Microsoft Defender for Business invoeren: dekking, beleid en incidentbeheer

16 juli 2026

Voer Defender for Business beheerst in met volledige apparaatdekking, één beleidsbron, geteste detectie en vaste incidentopvolging.

Microsoft Defender for Business kan een klein IT-team veel werk uit handen nemen. De dienst brengt endpointbeveiliging, kwetsbaarheden, waarschuwingen, incidenten en herstelacties samen in het Microsoft Defender-portaal. Daardoor hoef je niet op iedere laptop afzonderlijk uit te zoeken wat er aan de hand is.

Die belofte komt alleen uit wanneer de invoering compleet is. Een licentie toewijzen beschermt nog geen apparaat. Een apparaat dat in Intune staat, hoeft nog niet correct aan Defender te zijn gekoppeld. Een e-mailmelding zonder eigenaar is nog geen incidentrespons. En twee portalen die hetzelfde beveiligingsbeleid beheren kunnen juist onduidelijkheid en conflicten veroorzaken.

Deze gids helpt een MKB-organisatie om Defender for Business als beheerd proces in te voeren. Het doel is niet zoveel mogelijk instellingen aanzetten. Het doel is aantoonbare dekking, voorspelbaar beleid en een reactieproces dat ook tijdens vakantie of ziekte werkt. Wil je weten waar de grootste gaten in je Microsoft 365- en apparaatbeveiliging zitten? Laat je omgeving controleren met de IT-scan.

Wat Defender for Business toevoegt

Defender for Business is Microsofts endpointbeveiligingsoplossing voor organisaties tot en met 300 gebruikers. De dienst is los verkrijgbaar en zit ook in Microsoft 365 Business Premium. Microsoft noemt onder meer deze mogelijkheden:

Mogelijkheid	Praktische betekenis
Next-generation protection	Antivirus, cloudbeveiliging en netwerkbeveiliging centraal beheren
Endpoint Detection and Response	Verdacht gedrag op apparaten herkennen en onderzoeken
Geautomatiseerd onderzoek en herstel	Bepaalde signalen onderzoeken en herstelacties uitvoeren of voorstellen
Automatic attack disruption	Een geavanceerde aanval tijdelijk indammen om verdere schade te beperken
Kwetsbaarheidsbeheer	Zicht krijgen op kwetsbare software en aanbevolen verbeteringen
Attack Surface Reduction	Veelgebruikte aanvalstechnieken blokkeren of eerst in auditmodus beoordelen
Centrale rapportage	Apparaten, incidenten, risico's en trends vanuit één portaal volgen

Dit vervangt niet ieder ander beveiligingsonderdeel. Defender for Business richt zich op endpoints. E-mailbeveiliging valt onder Exchange Online Protection en, afhankelijk van het abonnement, Defender for Office 365. Back-up is eveneens een aparte laag. Lees daarom ook hoe je Exchange Online-spam en quarantaine beheert en wat Microsoft 365-back-up wel en niet afdekt.

Microsoft staat volgens de actuele FAQ maximaal vijf clientapparaten per gebruikerslicentie toe. Windows-, macOS-, Android- en iOS- of iPadOS-clientapparaten worden ondersteund. Windows- en Linux-servers vragen een aparte serverlicentie. Neem servers dus nooit stilzwijgend mee in de normale gebruikerstelling.

Bepaal eerst wat beschermd moet zijn

Maak vóór de uitrol een eenvoudige bronlijst van alle verwachte apparaten. Gebruik daarvoor niet alleen Intune. Combineer minimaal de assetadministratie, actieve gebruikers, inkoopgegevens en bestaande beheerinventaris. Noteer per apparaat:

apparaatnaam en serienummer;
primaire gebruiker of zakelijke eigenaar;
besturingssysteem en versie;
clientapparaat of server;
bestaande beheerroute, bijvoorbeeld Intune of groepsbeleid;
huidige antivirus- of EDR-oplossing;
gewenste onboardingmethode;
verwachte beleidsring;
bedrijfsimpact bij uitval.

Deze bronlijst wordt later vergeleken met Assets > Devices in het Defender-portaal. Het verschil is belangrijker dan het absolute aantal. Een verwacht apparaat dat ontbreekt is een beveiligingsgat. Een onbekend apparaat in Defender kan een oude registratie, testmachine of ongedocumenteerd bedrijfsmiddel zijn.

Controleer ook software die gevoelig kan zijn voor strengere regels. Denk aan boekhoudpakketten, macro's, scanners, productiesoftware, scripts, leveranciersplug-ins en oudere brancheapplicaties. Zo voorkom je dat de eerste echte test pas plaatsvindt nadat een blokkade de bedrijfsvoering raakt.

Regel licenties, rollen en meldingen vóór onboarding

Wijs de juiste licentie toe aan iedere betrokken gebruiker. Controleer servers apart. Gebruik voor actuele prijzen en voorwaarden altijd je Microsoft-partner of de officiële productvoorwaarden, want bedragen en abonnementsregels kunnen wijzigen.

Geef beheerders alleen de rol die nodig is. Een Security Administrator kan instellingen aanpassen en op bedreigingen reageren. Een Security Reader kan informatie en rapporten bekijken zonder wijzigingen uit te voeren. Gebruik een Global Administrator-account niet voor dagelijks incidentwerk. Beveilig beheeraccounts met MFA en beperk permanente brede rechten. De handleiding over Privileged Identity Management voor beheerders laat zien hoe tijdelijke rolactivatie daarbij helpt.

Richt daarna e-mailmeldingen in via Settings > Endpoints > Email notifications. Microsoft onderscheidt meldingen voor alerts en voor kwetsbaarheden. In Defender for Business worden notificatieregels aan specifieke gebruikers gekoppeld. Ze kunnen niet op apparaatgroepen worden toegepast. Dat maakt een continuïteitscontrole noodzakelijk:

wijs minimaal twee bevoegde ontvangers aan;
gebruik daarnaast een bewaakte support- of securityqueue;
leg vast wie bij afwezigheid overneemt;
test of een melding daadwerkelijk wordt ontvangen;
controleer ieder kwartaal of ontvangers nog in dienst en bevoegd zijn.

Een melding is alleen een transportmiddel. Leg per ernstniveau een verwachte reactietijd vast. Een incident met het label Attack disruption vraagt directe beoordeling. Een informatieve melding kan betekenen dat een dreiging al is gestopt, maar verdient nog steeds controle op herhaling of bredere impact.

Kies één primaire beleidsbron

Defender for Business kan beveiligingsbeleid beheren via het Defender-portaal. Organisaties met Intune kunnen endpoint security-beleid vanuit het Intune admin center beheren. Kies bewust één primaire route.

Situatie	Logische beleidsbron	Belangrijkste controle
Geen volwassen Intune-beheer	Vereenvoudigde configuratie in Defender	Standaardbeleid beoordelen en scope vastleggen
Apparaten en beveiligingsprofielen al in Intune	Intune	Bestaande toewijzingen en conflicten controleren
Migratie tussen beide routes	Tijdelijk wijzigingsplan	Export, pilot, gecontroleerde vervanging en terugvalplan

Microsoft waarschuwt dat bestaand Intune-beleid moet worden verwijderd wanneer je overschakelt naar Defender-configuratie, zodat conflicten worden voorkomen. Doe dat nooit als losse opruimactie. Exporteer eerst de huidige profielen, waarden, toewijzingen en uitzonderingen. Bepaal daarna per beleid welk portaal eigenaar wordt.

Controleer minimaal next-generation protection, firewall, webcontentfiltering en Attack Surface Reduction. Maak uitzonderingen zo smal mogelijk. Leg bij iedere uitzondering de zakelijke reden, eigenaar, exacte scope, goedkeuring en vervaldatum vast. Een tijdelijke uitzondering zonder einddatum wordt anders vanzelf permanent beleid.

Rol uit in ringen, niet in één grote wijziging

Gebruik minimaal drie uitrolringen:

Technische pilot: enkele beheerde test- en IT-apparaten waarop snel kan worden onderzocht en hersteld.
Representatieve pilot: gebruikers uit administratie, verkoop, directie en operatie, inclusief verschillende bedrijfstoepassingen.
Productie: de overige apparaten nadat techniek, applicaties en supportproces aantoonbaar werken.

Defender for Business ondersteunt verschillende onboardingmethoden. Windows-apparaten kunnen via een lokaal script, groepsbeleid of Intune worden gekoppeld. Voor organisaties die al Intune gebruiken is automatische onboarding meestal de beheerbare route. Microsoft adviseert in de setupwizard om alle ingeschreven Windows-apparaten automatisch te onboarden. Nieuwe Intune-apparaten volgen dan mee, zodat dekking niet afhangt van een handmatige actie.

Een lokaal script is geschikt voor een kleine pilot of omgeving zonder bestaand beheerproces. Microsoft adviseert daarbij maximaal tien apparaten tegelijk. Gebruik het pakket uit je eigen tenant en behandel het als beheermateriaal. Voor Macs, mobiele apparaten en servers gelden aparte onboardingroutes en vereisten. Controleer die per platform in de actuele Microsoft Learn-documentatie.

Een bestaande niet-Microsoft antivirusoplossing vraagt extra aandacht. Microsoft geeft aan dat real-time protection daardoor uitgeschakeld kan zijn. Een apparaat kan dus wel onboarded lijken maar toch als onbeschermd gelden. Verwijder een oude oplossing pas via een gepland migratieproces, met pilot, controle en terugvalmogelijkheid.

Bewijs dat onboarding en detectie werken

Een apparaatnaam in Assets > Devices is het begin van de acceptatie, niet het einde. Controleer per pilotapparaat:

het apparaat staat in de juiste tenant;
naam, gebruiker en besturingssysteem kloppen;
de laatste activiteit is actueel;
antivirus en cloudbeveiliging zijn actief;
het bedoelde beleid en de juiste groep zijn toegepast;
apparaatrisico en blootstellingsniveau worden gerapporteerd;
e-mailmeldingen bereiken de afgesproken ontvangers;
een officiële Microsoft-test veroorzaakt de verwachte detectie;
de bevoegde medewerker kan het incident openen en behandelen;
eventuele herstelacties zijn zichtbaar in het Action center.

Microsoft beschrijft een detectietest voor Windows en een phishingtest voor onboarded apparaten. Gebruik alleen de actuele test uit Microsoft Learn. Voer deze gecontroleerd uit op een pilotapparaat, kondig de test aan bij de behandelaar en controleer de volledige keten van detectie tot afsluiting.

Kijk na iedere ring ook naar de negatieve lijst: welke verwachte apparaten ontbreken? Onderzoek dan licentie, besturingssysteem, netwerkbereik, beleidsscope en onboardingmethode. Wachten zonder diagnose is geen acceptatietest.

Maak van incidenten een vast supportproces

Defender groepeert gerelateerde waarschuwingen in incidenten. Werk vanuit het incident, niet alleen vanuit de eerste e-mail. Een incident kan meerdere apparaten, gebruikers en alerts omvatten.

Gebruik voor iedere relevante melding dezelfde triagevolgorde:

controleer ernst, tijdstip en eventuele tag Attack disruption;
bekijk alle betrokken apparaten en gebruikers;
bepaal of de dreiging gestopt of nog actief is;
wijs een eigenaar en reactietermijn toe;
beperk verdere impact, bijvoorbeeld met isolatie of scan wanneer dat passend is;
controleer geautomatiseerde onderzoeken en voorgestelde acties;
beoordeel acties in het Action center;
herstel het apparaat of de toegang gecontroleerd;
leg oorzaak, impact, bewijs, acties en vervolgmaatregelen vast;
sluit pas wanneer ook herhaling en bredere blootstelling zijn beoordeeld.

Microsoft bepaalt alert severity op basis van gedrag, werkelijk apparaatrisico en mogelijk organisatierisico. Een tegengehouden dreiging kan als informatief worden weergegeven omdat zij al is gestopt. Een actieve aanval of nog niet hersteld verdacht gedrag kan medium of high zijn. Gebruik ernst dus als startpunt, niet als automatische sluitreden.

Koppel endpointincidenten aan identiteit en e-mail. Malware op een laptop kan zijn begonnen met phishing of gestolen inloggegevens. Controleer bij relevante incidenten ook aanmeldingen, MFA-methoden, actieve sessies en mailboxregels. De handleiding MFA-app kwijt: veilig herstel voor medewerker en beheerder beschrijft de identiteitsherstelroute.

Gebruik rapporten als beheercontrole

Defender for Business bevat rapporten voor dreigingen, apparaatstatus, kwetsbaarheden, webbeveiliging, firewall en Attack Surface Reduction. Het maandelijks beveiligingsoverzicht is volgens Microsoft nog preview. Gebruik previewinformatie niet als enige bewijsbron voor een controle.

Een praktisch ritme:

Frequentie	Controle
Dagelijks	Nieuwe high- en mediumincidenten, Attack disruption en wachtende acties
Wekelijks	Risicovolle apparaten, apparaten zonder recente activiteit en open incidenten
Maandelijks	Verwachte versus onboarded apparaten, kwetsbaarheden, uitzonderingen en licentiegebruik
Per kwartaal	Rollen, meldingsontvangers, beleidsbron, serverlicenties en uitrolproces

Gebruik Reports > Endpoints > Device health om te beoordelen of sensoren en Defender Antivirus gezond zijn. Gebruik Assets > Devices voor inventaris en apparaatstatus. Bekijk dreigingstrends en open alerts in het threat protection-rapport. Controleer ASR-detecties en auditresultaten voordat je regels breder blokkerend maakt.

Meet niet alleen het aantal alerts. Betere indicatoren zijn apparaatdekking, tijd tot eerste triage, openstaande herstelacties, ouderdom van uitzonderingen en herhaalde incidenten op hetzelfde apparaat. Daarmee ziet de directie of de dienst werkelijk beheerd wordt.

Veelgemaakte fouten

Een licentie wordt aangezien voor bescherming

Een licentie maakt gebruik mogelijk. Pas onboarding, actief beleid, actuele telemetrie en een geslaagde test bewijzen dat een apparaat in het proces zit.

Intune en Defender beheren hetzelfde beleid

Tegenstrijdige profielen maken de effectieve instelling onduidelijk. Kies één beleidsbron en migreer met export, pilot en terugvalplan.

Alleen IT-apparaten vormen de pilot

Daarmee mis je boekhoudsoftware, macro's, scanners en brancheapplicaties. Gebruik een representatieve tweede ring.

Alle regels gaan direct naar blokkeren

Streng beleid zonder audit en pilot kan bedrijfssoftware verstoren. Test, beoordeel en verscherp per ring.

Meldingen gaan naar één persoon

Bij verlof of uitdiensttreding stopt de opvolging. Gebruik meerdere bevoegde ontvangers en een bewaakte queue.

Servers worden zonder aparte licentie meegenomen

Servers hebben aanvullende licenties en platformspecifieke eisen. Controleer iedere server afzonderlijk.

Attack disruption wordt als opgelost gezien

Automatische indamming koopt tijd. De oorzaak, getroffen assets en herstelacties moeten nog steeds worden onderzocht.

Veelgestelde vragen

Zit Defender for Business in Microsoft 365 Business Premium?

Ja. Microsoft 365 Business Premium bevat Defender for Business. De dienst is ook los beschikbaar voor geschikte organisaties tot en met 300 gebruikers.

Hoeveel clientapparaten mag één gebruiker hebben?

Microsoft vermeldt in de actuele FAQ maximaal vijf clientapparaten per gebruikerslicentie. Servers vallen daar niet onder en vragen een aparte licentie.

Moeten we Intune gebruiken?

Niet altijd. Defender heeft een vereenvoudigde beheerervaring. Gebruik je Intune al voor apparaten en endpoint security, dan is het meestal logisch daar te blijven beheren. Voorkom dat beide portalen hetzelfde beleid tegelijk sturen.

Zijn mobiele apparaten en Macs ondersteund?

Ja. Microsoft noemt Windows, macOS, Android en iOS of iPadOS als ondersteunde clientplatformen. De onboardingmethode en technische vereisten verschillen per platform.

Is een apparaat beschermd zodra het in de inventaris staat?

Niet automatisch. Controleer actuele activiteit, toegewezen beleid, actieve beveiligingscomponenten en een officiële testdetectie. Let ook op oude antivirussoftware die real-time protection kan uitschakelen.

Vervangt Defender for Business een back-up?

Nee. Detectie, reactie en herstelacties zijn geen onafhankelijke back-up van bestanden of Microsoft 365-data. Beveiliging en back-up zijn afzonderlijke lagen.

Kunnen notificaties aan apparaatgroepen worden gekoppeld?

Volgens Microsoft niet in Defender for Business. Notificatieregels worden aan specifieke gebruikers gekoppeld. Controleer daarom ontvangers en vervanging periodiek.

Hoe weten we dat het beheerproces werkt?

Laat een pilotapparaat onboarden, voer een officiële test uit, controleer melding en incident, wijs een eigenaar toe, beoordeel de actie en sluit met bewijs. Herhaal daarnaast periodiek de vergelijking tussen broninventaris en Defender.

Gebruikte Microsoft-bronnen

De productscope, licentiegrenzen, setupvolgorde, onboardingmethoden, beleidskeuze, notificaties, incidenternst en rapportages zijn op 25 oktober 2026 gecontroleerd tegen deze Microsoft Learn-bronnen zonder trackingparameters:

Microsoft wijzigt portaalnamen, mogelijkheden en licentievoorwaarden regelmatig. Controleer de actuele documentatie en je eigen tenant voordat je beleid of onboarding aanpast.

Van beveiligingsproduct naar beheerde dienst

Een goede invoering levert drie aantoonbare resultaten op: ieder verwacht apparaat is verklaard, ieder beleid heeft één eigenaar en ieder relevant incident krijgt opvolging. Licenties, onboarding en techniek zijn daarvoor nodig, maar niet voldoende.

Werk met een broninventaris, uitrolringen, officiële detectietests en een vast beheerinterval. Zo verandert Defender for Business van een verzameling dashboards in een dienst die risico verlaagt en de IT-manager werkelijk ontlast.