# Microsoft Defender for Server: Security & Performance Tuning

TL;DR / Management Summary Windows Defender ist auf Windows Server kein einfacher Virenscanner, sondern ein integraler Teil des OS-Kernels. Im Gegensatz zum Client-Defender (Artikel 428) bietet die Server-Variante automatische Ausschlüsse (Exclusions) für installierte Rollen (wie AD, SQL, IIS). Ein Senior Admin kombiniert den lokalen Defender mit Microsoft Defender for Endpoint (MDE) für Cloud-basierte EDR-Funktionen und stellt sicher, dass die Scan-Last niemals den Produktions-Traffic beeinträchtigt.

# 1. Einführung & Architektur

Security am Heartbeat des Servers.

Auf Windows Server ist der Defender standardmäßig installiert (außer bei minimalen Images). Er bietet:

• Real-time protection: Scannt I/O-Vorgänge.
• Automatic Role Exclusions: Erkennt, wenn z.B. die DNS-Rolle aktiv ist und schließt die DNS-Datenbanken automatisch vom Scan aus.
• Passive Mode: Erlaubt den Parallelbetrieb mit Drittanbieter-Virenscannern (z.B. CrowdStrike, SentinelOne).

# 2. Server-spezifische Konfiguration

Tuning für Workloads.

# Automatische Ausschlüsse prüfen

# Zeigt alle aktuell aktiven Ausschlüsse (inkl. der automatischen)
Get-MpPreference | Select-Object -ExpandProperty ExclusionPath

# CPU-Drosselung (GPO)

Verhindern Sie, dass ein Full-Scan den Webserver lahmlegt. Computerkonfiguration -> Administrative Vorlagen -> Windows-Komponenten -> Microsoft Defender Antivirus -> Scan

• Einstellung: Maximale CPU-Auslastung während eines Scans festlegen -> 10% bis 20%.

# 3. Deep Dive: MDE Integration (EDR)

Vom AV zur Forensik.

Wenn Sie Microsoft Defender for Endpoint (MDE) lizenziert haben, wird der lokale Server-Defender zum Sensor.

• Aktion: Der Server wird “ge-onboardet” (via Script oder GPO).
• Benefit: Sie sehen im Cloud-Portal jede Prozess-Erstellung, jede Netzwerkverbindung und jede Registry-Änderung in einer Timeline.

# Onboarding via PowerShell

# Führt das Microsoft-Onboarding-Script aus
./WindowsDefenderATPOnboardingScript.cmd

# 4. Day-2 Operations: Scan-Management

Hygiene ohne Downtime.

# Geplante Scans (Scheduled Scans)

Führen Sie niemals Full-Scans während der Backup-Zeiten oder Geschäftszeiten durch.

• Best Practice: Nutzen Sie den Task Scheduler (Artikel 471), um Scans auf “Leerlauf” zu setzen.

# Signatur-Updates ohne Internet

Wenn Ihre Server im Proxmox-Cluster isoliert sind:

• Nutzen Sie einen WSUS (Artikel 423) oder einen lokalen File-Share für die Signatur-Updates.

Set-MpPreference -SignatureDefinitionUpdateFileSharesSources "\\Fileserver\Updates"

# 5. Troubleshooting & “War Stories”

Wenn der Wächter die Tür versperrt.

# Top 3 Fehlerbilder

1. Symptom: SQL-Server Performance bricht plötzlich um 50% ein.

   • Ursache: Die automatischen Ausschlüsse haben versagt oder wurden durch eine GPO überschrieben. Der Defender scannt nun jede .mdf und .ldf Datei.
   • Lösung: Manuelle Exclusions für SQL-Pfade setzen.

2. Symptom: Defender-Dienst lässt sich nicht starten.

   • Ursache: Ein Drittanbieter-AV hat den Defender via “Tamper Protection” oder Registry hart deaktiviert.
   • Lösung: Drittanbieter-Tool sauber deinstallieren oder PassiveMode via Registry prüfen.

3. Symptom: MsMpEng.exe verursacht hohe Disk-I/O auf dem Proxmox-Host.

   • Lösung: IO-Priorität des Prozesses via Set-ProcessMitigation oder sconfig anpassen.

# “War Story”: Der schweigende DC

Ein Domain Controller reagierte extrem langsam auf LDAP-Abfragen. Die Entdeckung: Ein Admin hatte “Behavior Monitoring” auf dem DC aktiviert, aber vergessen, die Ausschlussregeln für die NTDS-Datenbank zu setzen. Bei jedem Login-Versuch analysierte der Defender die Datenbank-Zugriffe auf verdächtige Muster. Lehre: Trauen Sie den “automatischen Ausschlüssen” nicht blind. Verifizieren Sie bei kritischen Rollen (DC, SQL, Exchange) immer manuell, ob die Pfade in der Whitelist stehen.

# 6. Monitoring & Alerting

Zentrale Security-Ansicht.

# Event Log Überwachung

Quelle: Microsoft-Windows-Windows Defender.

• Event ID 1116: Fund wurde erkannt.
• Event ID 1117: Aktion (Quarantäne/Löschen) durchgeführt.
• Event ID 5007: Konfigurationsänderung (Wichtig für Audit!).

# 7. Fazit & Empfehlung

Defender for Server ist eine der stabilsten AV-Lösungen für Windows.

• Empfehlung: Nutzen Sie den Defender als Primärschutz. Die Integration in den Kernel ist tiefer als bei jedem Drittanbieter.
• Sicherheit: Aktivieren Sie Tamper Protection, um zu verhindern, dass Malware (oder unvorsichtige Admins) den Dienst einfach beenden können.

# Anhang: Cheatsheet

# Referenzen

• Microsoft Learn: Microsoft Defender Antivirus on Windows Server
• Automatic exclusions for Windows Server
• Defender for Endpoint Architecture