Wardline für Microsoft Defender und KI-Agents

Konfiguriert heißt nicht geschützt.

Wardline zeigt, wo Microsoft Defender und Ihre KI-Agents tatsächlich Lücken haben – auf Windows, macOS und Linux, nicht nur in den Richtlinien. Es läuft in Ihrem eigenen Azure-Mandanten und liest nur.

Kostenlos starten So funktioniert’s

Die Richtlinie sagt das eine. Das Gerät tut etwas anderes.

Wardline prüft jede Einstellung auf drei Ebenen: was Sie wollen, was Intune konfiguriert und was auf dem Gerät tatsächlich wirkt. In der Lücke zwischen den letzten beiden kommen Angreifer durch.

Einstellung SollIhre Baseline Konfiguriertin Intune Wirksamauf dem Gerät
Manipulationsschutz An An Aus auf 14 Geräten
Echtzeitschutz, Linux An An Aus auf 3 Servern per mdatp config
ASR: Diebstahl von Anmeldedaten aus LSASS Block Block Audit auf 212 Geräten
Lokale Admin-Exclusions Ignoriert Nicht gesetzt Zusammengeführt auf 312 Geräten

Der wirksame Zustand kommt aus Defender selbst – Advanced Hunting und Threat & Vulnerability Management –, nicht aus der Richtlinie.

Endpoint

Jede Exclusion. Aus jeder Quelle.

Intune, Security Settings Management, lokale Änderungen auf dem Gerät und Allow-Indikatoren in Defender for Endpoint – für Windows, macOS und Linux in einer Liste. Jeder Eintrag bekommt eine nachvollziehbare Risikobewertung: Je breiter, je beschreibbarer und je weniger zentral verwaltet, desto riskanter.

Wardline-Geräteseite: Schutzstatus je Defender-Funktion als Diagramme
Geräte: der tatsächliche Zustand auf jedem Gerät – unabhängig davon, was in den Richtlinien steht.

Windows

Exclusions aus Intune, Gruppenrichtlinien und der lokalen Registry, ASR-Regeln pro Gerät und Gerätegruppe, Baseline, Manipulations- und Netzwerkschutz, Alter von Plattform und Signaturen.

macOS

Exclusions aus Intune und lokalen mdatp-Befehlen, Baseline, Festplattenvollzugriff und Systemerweiterungen, Agent-Version.

Linux

Global-Exclusions, die auch EDR blind machen, lokale Änderungen per mdatp config und mdatp_managed.json, Echtzeitschutz, Agent-Version.

Ausnahmen, die auch EDR blind machen.

Die meisten Exclusions betreffen nur den Virenscanner. Linux-Global-Exclusions und Allow-Indikatoren schalten auch die Erkennung ab. Wardline zeigt sie in einer eigenen Ansicht.

Lokale Exclusions, nicht vergessen.

Direkt auf dem Gerät gesetzt, in keiner Richtlinie zu finden. Wardline findet sie über Advanced Hunting und hält den Verlauf über die 30 Tage von Defender hinaus fest.

ASR, wie es wirklich läuft.

Soll, konfigurierter und wirksamer Modus jeder Regel – gesamt, pro Defender-Gerätegruppe und pro Gerät, inklusive Konflikten zwischen Richtlinien und ASR-Ausnahmen.

Baseline, mit Drift.

Microsoft Defender Antivirus auf Windows, macOS und Linux gegen Ihre Baseline – und genau das, was sich seit dem letzten Lauf geändert hat.

Exclusions, die niemand braucht.

Lief in den letzten 30 Tagen überhaupt etwas aus diesem Pfad? Wenn nicht, ist die Exclusion ein blinder Fleck, den Sie entfernen können.

Geräte, die Defender nie gesehen hat.

Wardline vergleicht die in Intune verwalteten Geräte mit Defender for Endpoint und listet jedes Gerät, das nie onboarded wurde – Lücken, die kein Defender-Bericht zeigen kann.

Hygiene, nicht nur Einstellungen.

Betriebssysteme ohne Support, Geräte ohne aktuellen Scan, WSL ohne Defender-Plug-in, erkannte Bedrohungen auf „Zulassen“, Passiv-Modus ohne EDR im Block-Modus – und ASR-Regeln, die bereit für Block sind, weil der Audit in 30 Tagen nichts gesehen hat.

Vom Geräterisiko bis zur Anmeldung.

Ist der Intune-Connector für jede genutzte Plattform aktiv? Verlangt die Compliance einen niedrigen Computerrisikowert, und setzt Conditional Access ihn durch? Sonst behält ein kompromittiertes Gerät seinen Zugriff.

Und alles andere, was still und leise schiefgeht

  • Fremd-AV/EDR neben einem aktiven Defender Antivirus
  • Manipulationsversuche und Sitzungen im Problembehandlungsmodus
  • Aus dem Internet erreichbare Geräte mit hoher Exposition
  • Alter von Plattform, Engine und Signaturen, Update-Ringe
  • Macs ohne Festplattenvollzugriff oder freigegebene Systemerweiterungen
  • Untersuchungen, die auf Freigabe warten, vergessene Isolierungen
  • Doppelte, ungruppierte und lange inaktive Geräte
  • Geräte, die vom Schwachstellenmanagement ausgenommen sind

Kleine Lücken summieren sich.

Eine lokale Exclusion ist ein Risiko. Ein abgeschalteter Manipulationsschutz ist ein Risiko. Beides auf demselben Gerät heißt: Jeder mit lokalen Adminrechten kann Defender blind machen – und niemand merkt es. Wardline verbindet die Punkte und bewertet die Kombination.

DEV-LT-0412 Manipulationsschutz aus Mittel
DEV-LT-0412 4 lokale Exclusions, darunter powershell.exe Hoch
DEV-LT-0412 Defender lässt sich lokal und spurlos abschalten Kritisch

Weitere Kombinationen, die Wardline erkennt

  • Passiver Modus mit lokalen Exclusions
  • Lokale Exclusions, die wirken, weil DisableLocalAdminMerge oder exclusionsMergePolicy fehlt
  • ASR-Regeln, die dauerhaft im Audit-Modus bleiben
  • Lokale KI-Agents mit Auto-Approve auf einem geschwächten Gerät

KI-Agents Beta

Jeder KI-Agent, erfasst.

Copilot Studio, Foundry und eigene Agents aus Microsoft Entra Agent ID, der Agent-365-Registry und Defender – plus die Coding-Assistenten auf Ihren Endgeräten.

Cloud-Agents

Eine Richtlinie für die Agent-Identität gilt nicht für ihren Agent-User. Und „Alle Benutzer“ schließt Agent-User nicht ein. Wardline bewertet beides getrennt.

BlueprintContoso Agent Platform3 Agents
Agent-IdentitätInvoice TriageGeschützt
Agent-Userinvoice-triage@contoso.comNicht abgedeckt

Lokale Agents

Lokale Agents laufen mit den Rechten des angemeldeten Benutzers – Conditional Access erreicht sie nicht. Entscheidend sind das Gerät und wie der Agent konfiguriert ist.

CursorDEV-LT-0388 · a.schulz
Auto-approve
An
MCP-Server
3, davon 2 ohne feste Version
npx -y @modelcontextprotocol/server-filesystem
Gerät
Manipulationsschutz aus, 2 lokale Exclusions
Wardline Conditional Access für Agents: Richtlinien und nicht wirksam geschützte Agents
Conditional Access für Agents: welche Richtlinien Agent-Identitäten und Agent-User abdecken – und welche Agents durchfallen.
  • Agents ohne Conditional Access oder Sponsor
  • Verwaiste Agent-User und unbekannte Blueprints
  • Cloud-Agents ohne Entra Agent ID
  • Sicherheitsstandards, die Conditional Access aushebeln

Zugriffe Optional

Wer hat die Schlüssel zu Defender?

Wardline liest Defender XDR Unified RBAC: wer welche Defender-Rolle hat und auf welchem Weg – direkt, über eine Gruppe, berechtigt über PIM für Gruppen oder über ein Access Package im Entitlement Management –, für welche Datenquellen sie gilt und ob sie je genutzt wurde.

K. BeckerDirekt, dauerhaftNie genutzt
SOC Tier 2Über eine GruppeIn Nutzung
L. HoffmannPIM für GruppenBerechtigt
Incident ResponseAccess Package → GruppeBeantragbar

Wer kann was?

Suchen Sie nach einer Rolle oder einer einzelnen Berechtigung – etwa Live Response – und sehen Sie alle, die sie haben oder bekommen könnten.

Meine Rechte, für alle.

Alle Mitarbeitenden sehen ihre eigenen Defender-Rollen, mit Links zu PIM und My Access. Ohne Ticket.

Apps mit Defender-Rechten.

Service Principals, die über die Defender-APIs offboarden, isolieren oder Live Response ausführen können – mit Client Secrets, Laufzeit der Anmeldeinformationen und Besitzern. Dazu Rollengruppen ohne Access Review und PIM-Aktivierung ohne MFA.

Was im Portal passiert ist.

Aus dem Purview-Audit-Log: wer ein Offboarding-Paket heruntergeladen, wer Live Response ausgeführt, welche Einstellungen geändert hat. Nichts davon taucht in einer Geräte-Timeline auf.

Lizenzen Optional

Lizenzen gekauft. Geräte onboarded. Passt das zusammen?

Für Defender for Endpoint stellt Wardline die gekauften Pläne den Benutzern gegenüber, die sie haben, und den Client-Geräten, die tatsächlich onboarded sind – und wer sie nutzt. Server werden getrennt aufgeführt.

Wardline-Lizenz-Indikation für Defender for Endpoint
Eine Indikation, kein Audit: Verbindlich sind die Zahlen im Microsoft 365 Admin Center und Ihr Vertrag.

Jeder Befund bekommt einen Verantwortlichen.

Befunde lösen sich nicht von selbst. Geben Sie sie an die, die sie beheben können, akzeptieren Sie bewusst die, mit denen Sie leben – und halten Sie jede Entscheidung fest.

Wardline-Befunddetail mit Zuweisung und einer neuen Ausnahme: Begründung, Verantwortlicher, Ticket und Ablaufdatum
Jeder Befund und jede Exclusion hat denselben kleinen Workflow: zuweisen oder eine Ausnahme dokumentieren.

Zuweisen

Geben Sie einen Befund oder eine Exclusion an einen Entra-Benutzer, eine Sicherheitsgruppe oder eine Verteilerliste – direkt aus dem Verzeichnis ausgewählt. Die Zuweisung erscheint in der Befundliste, mit eigenem Filter.

Mit Begründung akzeptieren

Begründung, Verantwortlicher, optionales Ticket und ein Ablaufdatum – oder unbegrenzt. Akzeptierte Einträge zählen nicht mehr als offen und kommen nach Ablauf von selbst zurück.

Audit-Log

Jedes Akzeptieren, Widerrufen, Zuweisen und Entfernen wird mit Person und Zeitpunkt festgehalten – genau das, wonach Prüfer fragen.

Benachrichtigungen

Neue Befunde ab dem Schweregrad Ihrer Wahl gehen an Teams oder Power Automate – inklusive Zuweisung, damit ein Flow die zuständige Stelle direkt per E-Mail informiert.

Jeder Lauf, dokumentiert.

Datierte Snapshots in Ihrem eigenen Storage-Account, optional unveränderbar. Sehen Sie die Drift zwischen zwei Läufen und exportieren Sie jede Tabelle als CSV – Evidenz, mit der Ihre Prüfer arbeiten können.

Wardline-Änderungen zwischen Läufen mit Diagramm der Änderungen pro Tag
Änderungen: was zwischen zwei Läufen hinzukam, sich änderte oder wegfiel – Tag für Tag.

Läuft in Ihrem Mandanten. Nichts verlässt ihn.

Wardline ist kein Cloud-Dienst, an den Sie Daten schicken. Sie installieren es in Ihrer eigenen Azure-Subscription, und es liest ausschließlich.

Selbst gehostet

Portal, Datenerfassung und Snapshots liegen in Ihrer Subscription. Keine Hersteller-Cloud, keine Mandantendaten bei uns.

Keine Secrets

Managed Identity und Workload Identity Federation. Keine Client Secrets, Zertifikate oder Storage Keys, die rotiert werden müssen.

Nur lesend, pro Feature

Jedes Feature bringt nur die Leserechte mit, die es braucht. Schalten Sie ein Feature ab, werden seine Rechte entfernt.

Aufgabentrennung

Ihr Identity-Team kann die App-Registrierungen vorab anlegen. Das Azure-Team hängt sie nur noch an.

# Genau anzeigen, was berechtigt wird
./setup/Install-Wardline.ps1 -ShowPermissions

# In Ihre Subscription ausrollen
./setup/Install-Wardline.ps1 -ResourceGroup rg-wardline -Location westeurope
Sie sehen jede Berechtigung, bevor etwas vergeben wird. Wardline aktualisiert sich nie selbst – neue Releases zeigen zuerst Prüfsummen und neue Berechtigungen.

Evidenz für ISO/IEC 27001:2022, NIST CSF 2.0, SOC 2 und DSGVO. Wardline liefert Evidenz, keine Zertifizierung.

Compliance-Mapping ansehen

Zwei Pläne. Mehr nicht.

Kostenlos im Lab starten. Auf Enterprise wechseln, sobald Wardline produktiv läuft.

Community

Kostenlos

Für Lab und Evaluierung.

  • Alles wird erfasst, in jedem Modul
  • Die ersten 10 Einträge jeder Liste im Klartext, der Rest maskiert
  • Zusammenfassungen, Diagramme und Verlauf vollständig
Loslegen

Enterprise

€19 pro Monat

oder 199 € pro Jahr, pro Mandant. Für den produktiven Einsatz.

  • Jede Liste vollständig, mit CSV-Export
  • Endpoint + Agent 365 (Beta) inklusive; weitere Module später optional zubuchbar
  • Priorisierter Support und direkter Draht zur Roadmap
Loslegen

Ihr Lizenzschlüssel wird offline geprüft – an uns wird nichts gesendet. Die Azure-Ressourcen von Wardline laufen in Ihrer Subscription und werden von Microsoft abgerechnet.

FAQ

Fragen und Antworten.

Was ist Wardline?

Wardline ist ein selbst gehostetes Werkzeug für die Sicherheitslage von Microsoft Defender for Endpoint, Intune, Entra ID und KI-Agents. Es vergleicht Soll, Intune-Konfiguration und den tatsächlich wirksamen Zustand auf jedem Gerät und macht aus den Lücken Befunde.

Verlassen Daten meinen Tenant?

Nein. Wardline läuft als Azure Function App in Ihrer eigenen Azure-Subscription und speichert Ergebnisse in Ihrem eigenen Storage Account. Es nutzt ausschließlich lesende Anwendungsberechtigungen und meldet sich nie beim Hersteller – auch nicht für die Lizenzprüfung.

Welche Berechtigungen braucht Wardline?

Nur lesende Anwendungsberechtigungen und nur für die Funktionen, die Sie auswählen – zum Beispiel ThreatHunting.Read.All für Advanced Hunting oder DeviceManagementConfiguration.Read.All für Intune-Richtlinien. Das Installationsskript zeigt die genaue Liste, bevor es etwas vergibt.

Welche Plattformen werden abgedeckt?

Windows-, Windows-Server-, macOS- und Linux-Geräte in Defender for Endpoint, Intune-Richtlinien für alle drei Plattformen sowie KI-Agents in Entra Agent ID, Agent 365 und auf lokalen Geräten.

Was unterscheidet Wardline von Secure Score oder dem Defender-Portal?

Das Defender-Portal zeigt jede Quelle für sich. Wardline führt sie zusammen: Ausschlüsse aus Intune, Gruppenrichtlinien, lokaler Registry und mdatp in einer Liste, ASR-Regeln vom Soll bis zum wirksamen Modus und Befunde, die erst entstehen, wenn zwei Schwächen zusammentreffen – etwa lokale Ausschlüsse auf einem Gerät ohne Tamper Protection.

Was kostet Wardline?

Community ist kostenlos und zeigt die ersten zehn Zeilen jeder Liste. Enterprise kostet 19 € im Monat oder 199 € im Jahr pro Tenant und hebt die Begrenzung auf. Ihre Azure-Ressourcen rechnet Microsoft ab.

Wie wird Wardline installiert?

Ein PowerShell-Skript stellt die Function App bereit, vergibt die ausgewählten Berechtigungen und registriert das Portal. Danach „Jetzt erfassen“ klicken – Richtlinien, Geräte und Agents erscheinen nach wenigen Minuten.

Ändert Wardline etwas in meiner Umgebung?

Nein. Wardline liest nur. Befunde enthalten eine Empfehlung; was Sie in Intune oder im Defender-Portal ändern, entscheiden Sie.

Startklar, bevor der Kaffee kalt ist.

  1. Azure Cloud Shell öffnen

    PowerShell, angemeldet an Ihrem Mandanten. Lokal muss nichts installiert werden.

  2. Installer ausführen

    Er zeigt die Berechtigungen, rollt Wardline in eine Ressourcengruppe aus und erteilt die Zustimmung – oder gibt den Befehl für Ihr Identity-Team aus.

  3. Im Portal anmelden

    „Jetzt erfassen“ klicken. Richtlinien, Geräte und Agents erscheinen nach wenigen Minuten.

Release anfordern

Wardline ist in der Private Preview. Sie erhalten den Download-Link und die Installationsanleitung per E-Mail.

Wir verwenden Ihre Angaben nur, um Ihnen Wardline zu senden. Datenschutzerklärung