> ## Knowledge Base Index
> Fetch the complete knowledge base index at: https://docs.brainframe.com/sitemap.xml
> Use this file to discover available pages before exploring further.
> Pure-Markdown content can be obtained by appending a '.md' suffix to the content URLs listed in the sitemap (without the trailing slash).

# Microsoft Defender-Integration

# 🛡️ **Microsoft-Defender-Integration**

> **„Bringen Sie Endpunktsicherheit, Schwachstellen und Vorfälle in Ihren GRC-Arbeitsbereich — live aus Microsoft Defender, bereit zur Verknüpfung mit Risiken, Assets und Kontrollen."**
> *Sehen Sie Ihre Sicherheitslage auf einen Blick, sortieren Sie das Wichtige heraus und importieren Sie Defender-Datensätze als verwaltete Brainframe-Dokumente, ohne Ihren Compliance-Workflow zu verlassen.*

Die Microsoft-Defender-Integration verbindet Brainframe über dieselbe **Microsoft-Entra-ID-App-Registrierung**, die Sie für die Verzeichnisintegration verwenden, mit **Microsoft Defender for Endpoint** und **Microsoft 365 Defender**. Nach der Konfiguration erhalten Sie ein Live-Sicherheitsdashboard, durchsuchbare Geräte- und Bedrohungsdaten sowie die Möglichkeit, **Defender-Objekte als Brainframe-Dokumente zu importieren** — mit **aktuellen Daten bei jedem Öffnen eines importierten Datensatzes**.

Für CISOs und Compliance-Fachleute schließt dies die Lücke zwischen **operativem Sicherheits-Tooling** und **GRC-Nachweisen**: Sie können eine kritische CVE, einen aktiven Vorfall oder eine Empfehlung zu einer Fehlkonfiguration direkt in ein Risikoregister, einen Auditordner oder eine Abhilfe-Nachverfolgung übernehmen — und diesen Datensatz aktuell halten, während Defender aktualisiert wird.

---

## 1️⃣ Bevor Sie beginnen

Für die Nutzung der Integration benötigen Sie:

* 🛠 Einen **Brainframe-Arbeitsbereichsadministrator** (zum Konfigurieren der Microsoft-Entra-ID-Anmeldedaten und zum Erteilen von Azure-Berechtigungen).
* 🔐 Eine bestehende **Microsoft-Entra-ID-Integration** im selben Arbeitsbereich — Defender **verwendet diese Anmeldedaten wieder**; für Defender wird kein separates Geheimnis gespeichert.
* 🪪 Eine **Microsoft-Defender-for-Endpoint**-Lizenz für die gewünschten Module (siehe [Lizenzanforderungen](#-lizenzanforderungen) unten).
* 📂 In Azure genehmigte **schreibgeschützte API-Berechtigungen** sowohl für die **Defender-for-Endpoint-API** als auch für die Sicherheits-APIs von **Microsoft Graph**.

|| ⚠️ Konfigurieren Sie zuerst **Microsoft Entra ID**. Ist Entra nicht eingerichtet, leitet Sie der Defender-Konfigurationsbildschirm zur Seite mit den Entra-Anmeldedaten weiter, bevor Sie fortfahren können.

> 💡 Defender und Entra teilen sich eine App-Registrierung. Sie fügen für Defender **zusätzliche Anwendungsberechtigungen** zur **gleichen** Entra-App hinzu — Sie erstellen keine zweite Registrierung.

---

## 2️⃣ Die Integration konfigurieren

Microsoft Defender verwendet **keinen** separaten Benutzername-/Passwort-Bildschirm. Bei der Konfiguration geht es darum, Ihre bestehende Entra-App um die richtigen Berechtigungen zu erweitern und zu überprüfen, dass jedes Defender-Modul verfügbar ist.

Gehen Sie zu **Arbeitsbereichseinstellungen → Integrationen → Microsoft Defender → Konfigurieren** (`/integrations/microsoft-defender/config`).

### Schritt 1 — Entra-Anmeldedaten bestätigen

Die Konfigurationsseite zeigt an, ob **Microsoft-Anmeldedaten erkannt wurden** (Mandanten-ID und Client-ID aus Ihrer Entra-Integration).

* Fehlt Entra, klicken Sie auf **Microsoft-Entra-ID-Anmeldedaten konfigurieren** und schließen Sie diese Einrichtung zuerst ab.
* Ist Entra bereits konfiguriert, fahren Sie fort, indem Sie Defender-Berechtigungen in Azure hinzufügen.

### Schritt 2 — Berechtigungen in Azure hinzufügen

Öffnen Sie Ihre App-Registrierung im **Microsoft-Entra-Verwaltungscenter → App-Registrierungen → API-Berechtigungen**.

**A. Defender-for-Endpoint-API** (`WindowsDefenderATP`)

Fügen Sie **Anwendungsberechtigungen** hinzu:

| Berechtigung | Verwendet in Brainframe für |
| ---- |
| `Machine.Read.All` | Tab **Geräte** — angebundene Endpunkte |
| `Vulnerability.Read.All` | Tab **Schwachstellen** — CVEs und Exposition |
| `SecurityRecommendation.Read.All` | Tab **Fehlkonfigurationen** — Empfehlungen zur sicheren Konfiguration |
| `Score.Read.All` | KPI-Karten **Expositionswert** und **Sicherer Wert für Geräte** |
| `RemediationTasks.Read.All` | Tab **Abhilfeaufgaben** |

**B. Microsoft Graph**

Fügen Sie **Anwendungsberechtigungen** hinzu:

| Berechtigung | Verwendet in Brainframe für |
| ---- |
| `SecurityIncident.Read.All` | Untertab **Vorfälle** |
| `SecurityAlert.Read.All` | Untertab **Warnungen** |

Klicken Sie anschließend auf der Seite mit den API-Berechtigungen auf **Administratoreinwilligung für Ihren Mandanten erteilen**. Die Administratoreinwilligung ist **erforderlich** — das bloße Hinzufügen von Berechtigungen genügt nicht.

### Schritt 3 — Verbindung testen

Klicken Sie zurück in Brainframe auf **Verbindung erneut testen**. Die Tabelle **Status der Modulfähigkeiten** zeigt, welche Defender-Module verfügbar sind:

| Status | Bedeutung |
| ---- |
| 🟢 **Aktiviert** | Berechtigung erteilt, und das Modul liefert Daten. |
| 🟢 **Aktiviert (wird verteilt…)** | Einwilligung erteilt; Berechtigungen können 5–15 Minuten benötigen, um in Tokens zu erscheinen. In Kürze erneut testen. |
| 🟢 **Aktiviert (Lizenz fehlt)** | Berechtigung ist erteilt, aber Ihr Mandant benötigt eine zusätzliche Defender-Lizenz (z. B. Plan 2 oder Vulnerability Management). |
| 🟠 **Aktiviert (nicht bereitgestellt)** | Berechtigung ist in Ordnung, aber Defender wurde im Mandanten noch nicht initialisiert. Öffnen Sie einmal das [Defender-Portal](https://security.microsoft.com) und testen Sie danach erneut. |
| 🟠 **Aktiviert (nicht verfügbar)** | Berechtigung erteilt, aber der API-Test ist fehlgeschlagen (oft lizenz- oder bereitstellungsbedingt). |
| 🔴 **Deaktiviert** | Berechtigung nicht erteilt — fügen Sie sie in Azure hinzu und erteilen Sie die Administratoreinwilligung. |

Sobald Anmeldedaten und mindestens ein Modul verfügbar sind, öffnen Sie **Microsoft Defender** über den Konfigurationsbildschirm, um mit dem Durchsuchen zu beginnen.

> 📌 Brainframe **liest nur** aus Defender. Es behebt keine Endpunkte, ändert keinen Vorfallsstatus und ändert keine Defender-Konfiguration in Ihrem Namen.

### 🪪 Lizenzanforderungen

| Funktionsbereich | Typische Microsoft-Anforderung |
| ---- |
| **Geräte** (angebundene Endpunkte) | Microsoft Defender for Endpoint (Plan 1 oder Plan 2) |
| **Schwachstellen** (TVM / CVE-Exposition) | Defender for Endpoint **Plan 2** oder Add-on **Defender Vulnerability Management** |
| **Fehlkonfigurationen & Empfehlungen** | Defender for Endpoint mit TVM-/Secure-Score-Funktionen |
| **Expositionswert & Sicherer Wert für Geräte** | Defender for Endpoint TVM |
| **Vorfälle & Warnungen** | Microsoft 365 Defender / Defender XDR (oft in E5- oder Defender-Suite-Paketen enthalten) |
| **Abhilfeaufgaben** | Defender-TVM-Abhilfe-Workflow im Mandanten aktiviert |
| **Microsoft Secure Score** (mandantenweite KPI) | Microsoft Secure Score für die Organisation aktiviert |

> 💡 Zeigt ein Tab ein gelbes Banner **Lizenz fehlt** oder **nicht bereitgestellt**, können andere Tabs dennoch funktionieren. Brainframe zeigt die Einschränkung klar an, statt stillschweigend zu scheitern.

### Behörden- und souveräne Clouds

Brainframe erkennt automatisch, ob Ihr Mandant **kommerzielle**, **GCC-**, **GCC-High-** oder **DoD-Cloud**-Regionen verwendet, und öffnet die passenden Defender-Portal-Links (`security.microsoft.com` gegenüber `security.microsoft.us`). Über die Standard-Entra-Einrichtung für diese Cloud hinaus ist keine zusätzliche Konfiguration erforderlich.

---

## 3️⃣ Die Seite der Microsoft-Defender-Integration verwenden

Öffnen Sie **Arbeitsbereichseinstellungen → Integrationen → Microsoft Defender** (oder den Eintrag **Integrationen** in der Seitenleiste, wenn Defender für Ihren Arbeitsbereich aktiviert ist).

Der Seitenkopf enthält **Konfigurieren** (Zahnrad) und **Aktualisieren**. Verwenden Sie Aktualisieren nach größeren Änderungen in Defender oder nach dem Erteilen neuer Berechtigungen in Azure.

### 📊 KPI-Karten oben (Sicherheitslage auf einen Blick)

Sieben Karten fassen die Lage auf Mandantenebene zusammen. Mehrere sind **anklickbar** — sie wechseln zum jeweiligen Tab und wenden einen passenden Filter an.

| Karte | Was sie zeigt | Klick-Aktion |
| ---- |
| **Microsoft Secure Score** | Organisationsweiter Sicherheitswert (% und Punkte) | Informativ |
| **Expositionswert** | Aggregierte Exposition durch verwundbare Geräte (niedriger ist besser) | Informativ |
| **Sicherer Wert für Geräte** | Konfigurationswert über angebundene Geräte hinweg | Informativ |
| **Angebundene Geräte** | Anzahl der an Defender meldenden Endpunkte | Öffnet Tab **Geräte** |
| **Gefährdete Geräte** | Endpunkte mit **hohem** oder **mittlerem** Risikowert | Öffnet Tab **Geräte**, Risikofilter |
| **Aktive Vorfälle** | Offene Sicherheitsvorfälle | Öffnet **Vorfälle & Warnungen**, Aktiv-Filter |
| **Offene Empfehlungen** | Offene Empfehlungen zu Fehlkonfiguration / Härtung | Öffnet Tab **Fehlkonfigurationen** |

Farbhinweise unterstützen die Priorisierung: Grün für gesunde Werte, Bernstein/Orange für erforderliche Aufmerksamkeit, Rot für erhöhtes Risiko.

> 📌 Für Vorstandsberichte oder ISO-/SOC-Nachweise können Sie diese KPIs zusammen mit importierten Datensätzen in Ihren Compliance-Ordnern per Screenshot oder Export festhalten.

---

## 4️⃣ Tabs, Filter und Tabellen

Fünf Haupt-Tabs organisieren die Defender-Daten. Jeder Tab verfügt über **Suche**, **Filter**, **sortierbare Spalten**, **Seitennummerierung**, einen Link **Defender-Dashboard öffnen** (kontextabhängig zum aktiven Tab) sowie **Import**-Aktionen.

### 🖥 Geräte

Ihre angebundenen Endpunkte — das operative Asset-Inventar, das für Sicherheitsteams relevant ist.

**Filter:** Risiko, Exposition, Zustand, Betriebssystemplattform, RBAC-Gruppe, Gerätewert, Entra-verbunden (Ja/Nein), internetseitig.

**Wichtige Spalten:** Gerätename, OS, Zustand, Risiko, Exposition, Gerätewert, Zuletzt gesehen, Erstmals gesehen, IP, Entra-verbunden, Gruppe, Tags.

**Typischer CISO-Einsatz:** Unverwaltete oder risikoreiche Arbeitsstationen identifizieren, die mit unternehmenskritischen Assets verknüpft sind; wichtige Server oder privilegierte Administratorgeräte in ein Asset-Register importieren.

---

### ⚠️ Schwachstellen

CVE-basierte Schwachstellendaten aus Defender TVM.

**Filter:** Schweregrad (Kritisch / Hoch / Mittel / Niedrig), öffentlicher Exploit, verifizierter Exploit, in Exploit-Kit.

**Wichtige Spalten:** CVE, Schweregrad, CVSS, Exploit-Kennzeichen, Betroffene Geräte, Veröffentlichungs-/Aktualisierungsdatum, behebende KB, Beschreibung.

**Typischer Compliance-Einsatz:** Kritische/hohe CVEs mit öffentlichen Exploits in einen Dokumenttyp **Schwachstelle** importieren; mit Risikobehandlungen und Patch-Management-Kontrollen verknüpfen (z. B. ISO 27001 A.8, technische Maßnahmen NIS2).

---

### 🔧 Fehlkonfigurationen

Empfehlungen zur sicheren Konfiguration (Fehlkonfigurationen und Härtungslücken).

**Filter:** Kategorie, Art der Abhilfe, Status (Aktiv / Ausnahme), hat aktive Warnung, hat öffentlichen Exploit.

**Wichtige Spalten:** Name der Empfehlung, Kategorie, Auswirkung auf Schweregrad, Auswirkung auf Secure Score, Auswirkung auf Exposition, betroffene Geräte, Status, zugehörige Komponente.

**Standardansicht:** Nur **aktive** Empfehlungen.

**Typischer Compliance-Einsatz:** Konfigurationsabweichungen gegenüber CIS-Benchmarks oder internen Härtungsvorgaben verfolgen; wichtigste Empfehlungen in ein Register **Fehlkonfigurationen** importieren, verknüpft mit Kontrolltests.

---

### 🚨 Vorfälle und Warnungen

Zwei Unteransichten unter einem Tab:

| Untertab | Inhalt |
| ---- |
| **Vorfälle** | Korrelierte Sicherheitsvorfälle (aktiv, in Bearbeitung, gelöst) |
| **Warnungen** | Einzelne Warnungen von Defender und breiteren XDR-Quellen |

**Filter:** Schweregrad, Status, Klassifizierung (Echt positiv / Falsch positiv / usw.), Datumsbereich, **nur MDE** vs. **alle XDR-Quellen**.

**Vorfallsspalten:** Name, Schweregrad, Status, Klassifizierung, Bewertung, Zugewiesen an, Erstellt, Prioritätswert, Anzahl der Warnungen.

**Warnungsspalten:** Titel, Schweregrad, Status, Dienstquelle, Erkennungsquelle, Kategorie, MITRE-Techniken, Klassifizierung, Aktivitätszeitstempel.

**Typischer Compliance-Einsatz:** Aktive Vorfälle in einen Ordner **Vorfall** importieren, für Meldeworkflows bei Sicherheitsverletzungen, Nachbereitungsreviews oder SOC-Übergabedokumentation.

---

### ✅ Abhilfeaufgaben

Nachverfolgte Abhilfe-Arbeitspakete aus Defender TVM (Patches, Konfigurationskorrekturen).

**Filter:** Status (Aktiv, Abgeschlossen, Storniert, Ausstehend).

**Wichtige Spalten:** Aufgabentitel, zugehörige Empfehlung, Status, Fälligkeitsdatum, Erstellt, Zielgeräte.

**Typischer Compliance-Einsatz:** Offene Abhilfeaufgaben als **Aktion**-Dokumente in einen Ordner für das Abhilfeprogramm importieren; mit Auditfeststellungen oder Penetrationstest-Nachverfolgungen abgleichen.

---

## 5️⃣ Durchsuchen, Importieren und Live-Dokumente

### Durchsuchen und in Defender öffnen

* **Klicken Sie auf eine Tabellenzeile**, um diesen Datensatz im **Microsoft-Defender-Portal** in einem neuen Tab zu öffnen.
* Verwenden Sie die Schaltfläche **↗ In Defender öffnen** bei einer Zeile für dieselbe Aktion, ohne die Zeile auszuwählen.
* **Defender-Dashboard öffnen** (oben rechts in der Filterleiste) springt zum passenden Abschnitt im Defender-Portal für den Tab, auf dem Sie sich befinden.

### Import nach Brainframe

Der Import wandelt einen Defender-Datensatz in ein **natives Brainframe-Dokument** in einem von Ihnen gewählten Ordner um.

| Aktion | Wie |
| ---- |
| **Einen Datensatz importieren** | Klicken Sie in einer Tabellenzeile auf **Importieren** |
| **Massenimport** | Kontrollkästchen bei mehreren Zeilen aktivieren → **Auswahl importieren** |
| **Dokumenttyp wählen** | Eine Ordnerauswahl öffnet sich; der Standardtyp hängt davon ab, was Sie importieren (siehe Tabelle unten) |

**Standard-Dokumenttypen beim Import**

| Defender-Datensatz | Vorgeschlagener Brainframe-Typ |
| ---- |
| Gerät | Arbeitsstation |
| Schwachstelle (CVE) | Schwachstelle |
| Fehlkonfiguration / Empfehlung | Fehlkonfiguration |
| Vorfall | Vorfall |
| Warnung | Vorfall |
| Abhilfeaufgabe | Aktion |

Beim Import aus einer **Tabellenansicht** wählt Brainframe im Importdialog bereits den Dokumenttyp dieser Tabelle vor.

### Live-Daten bei importierten Dokumenten

Im Gegensatz zu einem einmaligen Export bleiben importierte Defender-Dokumente **mit der Quelle verbunden**:

* Jedes Mal, wenn Sie das Dokument **öffnen**, ruft Brainframe die **aktuellsten Daten** aus Microsoft Defender ab.
* Schweregrad, Status, Expositionszahlen, MITRE-Techniken und andere Felder werden automatisch aktualisiert.
* Verwenden Sie **In Defender öffnen** aus dem Inline-Viewer, um zum kanonischen Datensatz im Portal zu springen.

Dies ist ideal für **Nachweise, die aktuell bleiben müssen** — z. B. eine mit einer Risikobehandlung verknüpfte Schwachstelle oder ein in einem Management-Review referenzierter Vorfall.

> 📌 Importierte Dokumente verbleiben in Ihrem Arbeitsbereich, auch wenn Sie später Entra-Berechtigungen ändern. Sie zeigen dann einfach die aktuellsten Daten, die Defender Ihnen noch zu lesen erlaubt.

---

## 6️⃣ Defender-Datensätze aus Ordnern und Tabellenansichten hinzufügen

Sie müssen nicht für jeden Import die vollständige Integrationsseite öffnen.

### Ordner-Menü **NEU**

1. Öffnen Sie einen beliebigen Ordner → **NEU** → **Aus Integrationen hinzufügen**.
2. Wählen Sie **Microsoft Defender** aus dem Katalog (bei Bedarf nach **Schwachstellen**, **Vorfällen**, **Assets** oder **Fehlkonfigurationen** filtern).
3. Durchsuchen Sie dieselben Tabs, Filter und KPI-Karten wie auf der Haupt-Integrationsseite.
4. Importieren Sie einen oder mehrere Datensätze in den gewählten Ordner.

### **Cloud**-Schaltfläche in der Tabellenansicht

Klicken Sie in einer Tabelle eines Dokumenttyps auf das **Cloud**-Symbol (**Aus Integrationen hinzufügen**). Derselbe Defender-Browser öffnet sich, wobei der **Dokumenttyp der aktuellen Tabelle** für den Import vorausgewählt ist.

**Typische Workflows**

| Rolle | Workflow |
| ---- |
| **CISO / Sicherheitsverantwortlicher** | Wöchentliche Überprüfung der KPI-Karten → kritische CVEs filtern → Massenimport in einen Ordner „Sicherheitslage" |
| **Compliance-Manager** | Aktive Fehlkonfigurationen in einen Kontrollnachweis-Ordner importieren, der ISO-27001-Anhang A zugeordnet ist |
| **Risikoverantwortlicher** | Ein bestimmtes Gerät mit hohem Risiko importieren und mit einem bestehenden Asset-Risiko verknüpfen |
| **Vorfallsreaktion** | Aktive Vorfälle während eines Ereignisses importieren; Live-Aktualisierung für Statusupdates in Steuerungsrunden nutzen |
| **Auditor (intern)** | Abhilfeaufgaben mit Fälligkeitsdaten stichprobenartig als Nachweis der Nachverfolgung von Korrekturmaßnahmen prüfen |

---

## 7️⃣ Integrationen-Menü in der Seitenleiste

Wenn Defender in den Menüeinstellungen Ihres Arbeitsbereichs **konfiguriert und aktiviert** ist, erscheint **Microsoft Defender** unter **Integrationen** in der linken Seitenleiste.

* Ausgegraute Einträge bedeuten, dass die Integration in der Menükonfiguration sichtbar, aber für Ihren Benutzer **nicht aktiviert** oder **nicht zugänglich** ist — bitten Sie einen Administrator, sie unter **Arbeitsbereichseinstellungen → Menüoberfläche** zu aktivieren.

Die Konfiguration bleibt stets unter **Integrationen → Microsoft Defender → Konfigurieren** erreichbar.

---

## 8️⃣ Wie CISOs und Compliance-Teams Defender in Brainframe typischerweise nutzen

### Sicherheitsbetrieb mit GRC verbinden

| GRC-Artefakt | Defender-Quelle | Warum es hilft |
| ---- |
| **Asset-Register** | Gefährdete Geräte, internetseitige Endpunkte | Technische Exposition mit unternehmenskritischen Assets verknüpfen |
| **Risikoregister** | Kritische CVEs mit öffentlichen Exploits | Eintrittswahrscheinlichkeit mit realen Expositionszahlen quantifizieren |
| **Kontrollnachweise** | Empfehlungen zu Fehlkonfigurationen | Überwachung der sicheren Konfiguration nachweisen |
| **Vorfalls-/Verstoßprotokoll** | Aktive Vorfälle und Warnungen | Eine zentrale Quelle für IR-Dokumentation und regulatorische Fristen |
| **Abhilfe-/CAPA-Tracker** | Abhilfeaufgaben | Den Kreis von Feststellung → zugewiesener Maßnahme → Verifizierung schließen |
| **Management-Review-Paket** | KPI-Karten + importierte Top-Themen | Managementzusammenfassung ohne manuelle Tabellenkalkulations-Exporte |

### Ausrichtung an ISO 27001 / SOC 2 / NIS2 (Beispiele)

* **Schwachstellenmanagement (A.8 / CC7)** — Kritische/hohe CVEs importieren; mit Patch-SLAs und Risikoakzeptanzprotokollen verknüpfen.
* **Sichere Konfiguration (A.8)** — Empfehlungen zu Fehlkonfigurationen importieren; Härtungsstandards zuordnen.
* **Vorfallsmanagement (A.5 / CC7)** — Vorfälle importieren; Zeitlinien-Nachweise für Audits pflegen.
* **Asset-Inventar (A.5)** — Repräsentative Geräte importieren; mit dem Entra-Verbindungsstatus aus dem Tab Geräte abgleichen.
* **Kontinuierliche Überwachung** — Live-Aktualisierung bei importierten Datensätzen unterstützt Audit-Narrative nach dem Prinzip „Momentaufnahme plus laufend".

### Kombination mit Microsoft Entra ID

Viele Organisationen nutzen **beide** Integrationen mit derselben App-Registrierung:

* **Entra ID** — Identitäten, Verzeichnisgeräte, bedingter Zugriff, Identitätsrisiko.
* **Microsoft Defender** — Endpunktzustand, CVEs, Vorfälle, Abhilfe.

Zusammen ergeben sie innerhalb von Brainframe ein vollständigeres Bild aus **Identität + Endpunkt**, ohne doppelte Anmeldedatenverwaltung.

---

## 9️⃣ Zusammenfassung der Berechtigungen

| Aktion | Wer |
| ---- |
| Entra-Anmeldedaten konfigurieren (Voraussetzung) | Arbeitsbereichsadministrator |
| Azure-API-Berechtigungen und Administratoreinwilligung hinzufügen | Azure-/globaler Administrator |
| Defender-Daten durchsuchen | Jeder Benutzer mit Arbeitsbereichszugriff und funktionierender Entra-/Defender-Verbindung |
| Datensätze importieren | Benutzer mit Berechtigung zum Erstellen von Dokumenten im Zielordner |
| Importierte Live-Datensätze ansehen | Benutzer mit Lesezugriff auf diese Dokumente |
| Menüpunkt in der Seitenleiste | Integration in Menükonfiguration aktiviert + Benutzer-/Gruppenzugriff |

Anmeldedaten sind **im Ruhezustand verschlüsselt** und werden nach dem Speichern nie im Browser angezeigt (über die gemeinsame Entra-Integration).

---

## 🔟 Fehlerbehebung

| Symptom | Wahrscheinliche Ursache | Was zu tun ist |
| ---- |
| Weiterleitung zu **Microsoft Defender konfigurieren** | Keine Entra-Anmeldedaten | Schließen Sie zuerst die Konfiguration von **Microsoft Entra ID** ab. |
| Alle Module **Deaktiviert** | Berechtigungen nicht erteilt | Fügen Sie Defender- und Graph-Berechtigungen hinzu; **erteilen Sie die Administratoreinwilligung** in Azure. |
| **Aktiviert (wird verteilt…)** bleibt bestehen | Verzögerung beim Azure-Token | Warten Sie 5–15 Minuten; klicken Sie auf **Verbindung erneut testen**. |
| **Lizenz fehlt** bei Schwachstellen | Kein TVM / Plan 2 | Aktivieren Sie Defender Vulnerability Management oder Plan 2 in den Microsoft-Lizenzen. |
| **Nicht bereitgestellt** | Defender im Mandanten nie geöffnet | Besuchen Sie [security.microsoft.com](https://security.microsoft.com); schließen Sie die Einrichtung ab; testen Sie erneut. |
| Leerer Tab **Geräte** | Keine angebundenen Maschinen | Endpunkte in Defender for Endpoint anbinden. |
| Leerer Tab **Vorfälle** | Kein M365 Defender / XDR | Lizenz prüfen; bei Warnungen **Alle XDR-Quellen** versuchen. |
| Gelbes Banner nur bei einem Tab | Modulspezifische Lizenz- oder Einwilligungslücke | Banner-Hinweis lesen; die genannte Berechtigung oder Lizenz beheben. |
| Falscher Dokumenttyp im Importdialog | Tabellenkontext | Beim Import aus einer Tabellenansicht ist der Tabellentyp vorausgewählt — bei Bedarf in der Ordnerauswahl anpassen. |
| Importiertes Dokument zeigt veraltete Momentaufnahme | Live-Abruf fehlgeschlagen | Berechtigungen prüfen; **In Defender öffnen** nutzen; Dokumentansicht aktualisieren. |

---

## Verwandte Integrationen

| Integration | Ergänzende Nutzung |
| ---- |
| **Microsoft Entra ID** | Gemeinsame Anmeldedaten; Identitäten, Verzeichnisgeräte, bedingter Zugriff, Identitätsrisiko |
| Aikido.dev | Schwachstellen auf Anwendungsebene (SAST/SCA) neben Endpunkt-CVEs |
| **JIRA-/Aufgabenintegrationen** | Aus Defender importierte Abhilfeaufgaben zusammen mit Projekt-Arbeitspaketen verfolgen |

Details zur Einrichtung des Entra-Verzeichnisses und zu den Berechtigungen finden Sie im Leitfaden **Microsoft-Entra-ID-Integration**. Für Feststellungen zur Anwendungssicherheit siehe den Leitfaden **Aikido-Integration**.