Security & Compliance

Microsoft Defender for Cloud

Overview

Microsoft Defender for Cloud ist Microsofts Cloud-native Application Protection Platform (CNAPP). Sie vereint zwei Aufgaben: Cloud Security Posture Management (CSPM) prüft Konfigurationen gegen den Microsoft Cloud Security Benchmark und weitere Standards, Cloud Workload Protection (CWP) erkennt Angriffe auf Server, Container, Datenbanken, Storage und weitere Ressourcen. Über Konnektoren deckt sie neben Azure auch AWS, Google Cloud, Arc-fähige lokale Server sowie Code-Repositories in Azure DevOps, GitHub und GitLab ab.

Der Dienst ist aus Azure Security Center und Azure Defender hervorgegangen. Die grundlegende CSPM-Funktion mit Empfehlungen und Secure Score ist kostenlos, alles Weitere läuft über kostenpflichtige Pläne pro Ressourcentyp.

Abgrenzung: Microsoft Sentinel ist das SIEM, das Warnungen aus Defender for Cloud und vielen anderen Quellen korreliert. Defender XDR bündelt Endpoint, Identity, Office 365 und Cloud Apps. Defender for Cloud wird schrittweise ins Microsoft-Defender-Portal integriert, ein Teil der Funktionen ist dort bereits verfügbar, die Doku zeigt je Artikel, welches Portal gilt.

How it works

Defender for Cloud aktivierst Du pro Abonnement bzw. Cloud-Konto und wählst die Pläne:

  1. Foundational CSPM (kostenlos): Sicherheitsempfehlungen, Secure Score, Microsoft Cloud Security Benchmark, Anbindung von AWS und GCP.
  2. Defender CSPM: Angriffspfadanalyse, Cloud Security Explorer, Governance-Regeln, Regulatory Compliance und AI Security Posture Management.
  3. Defender for Servers Plan 1 oder Plan 2: Bedrohungserkennung für Windows- und Linux-Server in Azure, AWS, GCP und lokal (über Azure Arc), mit Integration von Defender for Endpoint, Plan 2 mit erweiterten Funktionen inklusive DNS-Warnungen.
  4. Workload-Pläne: Defender for Containers, Databases (SQL, Open-Source-Datenbanken, Cosmos DB), Storage (inklusive Malware-Scan), App Service, Key Vault, Resource Manager, APIs und AI Services.
  5. Empfehlungen und Warnungen lassen sich per Workflow-Automatisierung (Logic Apps), kontinuierlichem Export oder Sentinel-Konnektor weiterverarbeiten.

Richtlinien basieren auf Azure Policy, Zuweisungen erfolgen sinnvollerweise auf Management-Group-Ebene.

Benefits

  • Ein Lagebild für mehrere Clouds: Fehlkonfigurationen in Azure, AWS und GCP erscheinen priorisiert an einer Stelle.
  • Kostenloser Einstieg: Secure Score und Basisempfehlungen zeigen ohne Lizenzkosten die größten Lücken.
  • Angriffspfade statt Einzelbefunde: Defender CSPM zeigt, welche Kombination von Schwachstellen zu kritischen Ressourcen führt.
  • Schutz auch für lokale Server: Über Azure Arc gelten Defender for Servers und Update-Bewertung auch im eigenen Rechenzentrum.
  • Nachweise für Audits: Regulatory-Compliance-Ansichten unterstützen bei Prüfungen, etwa im Rahmen von NIS2 oder ISO 27001.

Practical example

Ein Hersteller von Kunststoffverpackungen mit 600 Mitarbeitenden betreibt 30 VMs in Azure und 25 Server im eigenen Rechenzentrum. Die IT aktiviert Foundational CSPM für alle Abonnements, bindet die lokalen Server per Azure Arc an und bucht Defender for Servers Plan 2 nur für produktive Systeme. Monatlich arbeitet sie die zehn wichtigsten Empfehlungen nach Secure-Score-Wirkung ab, Warnungen fließen in Sentinel. Für den NIS2-Nachweis exportiert der ISB die Compliance-Ansicht als Beleg für das Risikomanagement.

Things to keep in mind

  • Aktiviere Pläne gezielt nach Ressourcentyp und Kritikalität, weil jeder Plan pro Ressource abgerechnet wird.
  • Arbeite Empfehlungen nach Risiko und Secure-Score-Wirkung ab, nicht nach Anzahl, und dokumentiere begründete Ausnahmen.
  • Weise Richtlinien und Pläne auf Management-Group-Ebene zu, damit neue Abonnements automatisch abgedeckt sind.
  • Begrenze, wer Pläne und Richtlinien ändern darf (Security Admin), damit Schutz nicht unbemerkt abgeschaltet wird.
  • Verbinde Defender for Cloud mit Sentinel oder Defender XDR und ersetze alte Bezeichnungen wie Azure Security Center in Doku und Runbooks.

Licensing & availability

Foundational CSPM ist kostenlos. Defender CSPM und alle Workload-Pläne (Servers P1/P2, Containers, Databases, Storage, App Service, Key Vault, Resource Manager, APIs, AI Services) werden pro geschützter Ressource bzw. nach Verbrauch abgerechnet, mit 30-tägiger Testphase je Plan. Defender for DNS wird seit 1. August 2023 für neue Abonnements nicht mehr einzeln angeboten, die DNS-Warnungen stecken in Defender for Servers Plan 2. Microsoft-365-Lizenzen wie E5 enthalten Defender for Cloud nicht. Stand: Oktober 2026.

Conclusion

Defender for Cloud ist die Sicherheitszentrale für Azure- und Hybridumgebungen. Starte mit dem kostenlosen CSPM und buche Pläne gezielt für Deine kritischen Workloads.

Further reading

Related articles