Consulting Briefing · 05.11.2026 · boddenberg.de

Defender: Neues RBAC-Berechtigungsmodell wird automatisch aktiviert (Prüfung bis 02.12.2026)

Executive Summary

Kurz und schmerzhaft: Du hast 28 Tage. Laut Microsoft-Ankündigung MC1537494 wird das einheitliche Berechtigungsmodell Defender RBAC (bei Microsoft auch „Unified RBAC“ oder URBAC) zum einzigen Zugriffsmodell für alle Funktionen im Defender-Portal, Microsoft Sentinel eingeschlossen. Microsoft importiert deine bestehenden Rollen automatisch, zeigt im Portal einen Banner und schaltet das neue Modell rund 30 Tage später ohne weitere Rückfrage scharf. Microsoft nennt den 02.12.2026 als Termin, bis zu dem du die importierten Rollen geprüft haben solltest. Der Rollout der Banner beginnt Anfang Dezember und soll Ende Januar 2027 abgeschlossen sein, die Meldung läuft bis zum 02.03.2027.

Was freundlich als „erweiterte Möglichkeiten“ verpackt ist, ist in Wahrheit eine Abkündigung: Die bisherigen Einzelmodelle, also die Rollen von Defender for Endpoint, die Email-&-collaboration-Berechtigungen für Defender for Office 365, die MDI-Rollen, die lokalen Rollen von Defender for Cloud Apps und die Azure-Rollen für Sentinel im Defender-Portal, verlieren ihre Rolle als maßgebliche Rechtequelle. Nach der Aktivierung entscheidet nur noch Defender RBAC, wer im Portal was sehen und tun darf. Wer die Importliste nicht prüft, erfährt im Ernstfall um drei Uhr nachts, dass die Rufbereitschaft keine Geräte mehr isolieren kann. Das ist die Art Überraschung, auf die ein SOC gut verzichten kann.

Worum geht es im Detail?

Zum Hintergrund: Das Defender-Portal ist über Jahre aus einzelnen Produkten zusammengewachsen, und jedes Produkt hat sein eigenes Rechtemodell mitgebracht wie ein Gast seine eigene Hausordnung. Defender for Endpoint kennt Rollen und Gerätegruppen, Defender for Office 365 nutzt die Email-&-collaboration-Rollengruppen plus Exchange-Rollen, Defender for Identity hat MDI Admin, User und Viewer, Defender for Cloud Apps eigene lokale Administratoren, und Sentinel wird über Azure RBAC am Workspace gesteuert. Wer wissen wollte, wer im Haus einen Rechner isolieren oder eine Mail aus allen Postfächern löschen darf, brauchte fünf Browser-Tabs, viel Kaffee und eine gewisse Leidensfähigkeit.

Defender RBAC fasst das in ein Modell mit vier Berechtigungsgruppen zusammen: Security operations (Sicherheitsdaten, Alerts, Response, Live Response), Security posture (Schwachstellen, Exposure Management, Secure Score), Authorization and settings (Rollen verwalten, Sicherheits- und Systemeinstellungen) und Data operations für Sentinel-Daten. Jede Rollenzuweisung lässt sich zusätzlich einschränken: auf Gerätegruppen wie bisher, und neu auf Cloud-, Identity- und Sentinel-Scopes. Sentinel-Scopes sind laut Microsoft Learn eine echte zeilenbasierte Zugriffssteuerung: Datenzeilen werden bei der Aufnahme mit einem Scope-Tag versehen, bis zu 100 Scopes je Tenant sind möglich. Microsoft verkauft das Ganze außerdem als „zukunftssicher“, weil Zuweisungen künftige Berechtigungen und Workloads einschließen können, und als Voraussetzung für neue Angebote wie Perception. Übersetzt: Wer nicht mitzieht, bekommt die neuen Spielzeuge nicht.

Abbildung 1: Die fünf bisherigen Rechtemodelle werden importiert und nach rund 30 Tagen durch Defender RBAC ersetzt. Purview, Exchange, Entra, PIM und Azure RBAC bleiben außen vor.

Neu ist dabei nicht das Modell selbst. Für neue Tenants von Defender for Endpoint und Defender for Identity ist Defender RBAC schon seit 2025 Standard, für neue Organisationen mit Defender for Office 365 Plan 2 seit Juli 2026. Wer sich bisher bewusst für das alte Modell entschieden hat oder schlicht nie umgeschaltet hat, wird jetzt umgezogen. Der Ablauf laut MC1537494: Zuerst erscheint im Defender-Portal auf der Seite für Berechtigungen und Rollen ein Banner, gleichzeitig importiert Microsoft die alten Rollen. Dieser Import hat noch keine operative Wirkung. Nach rund 30 Tagen wird der jeweilige Workload aktiviert, und ab dann gelten nur noch die neuen Rollen. Die Workloads und Termine je Tenant zeigt das Portal selbst an.

Die vollständige Zuordnung jeder Altrolle zu den neuen Berechtigungen findest du im Learn-Artikel Zuordnen von Berechtigungen in Microsoft Defender Unified RBAC, den Gesamtüberblick unter Microsoft Defender Unified RBAC.

Was sind Chancen? Was sind Risiken?

Die Chance ist real: ein Ort, an dem du sehen kannst, wer was darf. Für jeden, der schon einmal eine ISO-27001-Auditorin durch fünf Rechtemodelle führen musste, ist das ungefähr so befreiend wie der Moment, in dem der letzte Fileserver ausgeschaltet wird. Dazu kommt echte Granularität: Live Response Basic für die erste Analyseebene, Advanced Live Response nur für die zweite. Ein Konzern mit Standorten in Deutschland und Spanien kann über Sentinel-Scopes dafür sorgen, dass das Team in Madrid die Logs aus Madrid sieht und nicht die Anmeldedaten der deutschen Personalabteilung. Für NIS2, KRITIS-Dachgesetz und BSI-Grundschutz (Baustein ORP.4, Identitäts- und Berechtigungsmanagement) ist ein zentrales, dokumentierbares Rechtemodell ein handfestes Argument.

Die Risiken stecken im Kleingedruckten des Imports, und zwar zuverlässig dort, wo niemand hinschaut. Erstens: Rollen, denen Konten oder Gruppen zugewiesen sind, die es in Entra ID nicht mehr gibt, landen in der Liste „Roles not eligible for import“. Sie werden schlicht nicht übernommen. Ein Maschinenbauer aus Ostwestfalen hatte genau so einen Fall in einer Testumgebung: Die MDE-Rolle für die Rufbereitschaft enthielt noch das Konto eines Werkstudenten, der vor anderthalb Jahren gegangen war. Folge: Die Rolle wurde nicht importiert, nach der Aktivierung konnte die Rufbereitschaft keine Geräte mehr isolieren. Der Werkstudent hat also noch lange nach seinem Abschied für Ausfälle gesorgt. Respekt.

Zweitens: Für Defender for Office 365 importiert Microsoft nur Rollen und Rollengruppen, die mindestens einer Person aktiv zugewiesen sind. Und das Mapping fördert Dinge zutage, die vorher niemand sehen wollte. Die Rolle „Preview“ steckt standardmäßig in Purview-Rollengruppen wie eDiscovery Manager oder Data Investigator und wird auf „Email & collaboration content: All Emails (read)“ abgebildet, also Lesezugriff auf den Inhalt aller E-Mails. Das Recht war vorher auch schon da, nur versteckt. Jetzt steht es schwarz auf weiß in deiner Rollenliste, und der Datenschutzbeauftragte wird fragen, warum die Kollegin aus dem Rechtsbereich Mails der Geschäftsführung lesen darf.

Drittens Sentinel, das Lieblingsthema aller Infrastruktur-als-Code-Freunde. Nach der Aktivierung ist Defender RBAC die Rechtequelle, Zuweisungen werden nach Azure RBAC zurücksynchronisiert. Wer danach weiter per Terraform oder Bicep Rollen am Workspace setzt, riskiert laut Microsoft Learn Sync-Fehler. Service Principals lassen sich in Defender RBAC nicht berechtigen, und die Rollen Playbook Operator, Automation Contributor und Workbook Contributor bleiben in Azure. Pikant: Ein Global Administrator hat in Defender RBAC nicht automatisch Rechte auf Sentinel-Workspaces, er darf sie sich nur selbst geben. Und weil Sentinel im Defender-Portal zusätzlich weiterhin Azure-Rollen respektiert, sieht jemand mit üppigen Azure-Rechten unter Umständen mehr, als die schöne neue Rolle vermuten lässt. Least Privilege ist also erst erreicht, wenn auch Azure aufgeräumt ist.

Viertens Defender for Cloud Apps: Mit der Aktivierung entfallen die gescopten Rollen App/instance admin, User group admin, Cloud Discovery global admin und Cloud Discovery report admin. Ersatz gibt es nur über eigene Rollen in Defender RBAC. Das ist die eigentliche Abkündigung in dieser Meldung, und sie steht dort nicht einmal drin.

Was müssen wir jetzt schon vorbereiten?

Meine klare Empfehlung: Warte nicht, bis Microsoft den Schalter umlegt. Aktiviere Defender RBAC selbst, Workload für Workload, in einem Wartungsfenster deiner Wahl, mit Testkonten je Rolle und dem SOC am Telefon. Das Opt-out nach der Aktivierung ist dein Notausgang, nicht dein Plan. Microsoft nennt kein Datum, bis zu dem dieser Notausgang offen bleibt, und die Richtung ist eindeutig: Das alte Modell ist ein Auslaufmodell, das Ende ist nur noch nicht datiert. Wer jetzt zurückschaltet, schiebt dieselbe Arbeit in ein Quartal, in dem garantiert noch weniger Zeit ist.

Abbildung 2: Die Prüffrist endet am 02.12.2026, die automatische Aktivierung folgt je Tenant rund 30 Tage nach dem Banner. Wer bis Anfang Dezember selbst umgestellt hat, bestimmt den Zeitpunkt.

Zu Mitbestimmung und Datenschutz: Die Umstellung selbst ändert nichts an dem, was Defender über die Belegschaft erfasst. Aber in vielen Betriebsvereinbarungen zu Microsoft 365 oder zu Defender ist als Anlage festgelegt, welche Rollen welche Daten sehen dürfen. Wenn sich Rollennamen, Rechtezuschnitt und Scopes ändern, stimmt diese Anlage nicht mehr. Nach § 87 Abs. 1 Nr. 6 BetrVG beziehungsweise dem jeweiligen Personalvertretungsrecht ist das kein neues Mitbestimmungsverfahren, aber eine Informationspflicht, die du ernst nehmen solltest. Für den Datenschutz gilt Art. 32 DSGVO: Ein dokumentiertes, geprüftes Berechtigungskonzept ist eine technische und organisatorische Maßnahme, ein ungeprüfter Automatikimport ist es nicht.

Zur Kommunikation: Die Belegschaft merkt von der Umstellung nichts, Anwenderinnen und Anwender melden sich nicht im Defender-Portal an. Informieren musst du nur die, die es tun: SOC, Rufbereitschaft, externe Dienstleister mit GDAP-Zugriff. Für Letztere bleibt laut MC1537494 die delegierte Verwaltung unverändert, ihre Zuweisungen werden mit importiert. Lass dir trotzdem vom Dienstleister schriftlich bestätigen, dass er nach der Aktivierung noch alles kann, was im Vertrag steht. Sonst stellt ihr das gemeinsam beim nächsten Ransomware-Fall fest, und dann ist die Stimmung erfahrungsgemäß eher gedrückt.

Häufig gestellte Fragen

Kann ich die automatische Aktivierung von Defender Unified RBAC verhindern?

Ein Opt-out vor der Aktivierung sieht Microsoft laut MC1537494 nicht vor. Nach der Aktivierung kannst du einzelne Workloads im Defender-Portal unter System, Berechtigungen, Rollen über die Workload-Einstellungen sofort auf das alte Rechtemodell zurückschalten.

Verlieren Global Administrator und Security Administrator nach der Umstellung den Zugriff auf das Defender-Portal?

Nein, die Entra-Rollen Global Administrator, Security Administrator, Security Operator und Security Reader wirken weiter und werden auf Defender-RBAC-Berechtigungen abgebildet. Für Sentinel-Workspaces erhält ein Global Administrator in Defender RBAC allerdings keine automatischen Rechte, er darf sie sich nur selbst zuweisen.

Warum wurde eine meiner Defender-Rollen nicht importiert?

Meist enthält die Rolle Konten oder Gruppen, die in Entra ID nicht mehr existieren, dann erscheint sie unter den nicht importierbaren Rollen. Entferne die verwaisten Zuweisungen im alten Modell und starte den Import erneut; bei Defender for Office 365 werden außerdem nur aktiv zugewiesene Rollen übernommen.

Funktionieren meine PowerShell-Skripte für Defender for Office 365 nach der Umstellung weiter?

Ja, Exchange Online PowerShell und Security & Compliance PowerShell nutzen weiterhin die Exchange- und Email-&-collaboration-Rollen. Nur wer Rollen und Berechtigungen per API konfiguriert, muss auf die Rollenverwaltung der Microsoft Graph API umstellen.

Kostet Defender Unified RBAC zusätzliche Lizenzen?

Nein, Defender RBAC ist ohne Aufpreis Teil der jeweiligen Defender-Lizenzen. Für Defender for Office 365 gilt die Umstellung nur bei Plan 2, etwa über Microsoft 365 E5 oder eine separate Plan-2-Lizenz.