Security & Compliance: Microsoft Defender XDR mit neuen KI-Alarmen

Executive Summary

Microsoft hat den Autopiloten scharf geschaltet, und zwar nicht heimlich, sondern im Wochentakt. Defender XDR entscheidet inzwischen selbst, welcher Alarm ein echter Angriff ist und welcher ins Nirwana darf. Es sperrt Konten, isoliert Geräte und härtet Systeme, die noch gar nicht kompromittiert sind. Das nennt sich Predictive Shielding und ist ungefähr so beruhigend, wie es klingt.

Die gute Nachricht: Dein Level-1-Team ertrinkt nicht mehr in Phishing-Meldungen. Die schlechte: Du hast jetzt eine Maschine im Tenant, die eine eigene Identität besitzt, eigene Rechte hat und Entscheidungen trifft, die du im NIS2-Audit erklären musst. Wer diese Identität nicht sauber berechtigt, hat sich einen unermüdlichen Innentäter mit exzellenter Arbeitsmoral eingekauft.

Drei Dinge sind ab sofort Chefsache: Prüfe die Berechtigungen deiner Agent-Identitäten, hole den Identity Risk Score in deine Entra-ID-Richtlinien, und mache die automatischen Aktionen auditfest dokumentierbar. Wer das im Sommer 2026 verschläft, erklärt es im Herbst der Aufsichtsbehörde.

Worum geht es im Detail?

Fangen wir mit der Einordnung an, denn ohne Hintergrund wirkt das alles wie ein weiteres Feature-Feuerwerk aus Redmond. Ist es aber nicht. Was hier passiert, ist eine schrittweise Verlagerung der Entscheidungshoheit vom Analysten zur Plattform, und zwar in vier gut erkennbaren Stufen.

Vier Stufen, ein Ergebnis: Die Maschine entscheidet immer mehr und fragt dich immer seltener.

Stufe eins war der klassische Alarm. Die Plattform hat gemeldet, du hast bewertet. Das Problem daran war nie die Qualität der Erkennung, sondern die Menge. Ein mittelständisches Unternehmen produziert an einem normalen Dienstag mehr Alarme, als ein dreiköpfiges Team an einem Arbeitstag sinnvoll anschauen kann. Der Klassiker aus der Praxis: Ein Kunde von mir hatte eine Alarmschlange mit über viertausend offenen Einträgen, und das Team hatte irgendwann beschlossen, nur noch die roten anzusehen. Der Angreifer kam natürlich über einen gelben.

Stufe zwei war Automatic Attack Disruption. Bei hoher Konfidenz greift Defender selbst ein, sperrt das Konto oder isoliert das Gerät. Seit Mai 2026 kann die Plattform kompromittierte Geräte vollständig vom Netz nehmen, wenn die Analyse einen aktiven Brückenkopf erkennt. Die Isolation ist zeitlich befristet, auf die Assets des Vorfalls beschränkt und jederzeit vom Operator aufhebbar — das ist wichtig, denn genau diese drei Eigenschaften sind es, die du später im Audit brauchst.

Stufe drei ist Predictive Shielding. Hier wird es philosophisch. Defender wartet nicht mehr darauf, dass ein Asset kompromittiert wird. Die Plattform legt die Aktivitätsdaten eines laufenden Angriffs über den Exposure Graph, berechnet den Blast Radius und fragt sich, wohin der Angreifer als Nächstes will. Dann härtet sie genau diese Systeme vorsorglich. Das kann bedeuten, dass ein Benutzerkonto eingeschränkt wird, dass GPO-Einstellungen verschärft werden oder dass Safeboot erzwungen wird. Die zugehörige Aktion Contain User ist seit März 2026 allgemein verfügbar. Voraussetzung ist eine Defender-for-Endpoint-Lizenz, denn die Aktionen laufen über den Endpoint-Stack.

Stufe vier ist der Security Alert Triage Agent. Dieser autonome Agent nimmt sich Alarme vor und fällt ein Urteil: echter Angriff oder False Positive. Er begründet das in natürlicher Sprache und als visuellen Entscheidungsgraphen, damit du nachvollziehen kannst, welche Indizien ihn überzeugt haben. Für E-Mail- und Collaboration-Alarme ist er allgemein verfügbar, für Identitäts- und Cloud-Alarme läuft die Vorschau. Analysten können ihm Feedback in normalem Deutsch geben, das autorisierte Kollegen anschließend freigeben — auch das bislang nur für E-Mail und Collaboration.

Parallel dazu ist im Juli 2026 die Domain Investigation allgemein verfügbar geworden. Du bekommst eine Seite pro Active-Directory-Domäne mit Sicherheitszustand, Dienstkonten, sensitiven Objekten, Gruppenrichtlinien und Vertrauensstellungen. Für alle, die ihr historisch gewachsenes AD seit Jahren nicht mehr wirklich verstanden haben, ist das gleichzeitig ein Geschenk und eine ausgesprochen unangenehme Offenbarung.

Und dann ist da noch das Thema, das im Windschatten mitläuft: KI-Agenten als Angriffsfläche. Seit Juli 2026 ist Security for Microsoft Agent 365 allgemein verfügbar. Defender inventarisiert die Agenten in deinem Tenant, bewertet ihre Posture und schützt sie zur Laufzeit. Auf Windows-Endpunkten erkennt Defender in der Vorschau sogar lokale KI-Agenten — Coding-Agenten, IDE-Erweiterungen, Desktop-Assistenten — und inspiziert deren Agent Loop aus Prompts, Tool-Aufrufen und Tool-Antworten, um Prompt Injection zu blocken, bevor sie ausgeführt wird.

Die Kette vom Rohsignal bis zum Auditnachweis. Die gelbe Rückkopplung ist der Teil, den die meisten übersehen.

Der Compliance-Teil kommt aus Purview. Der Compliance Manager bringt seit Anfang 2026 ein NIS2-Assessment mit, das Kontrollen direkt auf Defender-Signale und Purview-Richtlinien mappt. Damit wird aus Betriebsdaten Nachweismaterial: Incident-Zeitleisten sind mit Zeitstempeln versehen, Eindämmungsmaßnahmen sind protokolliert, und die Belegkette lässt sich stündlich rekonstruieren. Der Haken ist so vorhersehbar wie üblich — die Vorlage hängt an einer E5-Lizenz.

Was sind Chancen? Was sind Risiken?

Die Chance ist offensichtlich und wird trotzdem unterschätzt. Es geht nämlich nicht darum, Personal zu sparen — das verspricht jeder Hersteller und keiner liefert es. Es geht darum, dass deine Leute endlich an den Fällen arbeiten, die tatsächlich Denkleistung brauchen. Wenn der Agent achtzig Prozent der Phishing-Meldungen vorsortiert, dann schaut dein erfahrener Analyst nicht mehr auf die zwanzigste Rechnungsmail des Tages, sondern auf die seltsame Anmeldung eines Dienstkontos um drei Uhr nachts.

Zweite Chance: Geschwindigkeit. Wenn Predictive Shielding während eines laufenden Angriffs den nächsten Sprung des Angreifers blockiert, gewinnst du Minuten, die du sonst mit der Suche nach der richtigen Telefonnummer verbracht hättest. Bei Ransomware ist der Unterschied zwischen zwanzig verschlüsselten Servern und dreihundert genau diese Viertelstunde.

Dritte Chance ist die Beweisführung. NIS2 verlangt keine Hochglanz-Richtlinien, sondern belastbare Spuren. Prüfer wollen Protokolle, Zeitstempel und dokumentierte Reaktionen sehen. Wer Defender und Purview verknüpft hat, zeigt einen Vorfall auf Knopfdruck inklusive Belegkette. Wer es nicht getan hat, exportiert drei Nächte lang CSV-Dateien und hofft, dass niemand nachrechnet.

Damit sind wir bei den Risiken, und die sind angenehm konkret. Das erste heißt Rechteinflation. Ein Agent, der aus Versehen mit Administratorrechten läuft, ist ein perfektes Ziel. Er ermüdet nicht, er stellt keine Fragen und er fällt niemandem auf, weil er ohnehin permanent aktiv ist. Microsoft empfiehlt ausdrücklich ein dediziertes Konto mit minimalen Rechten und einem sprechenden Anzeigenamen. Halte dich daran, auch wenn es im Projekt zwei Stunden länger dauert.

Das zweite Risiko ist die Aufsichtslücke. Die Gruppe, die den Agenten beaufsichtigt, muss mindestens dieselben Berechtigungen haben wie der Agent selbst — sonst sieht sie seine Ergebnisse überhaupt nicht. Das klingt banal, ist aber in der Praxis der häufigste Stolperstein: Der Agent arbeitet, urteilt und schließt Fälle, und das Team wundert sich, warum die Alarmschlange so angenehm leer geworden ist.

Das dritte Risiko ist der Fehlalarm mit Folgen. Wenn Predictive Shielding präventiv ein Konto einschränkt, dann trifft das im Zweifelsfall den Geschäftsführer während der Bilanzpressekonferenz. Ich habe genau das erlebt: Ein Vertriebsleiter wurde mitten in einer Ausschreibungsabgabe ausgesperrt, weil sein Notebook im Incident-Graph als exponiert galt. Technisch korrekt, betrieblich eine Katastrophe. Die Antwort darauf ist nicht, das Feature abzuschalten, sondern einen definierten und geübten Freigabeweg zu haben.

Und das vierte Risiko ist eines, das dich heute schon eingeholt haben könnte: Die Tabelle AIAgentsInfo im Advanced Hunting war nur bis zum 1. Juli 2026 erreichbar. Nachfolger ist AgentsInfo mit einem einheitlichen Schema für alle Agententypen — Copilot Studio, Foundry, Microsoft 365 Copilot, Drittanbieter und auf Endpunkten entdeckte Agenten. Wer seine Detection Rules nicht umgestellt hat, betreibt seit rund drei Wochen Regeln, die still und leise gar nichts mehr finden. Das ist die unangenehmste Sorte Ausfall: Sie sieht aus wie Ruhe.

Was müssen wir jetzt schon vorbereiten?

Genug Theorie. Hier ist die Liste, die du am Montagmorgen abarbeitest. Sie ist bewusst kurz gehalten, weil lange Listen bekanntlich vollständig und trotzdem unerledigt sind.

Neunzig Tage, vier Phasen. Wer bei Phase eins spart, zahlt in Phase vier mit Zinsen.

Erstens: Inventur der Agent-Identitäten. Liste jede Identität auf, die ein Defender- oder Copilot-Agent im Tenant benutzt. Prüfe für jede einzelne, welche Rolle sie hat und ob sie wirklich nur die Rechte besitzt, die der jeweilige Agent braucht. Wenn du in dieser Liste ein Konto findest, das jemand vor zwei Jahren zum Testen angelegt hat, ist das kein Zufall, sondern der statistische Normalfall.

Zweitens: Advanced-Hunting-Regeln reparieren. Suche in allen Custom Detection Rules und gespeicherten Abfragen nach AIAgentsInfo und ersetze sie durch AgentsInfo. Die Frist ist am 1. Juli 2026 abgelaufen. Das ist keine Aufgabe für das nächste Quartal, das ist eine Aufgabe für heute Nachmittag.

Drittens: Entra-ID-Richtlinien überarbeiten. Der Identity Risk Score von null bis hundert steht in Entra ID zur Verfügung und lässt sich in Conditional Access verwenden. Damit steuerst du Zugriffe abhängig von der berechneten Kompromittierungswahrscheinlichkeit, statt starre Gruppenlogik zu pflegen. Aber Vorsicht: Ein Score, den du blind in eine Blockregel gießt, sperrt dir irgendwann die halbe Belegschaft aus. Starte im Report-only-Modus und schau dir zwei Wochen lang an, wen es getroffen hätte.

Viertens: Unified RBAC aktivieren und sauber schneiden. Ohne aktiviertes Unified RBAC läuft der Triage-Agent nicht, und ohne aktivierte Workloads bekommt er nicht den Kontext, den er für vernünftige Urteile braucht. Gleichzeitig ist genau das der Hebel, mit dem du ihn eng führst. Definiere zusätzlich die Aufsichtsgruppe und vergleiche deren Rechte mit denen des Agenten auf der Berechtigungsseite im Defender-Portal.

Fünftens: Den NIS2-Nachweis proben. Öffne das NIS2-Assessment im Purview Compliance Manager, nimm einen realen Vorfall der letzten Monate und versuche, ihn lückenlos zu belegen. Wenn du dabei ins Schwitzen kommst, hast du deine Lücken gefunden — und zwar unter Laborbedingungen statt unter Aufsicht.

Sechstens: Die Menschen einbinden. Automatische Kontosperren und Geräteisolationen sind mitbestimmungsrelevant. Hole den Betriebsrat früh dazu und erkläre verständlich, was die Plattform tut und was sie nicht tut. Das erspart dir später eine sehr unangenehme Sitzung, in der du begründen musst, warum eine Software eigenständig Mitarbeiter aussperrt.

Häufig gestellte Fragen

Brauche ich Security Copilot, um den Alert Triage Agent zu nutzen?

Ja. Der Agent setzt bereitgestellte Security-Copilot-Kapazität in Form von Security Compute Units voraus, dazu aktiviertes Unified RBAC und die passenden Produktlizenzen für die Alarmtypen, die er bearbeiten soll. Ohne SCU-Kapazität lässt sich der Agent zwar einrichten, aber er arbeitet nicht.

Kann Defender XDR wirklich eigenständig Konten sperren und Geräte isolieren?

Ja, das tut es bei ausreichend hoher Konfidenz auch ohne Rückfrage. Die Aktionen sind allerdings zeitlich befristet, auf die Assets des jeweiligen Vorfalls beschränkt und können von einem Sicherheitsoperator jederzeit wieder aufgehoben werden.

Was ist der Unterschied zwischen Attack Disruption und Predictive Shielding?

Attack Disruption reagiert auf bereits kompromittierte Assets und dämmt sie ein. Predictive Shielding geht einen Schritt weiter und härtet Systeme, die noch nicht kompromittiert sind, aber auf dem wahrscheinlichen weiteren Weg des Angreifers liegen.

Reicht Defender XDR allein für den NIS2-Nachweis aus?

Nein. Defender liefert die technischen Spuren, also Zeitleisten, protokollierte Maßnahmen und Telemetrie. Für die strukturierte Nachweisführung brauchst du zusätzlich den Purview Compliance Manager mit dem NIS2-Assessment, das die Kontrollen auf diese Signale mappt und in der Regel eine E5-Lizenz voraussetzt.

Meine Advanced-Hunting-Abfragen liefern plötzlich keine Agentendaten mehr. Woran liegt das?

Sehr wahrscheinlich an der abgelösten Tabelle AIAgentsInfo, die nur noch bis zum 1. Juli 2026 verfügbar war. Stelle deine Abfragen und Detection Rules auf die Nachfolgetabelle AgentsInfo um, die ein einheitliches Schema für alle Agententypen bereitstellt.