Defender for Endpoint: Zero Trust Update für NIS2

Executive Summary

Das NIS2-Umsetzungsgesetz ist seit dem 6. Dezember 2025 in Kraft, die Registrierungsfrist beim BSI ist am 6. März 2026 abgelaufen, und heute haben wir den 13. Juli 2026. Wenn du an dieser Stelle ein leicht flaues Gefühl bekommst: sehr gut, dein persönliches Risikomanagement funktioniert. Rund 29.500 Einrichtungen in Deutschland sind betroffen, eine Übergangsfrist gibt es nicht, und die Geschäftsleitung haftet persönlich. Ein Haftungsverzicht per Gesellschafterbeschluss ist gesetzlich ausgeschlossen. Der Klassiker "das hat mir die IT so gesagt" ist damit keine Verteidigungsstrategie mehr, sondern eher ein Geständnis mit Zeugen.

Die gute Nachricht: Ein erheblicher Teil der technischen Pflichten aus Paragraf 30 BSIG lässt sich mit Werkzeugen abdecken, die du sehr wahrscheinlich längst lizenziert hast. Defender for Endpoint liefert Gerätetelemetrie und einen Risikowert, Intune übersetzt diesen Wert in eine Compliance-Aussage, und Entra ID Conditional Access macht daraus eine harte Zugriffsentscheidung. Das ist Zero Trust in seiner ehrlichsten Form: kein Poster im Flur, sondern eine Signalkette, die ein kompromittiertes Notebook binnen Minuten vom Fileserver trennt — auch dann, wenn es dem Vertriebsvorstand gehört.

Die schlechte Nachricht: NIS2 fragt nicht, ob du Lizenzen hast, sondern ob du Wirksamkeit nachweisen kannst. Genau daran scheitern die meisten. Dieses Briefing zeigt dir, welche Defender-Funktionen echte Compliance-Belege erzeugen, wo Microsoft dir beim besten Willen nicht helfen kann, und was du in den nächsten Wochen konkret anfassen solltest.

Worum geht es im Detail?

Fangen wir mit dem Teil an, den in Workshops erstaunlich viele überspringen: was NIS2 technisch eigentlich verlangt. Paragraf 30 BSIG listet zehn Maßnahmenbereiche auf — Risikoanalyse und Sicherheitskonzepte, Bewältigung von Sicherheitsvorfällen, Business Continuity samt Backup und Krisenmanagement, Sicherheit der Lieferkette, Sicherheit in Beschaffung und Entwicklung, Bewertung der Wirksamkeit der Maßnahmen, Cyberhygiene und Schulungen, Kryptografie, Personalsicherheit mit Zugriffskontrolle und Asset Management sowie Multifaktor-Authentifizierung und gesicherte Kommunikation. Das liest sich wie ein ISO-27001-Anhang mit weniger Charme, ist aber bitterernst gemeint. Dazu kommen die Meldefristen: 24 Stunden Frühwarnung, 72 Stunden Meldung, ein Monat Abschlussbericht. Und Paragraf 38 verpflichtet die Geschäftsleitung persönlich dazu, die Maßnahmen zu billigen, ihre Umsetzung zu überwachen und sich regelmäßig schulen zu lassen. Nicht den IT-Leiter. Die Geschäftsleitung.

Und hier kommt Microsoft ins Spiel. Der Zero-Trust-Ansatz von Defender for Endpoint ist im Kern eine Kette aus vier Gliedern. Erstens: Das Gerät ist onboarded und sendet Telemetrie. Zweitens: Defender berechnet daraus einen Geräterisikowert; die Stufen heißen secured, low, medium, high und unavailable. Drittens: In Intune definierst du eine Compliance-Richtlinie mit der Einstellung, dass ein Gerät höchstens einen bestimmten Risikowert haben darf — Microsofts eigene Empfehlung lautet hier mittel oder niedriger. Viertens: Entra ID Conditional Access verlangt für den Zugriff auf Ressourcen ein als konform markiertes Gerät. Rutscht der Risikowert eines Notebooks nach oben, kippt die Compliance, und der Zugriff auf Exchange, SharePoint, das VPN und alles andere hinter Conditional Access ist weg. Vollautomatisch, ohne Ticket, ohne Rückfrage, ohne Diskussion über Dringlichkeit.

Das ist genau der Unterschied zwischen statischer und dynamischer Compliance. Klassisch prüfst du einmal beim Onboarding, ob die Festplatte verschlüsselt ist und ein Virenscanner läuft — und danach nie wieder. NIS2 verlangt aber ausdrücklich die Bewertung der Wirksamkeit, also einen laufenden Nachweis statt einer Momentaufnahme. Der Risikowert-Mechanismus liefert dir genau das: eine kontinuierliche, protokollierte, auditierbare Aussage über den Sicherheitszustand jedes einzelnen Endgeräts. Wenn dich ein Prüfer fragt, wie du sicherstellst, dass kompromittierte Geräte keinen Zugriff auf kritische Systeme bekommen, ist ein Screenshot dieser Kette eine deutlich bessere Antwort als ein Konzeptpapier mit Hochglanzdeckblatt.

Abbildung 1: Die Signalkette vom Endpoint bis zur Zugriffsentscheidung — und was davon welche NIS2-Pflicht bedient.

Der spannendste Baustein ist aber die automatische Angriffsunterbrechung. Defender XDR korreliert Signale aus Endpoint, Identität, Mail und Cloud-Apps und kann bei hinreichender Konfidenz ein kompromittiertes Gerät automatisch vom Netz isolieren. Die Isolation ist zeitlich begrenzt, auf den konkreten Vorfall bezogen, und die Verbindung zum Defender-Dienst bleibt bestehen — das SOC schaut also weiter drauf und kann jederzeit wieder aufmachen. Fachlich ist das die Eindämmung von Lateral Movement und Ransomware-Ausbreitung. Rechtlich ist es dein Beleg für die Bewältigung von Sicherheitsvorfällen. Praktisch ist es das erste Mal, dass deine Abwehr schneller reagiert, als der Angreifer Kaffee holen kann.

Dazu kommt eine zweite Ebene, die im Compliance-Kontext gern übersehen wird: Microsoft Security Exposure Management. Dort findest du sogenannte Initiativen, also thematisch gebündelte Metriken mit einem Score, einem selbst gesetzten Zielwert, einem 14-Tage-Trend und einer Historie, die dir erklärt, warum sich der Score verändert hat. Es gibt unter anderem eine explizite Zero-Trust-Initiative, die sich am Zero-Trust-Adoption-Framework orientiert, dazu Initiativen für Ransomware-Schutz, Endpoint Security und den Schutz kritischer Assets. Für einen NIS2-Nachweis ist das Gold wert: Du bekommst eine Zeitreihe, die zeigt, dass sich dein Reifegrad über Quartale hinweg tatsächlich verbessert hat. Das ist die Sprache, die ein Auditor versteht — und die dein Vorstand in einer Sitzung nach Paragraf 38 abnicken kann, ohne sich anschließend Gedanken über sein Privatvermögen machen zu müssen.

Abbildung 2: Ein ehrliches Mapping der zehn Pflichtbereiche gegen den Microsoft-Werkzeugkasten.

Was sind Chancen? Was sind Risiken?

Die Chance ist strukturell und größer, als die meisten glauben: NIS2 zwingt dich, Dinge zu tun, die du ohnehin tun solltest — und liefert dir endlich das Budget dafür. Jahrelang ist Conditional Access an der Frage gescheitert, wer denn schuld ist, wenn der Vertriebsleiter um 22 Uhr im Hotel nicht mehr an seine Präsentation kommt. Diese Diskussion ist vorbei. Sie heißt jetzt Zugriffskontrolle nach Paragraf 30 und hat einen Gesetzestext als Rückendeckung. Ein Kunde aus der Energieversorgung hat mir das im Frühjahr wunderbar zusammengefasst: "Zehn Jahre habe ich um MFA gebettelt. Dann kam ein Gesetz, und plötzlich war es in sechs Wochen ausgerollt."

Die zweite Chance ist die Automatisierung. Wer die Kette aus Risikowert, Intune-Compliance und Conditional Access sauber baut, spart dem Service Desk die manuelle Quarantäne-Orgie und dem SOC die nächtliche Eskalation. Ein Mittelständler mit rund 1.400 Endgeräten, den wir betreuen, hatte im Herbst eine Infostealer-Welle über eine vermeintliche Bewerbungs-PDF. Drei Geräte gingen auf hohes Risiko, Intune kippte sie binnen Minuten auf nicht konform, Conditional Access sperrte die Konten aus Microsoft 365 aus — bevor irgendjemand im Service Desk die Meldung überhaupt gelesen hatte. Der Vorfall war meldepflichtig, aber die 24-Stunden-Frühwarnung ließ sich mit sauberen Zeitstempeln aus dem Defender-Portal untermauern statt mit einer Rekonstruktion aus Erinnerungsfetzen und Teams-Chats.

Kommen wir zu den Risiken, und die sind selten technischer Natur. Risiko Nummer eins ist Lizenz-Realismus: Risikowerte, automatische Angriffsunterbrechung und Exposure Management setzen im Kern Defender for Endpoint Plan 2 voraus, typischerweise über Microsoft 365 E5 oder das E5-Security-Add-on. Wer mit Business Premium und Defender for Business unterwegs ist, bekommt einen ordentlichen Teil davon, aber eben nicht alles. Diese Lücke fällt in Projekten regelmäßig erst dann auf, wenn die Architektur schon präsentiert und der Zeitplan schon zugesagt ist. Prüfe das früh, schriftlich, und lass es dir vom Lizenzverantwortlichen bestätigen.

Risiko Nummer zwei ist die Abdeckungslücke. Ein Risikowert entsteht nur für Geräte, die onboarded sind. Der Linux-Buildserver, der vergessene Windows-Server im Rechenzentrum, das Notebook des externen Beraters, die Maschinensteuerung mit einem Windows, dessen Supportende die meisten Beteiligten emotional noch nicht verarbeitet haben — für all das liefert Defender keine Aussage. Und in der Praxis sind genau das die Geräte, über die der Angriff kommt. Microsoft testet inzwischen eine Funktion, die Kommunikation mit bislang unentdeckten, nicht verwalteten Windows-Geräten im Firmennetz blockiert. Das ist eine sehr direkte Antwort auf ein sehr altes Problem, ersetzt aber keine saubere Asset-Inventarisierung — die NIS2 ohnehin verlangt.

Risiko Nummer drei ist das gefährlichste, weil es sich so angenehm anfühlt: die Compliance-Illusion. Ein Secure Score von 78 Prozent ist kein NIS2-Nachweis. Business Continuity, Backup-Konzepte, Krisenkommunikation und vor allem die Sicherheit der Lieferkette lassen sich nicht lizenzieren. Wenn dein größter Dienstleister keinen Nachweis über sein eigenes Sicherheitsniveau liefern kann, hilft dir das schönste Defender-Dashboard nichts. Genau an dieser Stelle kippen Prüfungen — nicht an der Technik, sondern an der Organisation.

Abbildung 3: Die NIS2-Zeitachse in Deutschland. Ausgerechnet die Fristen, die schon vorbei sind, sind die wichtigsten.

Was müssen wir jetzt schon vorbereiten?

Genug Analyse, jetzt Handwerk. Die folgenden Punkte sind nach Wirkung pro investierter Stunde sortiert, nicht nach Eleganz und schon gar nicht nach Beliebtheit.

Betroffenheit endgültig klären und die BSI-Registrierung abschließen. Zweistufig: erst "Mein Unternehmenskonto", dann das BSI-Portal, das seit dem 6. Januar 2026 offen ist. Wenn das noch aussteht, ist es die einzige Aufgabe, die heute wirklich zählt.

Die Onboarding-Lücke messen statt schätzen. Zähle die Geräte im Defender-Portal gegen dein Inventar, dein DHCP und dein Active Directory. Die Differenz ist deine tatsächliche Angriffsfläche — und sie ist in fast jedem Projekt größer als das, was im Lenkungsausschuss berichtet wurde.

Die Compliance-Richtlinie mit dem Geräterisikowert aktivieren, Schwelle auf mittel, und Conditional Access zunächst im Report-Only-Modus fahren. Wer sofort scharf schaltet, lernt sehr viel über sein Unternehmen, aber wenig über Sicherheit.

Automatische Angriffsunterbrechung und Geräteisolation aktivieren — mit sauber definierten Ausnahmegruppen für Server- und OT-Rollen. Vorher mit Fertigung und Betriebsrat sprechen, nicht danach.

Die Zero-Trust-Initiative in Security Exposure Management als Favorit setzen, einen Zielscore definieren und den 14-Tage-Trend monatlich exportieren. Das ist deine Bewertung der Wirksamkeit nach Paragraf 30, fertig verpackt.

Den Meldeprozess einmal trocken üben. 24 Stunden klingen nach viel Zeit, bis der Vorfall am Freitagabend beginnt und niemand weiß, wer die Meldung unterschreiben darf.

Die Schulung der Geschäftsleitung terminieren und protokollieren. Paragraf 38 verlangt Billigung, Überwachung und Schulung — mit Datum, Teilnehmern und Beschluss. Ein Protokoll ist erheblich billiger als eine persönliche Haftung.

Die Lieferkette angehen. Die zehn wichtigsten Dienstleister, ein standardisierter Fragebogen, vertraglich verankerte Sicherheitsanforderungen. Unbequem, unbeliebt, unvermeidlich.

Ein letzter Gedanke für dein Management: NIS2 ist kein Projekt mit Enddatum, sondern ein Betriebsmodell. Die Kette aus Defender, Intune und Entra ID ist deshalb so wertvoll, weil sie nicht einmalig ein Häkchen setzt, sondern jeden einzelnen Tag aufs Neue beweist, dass sie funktioniert. Alles andere ist ein Ordner im Regal — und der schützt erfahrungsgemäß niemanden, außer vielleicht kurzzeitig das Gewissen.

Häufig gestellte Fragen

Reicht Microsoft 365 Business Premium für die technischen NIS2-Anforderungen aus?

Für Basisschutz, Verschlüsselung und einfache Compliance-Richtlinien reicht Business Premium mit Defender for Business in vielen mittelständischen Szenarien aus. Der vollständige Zero-Trust-Werkzeugkasten mit Geräterisikowert, automatischer Angriffsunterbrechung und Security Exposure Management setzt jedoch Defender for Endpoint Plan 2 voraus, typischerweise über Microsoft 365 E5 oder das E5-Security-Add-on. Kläre das, bevor du eine Architektur planst, die deine Lizenzen gar nicht hergeben.

Was passiert, wenn wir die BSI-Registrierungsfrist vom 6. März 2026 verpasst haben?

Die Registrierungspflicht besteht unverändert weiter, und das Versäumnis ist bußgeldbewehrt — hole die Registrierung über das BSI-Portal umgehend nach und dokumentiere nachvollziehbar, warum es zu der Verzögerung kam. Eine verspätete, aber aktiv nachgeholte und dokumentierte Registrierung steht deutlich besser da als eine, die erst im Zuge eines Sicherheitsvorfalls auffällt.

Wie weisen wir einem Prüfer nach, dass unsere Sicherheitsmaßnahmen wirksam sind?

Am besten mit Zeitreihen statt mit Momentaufnahmen: Die Initiativen in Microsoft Security Exposure Management liefern Score, Zielwert, 14-Tage-Trend und eine Historie der Veränderungen, inklusive Begründung. Ergänze das um Nachweise aus Conditional Access, Incident-Zeitstempel aus dem Defender-Portal sowie dokumentierte Beschlüsse und Schulungen der Geschäftsleitung.

Isoliert Defender im Ernstfall auch unsere Server automatisch vom Netz?

Grundsätzlich ja, solange du keine Ausnahmen definierst — deshalb solltest du Server- und OT-Rollen vorab über Gerätegruppen ausklammern und die Funktion zunächst beobachtend betreiben. Die Isolation ist zeitlich sowie auf den konkreten Vorfall begrenzt und kann vom SOC jederzeit manuell aufgehoben werden, aber ein isolierter Terminalserver kostet dich trotzdem den Nachmittag und einige Nerven.

Haftet die Geschäftsführung wirklich persönlich, oder ist das nur Panikmache von Beratern?

Sie haftet wirklich persönlich. Die Geschäftsleitung muss die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und sich regelmäßig schulen lassen; bei schuldhafter Pflichtverletzung haftet sie der eigenen Einrichtung gegenüber für den entstandenen Schaden. Ein Haftungsverzicht durch Gesellschafterbeschluss oder Satzung ist dabei ausdrücklich ausgeschlossen.