microsoft-Entra-ID-Integration. Für Feststellungen zur Anwendungssicherheit siehe den Leitfaden Aikido-Integration.

Aktualisiert am: 14/07/2026