Microsoft Defender for Identity einfach erklärt

Was passiert, wenn ein Angreifer keine Firewall durchbricht, sondern einfach ein legitimes Passwort stiehlt? Dann sieht von außen alles normal aus: gültiger Benutzername, gültiges Passwort, regulärer Anmeldevorgang. Klassische Sicherheitswerkzeuge, die nach Malware, verdächtigen Dateien und auffälligem Netzwerkverkehr suchen, schlagen hier nicht an.

Genau diese Lücke schließt Microsoft Defender for Identity. Der Artikel erklärt, was das Produkt ist, warum es existiert, wie es Identitätsangriffe auf das lokale Active Directory erkennt und wie es sich ins Sicherheitsumfeld von Microsoft einfügt.

Warum Identitätssicherheit zum neuen Schlachtfeld geworden ist

Vor etwa 20 Jahren hieß Netzwerksicherheit: das Gebäude abriegeln. Man setzte eine Firewall ein, installierte Antivirus-Software auf jedem Rechner und empfahl starke Passwörter. Das funktionierte recht gut, denn Angreifer mussten die Verteidigung durchbrechen, eine Schwachstelle finden, sie ausnutzen und sich danach im Netzwerk bewegen. Der Perimeter war die Mauer.

Heute trägt dieses Modell nicht mehr. Angreifer brechen nicht ein, sie melden sich an. Ein gültiges Passwort erbeuten sie durch Phishing, eine Datenpanne oder schlichtes Raten, und dann gehen sie durch die Vordertür.

Die Zahlen zum Risiko

• Kompromittierte Anmeldedaten stecken hinter 79 % der Ransomware-Angriffe.
• 70 % der Unternehmen verzeichneten 2025 mindestens eine identitätsbezogene Sicherheitsverletzung.
• Die durchschnittlichen Wiederherstellungskosten liegen bei 1,64 Millionen. Sie umfassen nicht nur Lösegeld, sondern auch Ausfallzeiten, forensische Untersuchungen, Anwaltskosten, Strafzahlungen und Reputationsschäden.
• Für mittelständische Unternehmen liegen die durchschnittlichen Kosten immer noch bei 750.000 Dollar.

Das Kernproblem klassischer Tools

Herkömmliche Werkzeuge verstehen das Nutzerverhalten nicht. Sie wissen nicht, ob eine Anmeldung normal oder verdächtig ist. Ein Angreifer mit gestohlenem Passwort nutzt denselben Benutzernamen, dasselbe Passwort und denselben Authentifizierungsprozess wie der echte Nutzer. Der einzige Unterschied ist die Absicht. Wer nicht auf anormale Verhaltensmuster achtet, bemerkt den Angriff erst, wenn es zu spät ist.

Was ist Microsoft Defender for Identity?

Microsoft Defender for Identity ist ein cloudbasiertes Sicherheitstool, das Ihr lokales Active Directory auf identitätsbasierte Angriffe überwacht. Es konzentriert sich auf die On-Premises-Identitätsinfrastruktur, also auf Domain-Controller, Active Directory und ADFS-Server. Das ist alles, was im eigenen Rechenzentrum oder auf eigenen Servern läuft.

Das Prinzip ist die Verhaltensanalyse: Das Tool lernt, was für jeden Benutzer und jedes Gerät normal ist, und markiert alles, was nicht dazu passt. Man kann es sich als Sicherheitsmitarbeiter vorstellen, der die Routine jedes Kollegen kennt. Er weiß, wer um 8 Uhr kommt, wer lange arbeitet und wer Zugang zum Serverraum hat. Taucht jemand um 3 Uhr morgens auf und versucht, die Serverraumtür zu öffnen, fällt ihm das sofort auf.

Stolpersteine und Missverständnisse

• Keine reine Cloud-Lösung: Defender for Identity schützt die lokale Identitätsinfrastruktur. Cloudbasierte Anmelderisiken deckt Microsoft Entra ID Protection ab.
• Kein Antivirus, keine Firewall, kein Patch-Management: Es ist Identitätsbedrohungserkennung, eine eigene Kategorie. Es sucht nicht nach schädlichen Dateien, sondern nach schädlichem Verhalten. Das ist entscheidend, weil die gefährlichsten Angriffe heute keine Malware nutzen, sondern legitime Zugangsdaten.
• Ohne Sensor passiert nichts: Die Erkennung hängt davon ab, dass Sensoren auf den Domain-Controllern installiert sind.

So funktioniert die Erkennung: Sensoren und Verhaltensanalyse

Defender for Identity setzt auf leichtgewichtige Sensoren, die auf dem Domain-Controller installiert werden. Sie arbeiten unauffällig im Hintergrund und lesen Netzwerkverkehr sowie Windows-Ereignisse, ohne den Domain-Controller zu verlangsamen. Sie sind gewissermaßen Augen und Ohren des Systems.

Welche Daten die Sensoren erfassen

• Netzwerkverkehr: um Authentifizierungsanfragen zwischen Maschinen zu sehen.
• Windows-Ereignisse: um zu erkennen, was auf Betriebssystemebene geschieht.
• Authentifizierungsaktivitäten: um nachzuvollziehen, wer sich wann und von wo anmeldet.

Die Sensoren sammeln und leiten die Daten nur weiter. Die eigentliche Analyse findet im Cloud-Dienst von Defender for Identity statt.

Das Basisprofil jedes Benutzers

Der Cloud-Dienst erstellt für jeden Benutzer ein Basisprofil: typische Anmeldezeiten, übliche Workstations, normalerweise genutzte Ressourcen. Das System kommt nicht mit starren Regeln dafür, was „normal“ ist. Es lernt aus Ihrer tatsächlichen Umgebung, denn Normalität sieht in jeder Organisation anders aus.

Weicht etwas von dieser Basislinie ab, entsteht eine Warnung. Meldet sich jemand, der sonst von 9 bis 17 Uhr arbeitet, plötzlich um drei Uhr nachts von einer bisher nie genutzten Workstation an, wird das gekennzeichnet. Das System unterstellt nicht sofort Bösartigkeit, gibt dem Sicherheitsteam aber den Anlass zur Untersuchung.

Welche Angriffe erkannt werden

• Pass-the-Hash: Ein Angreifer stiehlt einen Passwort-Hash und nutzt ihn zur Authentifizierung.
• Kerberoasting: Ein Angreifer fordert Diensttickets für privilegierte Konten an und knackt sie offline.
• Golden-Ticket-Nutzung: Ein Angreifer fälscht ein Kerberos-Ticket, um domänenweiten Zugriff zu erlangen.
• DCSync: Ein Angreifer gibt sich als Domain-Controller aus und fordert Passwort-Hashes an.
• Laterale Bewegung: Ein Angreifer springt mit einem kompromittierten Konto von Maschine zu Maschine.

Jede Erkennung wird dem MITRE-ATT&CK-Framework zugeordnet, dem Industriestandard zur Beschreibung von Angriffstechniken. Statt „verdächtige Aktivität“ liest das Sicherheitsteam also etwa „Pass-the-Hash-Angriff“ samt zugeordneter Technik. Das liefert sofort Kontext, womit man es zu tun hat und wie man reagieren sollte.

Der Angriffslebenszyklus: Wo Defender for Identity ansetzt

Angreifer folgen einem vorhersehbaren Muster mit den Phasen Aufklärung, kompromittierte Anmeldedaten, laterale Bewegung und Domänenherrschaft. Defender for Identity verbindet die Einzelereignisse zu einer Angriffstimeline: von der initialen Kompromittierung über laterale Bewegung und Privilegienerweiterung bis zur Domänenherrschaft. Statt einer einzelnen Warnung sehen Sie die ganze Geschichte. Das ist der Unterschied zwischen einem Tool, das nur alarmiert, und einem, das beim Verstehen hilft.

Phase 1: Aufklärung

Der Angreifer hat noch keinen Zugriff, sondern sieht sich um. Er scannt das Netzwerk und sucht nach Konten, Gruppen und Vertrauensstellungen. Er will wissen, wer Administrator ist, welche Konten erweiterte Rechte haben und wie die Domäne aufgebaut ist. Oft nutzt er dafür Tools wie BloodHound. Defender for Identity achtet hier auf verdächtige LDAP-Abfragen und Enumerationsversuche. Ein Alarm entsteht zum Beispiel, wenn eine Workstation, die so etwas nie zuvor getan hat, alle Domain-Administrator-Konten abfragt.

Phase 2: Kompromittierte Anmeldedaten

Der Angreifer hat ein Passwort erlangt, etwa durch Phishing, einen Datendiebstahl oder den Kauf im Darknet. Ab jetzt besitzt er gültige Zugangsdaten. Auffällig werden zum Beispiel Anmeldungen um drei Uhr morgens von einem neuen Standort oder ein Zugriff auf Hunderte statt der üblichen fünf Dateien. Solche Verhaltensabweichungen erfordern keine Malware-Erkennung, sondern nur das Wissen, wie „normal“ aussieht.

Phase 3: Laterale Bewegung

Der Angreifer hat einen Fuß in der Tür, aber vermutlich noch kein privilegiertes Konto. Er bewegt sich durch das Netzwerk, um wertvolle Ziele zu erreichen, mit Techniken wie Pass-the-Hash, Pass-the-Ticket und Overpass-the-Hash. Jeder einzelne Sprung wirkt wie eine legitime Authentifizierung. Verdächtig wird das Muster: Meldet sich ein Konto innerhalb von fünf Minuten von drei verschiedenen Workstations an, ist das kein normales menschliches Verhalten.

Phase 4: Domänenherrschaft

Am Ende steht die Kontrolle über die gesamte Domäne. Techniken wie die Nutzung eines Golden Tickets oder ein DCSync-Angriff gehören in diese Kategorie. Auch dafür bringt Defender for Identity Erkennungsregeln mit.

Das Portal: Dashboard, Warnmeldungen und Vorfälle

Die Kommandozentrale ist das Microsoft Defender-Portal unter security.microsoft.com. Das Dashboard zeigt auf einen Blick, wie viele Benutzer überwacht werden, wie viele aktive Warnungen vorliegen und in welchem Zustand die Sensoren sind. Es soll einen Überblick in Sekunden statt in Minuten geben.

Identity Security Score

Auf dem Dashboard erscheint außerdem ein Score von 0 bis 100, der zeigt, wie gut die Identitätsinfrastruktur geschützt ist. Er basiert auf tatsächlichen Konfigurationen und Empfehlungen. Domain-Controller ohne Sensoren oder Benutzer ohne Multifaktor-Authentifizierung senken den Wert. Werden die Probleme behoben, steigt er wieder.

Erkennungsregeln, Warnungen und Vorfälle

Warnmeldungen entstehen durch Erkennungsregeln, also vorkonfigurierte Bedingungen, die verdächtiges Verhalten beschreiben. Microsoft hat auf Basis jahrelanger Bedrohungsforschung Hunderte davon entwickelt. Eine Anmeldung von einem ungewöhnlichen Ort, ein DCSync-Versuch oder die Verwendung eines Golden Tickets sind jeweils eine eigene Regel, mit denen das System das Geschehen laufend abgleicht.

Mehrere Warnungen lassen sich zu einem Vorfall zusammenfassen. Das ist wichtig, weil Angreifer nicht nur eine verdächtige Sache tun, sondern viele nacheinander. Einzeln kann eine Warnung wie ein Fehlalarm wirken, im Gesamtbild aus Aufklärung, Kompromittierung, lateraler Bewegung und Domänenherrschaft wird klar, was passiert ist. Der Vorfall ist die Geschichte, die Warnungen sind einzelne Sätze.

Angriffsgraf und Reaktion

Jeder Vorfall enthält einen Angriffsgraf, eine visuelle Karte der Bewegung des Angreifers mit Startpunkt, Zwischenschritten und Ziel. Man sieht, welche Konten kompromittiert, welche Maschinen angesprochen und welche Techniken genutzt wurden, ähnlich einer Videoaufzeichnung des Angriffs in Diagrammform.

Direkt im Portal lassen sich Maßnahmen ergreifen: ein kompromittiertes Konto deaktivieren oder eine Kennwort-Zurücksetzung erzwingen, ohne sich am Domain-Controller anzumelden. Der Sensor kommuniziert mit dem lokalen Active Directory und setzt die Änderung sofort um. Er hört also nicht nur zu, sondern kann auch handeln. Zusätzlich lassen sich E-Mail-Benachrichtigungen einrichten, damit das Sicherheitsteam bei kritischen Alarmen sofort informiert wird und das Dashboard nicht rund um die Uhr beobachten muss.

Erweiterte Funktionen: Honeytoken, Entitäts-Tagging und Ausschlussregeln

Honeytoken-Konten als Lockvogel

Honeytoken- oder Honeypot-Konten sind gefälschte Benutzerkonten, die gezielt Angreifer anlocken sollen. Sie erhalten einen verlockenden Namen wie „Exchange-Admin“ oder „Domänen-Backup-Dienst“ und eine Gruppenmitgliedschaft, die hohe Privilegien vortäuscht. Tatsächlich haben sie keinen Zweck, und niemand sollte sich je damit anmelden.

Wer es doch tut, löst sofort einen Alarm aus, ohne dass eine eigene Überwachung oder komplexe Regel nötig wäre. Das ist kein Fehlalarm, sondern ein bestätigter Eindringversuch. Eingerichtet werden Honeytokens im Defender-Portal unter Einstellungen, Identitäten und Token, was etwa 30 Sekunden dauert.

Entitäts-Tagging

Benutzer, Geräte oder Gruppen lassen sich als sensibel markieren. Wird etwa ein Domain-Administrator-Konto so gekennzeichnet, überwacht Defender for Identity jede Aktion genauer. Abweichungen vom Normalverhalten werden höher priorisiert, und jede laterale Bewegung, die das Konto betrifft, wird eskaliert. Das ist vergleichbar mit einem GPS-Tracker an den wertvollsten Vermögenswerten.

Ausschlussregeln gegen Rauschen

Legitime Sicherheitstools und Admin-Prozesse können Fehlalarme auslösen. Ein Schwachstellen-Scanner authentifiziert sich womöglich an jedem Rechner im Netzwerk, Backup-Software greift zu ungewöhnlichen Zeiten auf Domain-Controller zu. Beides wirkt verdächtig. Bestimmte IP-Adressen, Geräte oder Benutzer lassen sich deshalb von Erkennungsregeln ausschließen. Globale Ausschlüsse gelten für alle Regeln, regelspezifische Ausschlüsse nur für eine bestimmte. Ziel ist, das Rauschen zu senken, damit sich das Team auf echte Bedrohungen konzentrieren kann.

Zusammenspiel im Microsoft-Sicherheitsökosystem

Defender for Identity ist Teil von Microsoft Defender XDR, der erweiterten Erkennungs- und Reaktionsplattform von Microsoft. Jedes Tool hat seine Aufgabe:

• Defender for Endpoint schützt Geräte und prüft Laptops und Server auf Malware und verdächtige Netzwerkaktivitäten.
• Defender for Office 365 schützt E-Mail und Kollaborationstools und erkennt Phishing und schädliche Anhänge.
• Defender for Identity überwacht Benutzerkonten auf gestohlene Anmeldedaten, laterale Bewegung und Domänenkontrolle.

Der eigentliche Wert entsteht durch den Signalaustausch. Eine verdächtige Anmeldung am Domain-Controller kann mit einer Phishing-Mail zusammenhängen, die Defender for Office 365 bereits erkannt hat: Der Angreifer kompromittiert ein Postfach und bewegt sich dann lateral durchs Netzwerk. Die Plattform führt beides zu einem einzigen Vorfall zusammen, statt isolierte Warnungen zu liefern. Ebenso lässt sich ein verdächtiger Prozess auf einem Benutzerlaptop einordnen, den Defender for Endpoint meldet.

Außerdem lässt sich Defender for Identity in Microsoft Sentinel integrieren, das cloudnative SIEM von Microsoft. Dort sind Advanced Hunting und benutzerdefinierte Erkennungen möglich. Mit Kusto-Abfragen durchsucht man die gesamten Defender-Daten aus Identität, Endpunkten, E-Mails und Cloud-Apps und findet Muster, die automatische Regeln nicht immer erfassen. Die Cloud-seitige Ergänzung ist Microsoft Entra ID Protection, das sich um cloudbasierte Anmelderisiken kümmert.

Praktische Takeaways

• Identitätsangriffe nutzen gültige Zugangsdaten und umgehen Malware-Erkennung. Verhaltensanalyse ist deshalb entscheidend.
• Defender for Identity schützt die lokale Infrastruktur (Domain-Controller, Active Directory, ADFS), nicht Entra ID in der Cloud.
• Ohne Sensoren auf den Domain-Controllern funktioniert nichts. Fehlende Sensoren senken auch den Identity Security Score.
• Fehlende Multifaktor-Authentifizierung wirkt sich ebenfalls negativ auf den Score aus.
• Vorfälle und Angriffsgraf zeigen die komplette Angriffsgeschichte, nicht nur Einzelwarnungen.
• Kompromittierte Konten lassen sich direkt im Defender-Portal deaktivieren oder zum Kennwort-Reset zwingen.
• Honeytoken-Konten sind in rund 30 Sekunden eingerichtet und liefern bei Nutzung einen bestätigten Alarm.
• Kritische Konten, etwa Domain-Administratoren, sollten als sensibel markiert werden.
• Ausschlussregeln für Scanner und Backup-Software reduzieren Fehlalarme.

Fazit

Wenn Angreifer sich mit gestohlenen Passwörtern einfach anmelden, helfen Firewall und Antivirus allein nicht mehr. Microsoft Defender for Identity setzt dort an, wo klassische Tools blind sind: Es lernt das normale Verhalten von Benutzern und Geräten im lokalen Active Directory und meldet Abweichungen. Es ordnet Angriffe bekannten Techniken zu und fügt Einzelwarnungen zu einer nachvollziehbaren Angriffsgeschichte zusammen. Im Verbund mit Defender XDR, Sentinel und Entra ID Protection entsteht ein Gesamtbild, das Identitätsangriffe sichtbar und beherrschbar macht.