Security & Compliance

XDR (Extended Detection and Response)

Allgemeine Infos

Extended Detection and Response (XDR) verknüpft Sicherheitssignale aus Bereichen, die früher in getrennten Konsolen lagen. Ein Angriff beginnt häufig mit einer Phishing-Mail, führt zu einem gestohlenen Konto und endet auf einem Endgerät oder in SharePoint. XDR zeigt diese Kette als einen Incident statt als drei unabhängige Warnungen.

Microsoft Defender XDR (bis 2023 Microsoft 365 Defender) führt dafür Defender for Endpoint, Defender for Office 365, Defender for Identity, Defender for Cloud Apps, Defender Vulnerability Management, Defender for Cloud, Entra ID Protection, Purview DLP und Insider Risk Management im Defender-Portal zusammen. Korreliert werden nur Signale aus Produkten, die lizenziert und eingerichtet sind.

XDR ist nicht dasselbe wie ein SIEM: XDR konzentriert sich auf die Produkte eines Herstellers mit tiefer Integration, ein SIEM nimmt beliebige Quellen auf. Mit dem Umzug von Microsoft Sentinel ins Defender-Portal (Azure-Portal-Unterstützung endet nach dem 31. März 2027) wachsen beide bei Microsoft in einer Oberfläche zusammen.

Funktionsweise & Details

Der Ablauf im Defender-Portal:

  1. Die einzelnen Defender-Produkte liefern Warnungen und Rohdaten an die gemeinsame Plattform.
  2. Die Korrelation bündelt zusammengehörige Warnungen zu Incidents mit Zeitleiste, betroffenen Konten, Geräten, Postfächern und einer Angriffszusammenfassung.
  3. Automatische Untersuchung und Reaktion sowie Attack Disruption sperren Konten oder isolieren Geräte, wenn das Muster eindeutig ist.
  4. Advanced Hunting erlaubt KQL-Abfragen über alle angebundenen Datenquellen.
  5. Mit eingebundenem Sentinel fließen auch Drittquellen in dieselbe Incident-Warteschlange.

Vorteile & Nutzen

  • Ein zusammenhängendes Bild des Angriffs statt vieler Einzelwarnungen
  • Weniger Konsolen und weniger Warnungsmüdigkeit durch Bündelung
  • Automatische Gegenmaßnahmen über Produktgrenzen hinweg
  • Gute Basis für ein kleines SOC, das mit wenigen Werkzeugen arbeiten muss

Praxisbeispiel

Ein Dienstleister mit 120 Mitarbeitenden bekommt früher drei getrennte Warnungen: eine Phishing-Mail, eine Anmeldung aus dem Ausland und einen verdächtigen Prozess auf einem Notebook. Defender XDR fasst sie zu einem Incident zusammen, Attack Disruption sperrt das Konto automatisch. Der Admin sieht Postfach, Gerät und Anmeldeverlauf auf einer Seite und bereinigt alles in einer Stunde statt an einem Tag.

Worauf sollte man achten?

  • Der volle Nutzen entsteht nur, wenn alle beteiligten Defender-Produkte lizenziert und eingerichtet sind
  • Automatische Reaktionen zunächst im Pilotbetrieb testen und Ausnahmen für kritische Konten festlegen
  • Rollen im Defender-Portal über das einheitliche RBAC gezielt vergeben
  • Für Drittsysteme zusätzlich ein SIEM wie Sentinel einplanen, denn XDR deckt vor allem Microsoft-Quellen ab
  • Den bisherigen Namen Microsoft 365 Defender in Dokumentation und Skripten aktualisieren

Lizenz & Verfügbarkeit

Den vollen Umfang von Defender XDR liefern Microsoft 365 E5 oder die Microsoft Defender Suite (früher Microsoft 365 E5 Security) mit Defender for Endpoint Plan 2, Defender for Office 365 Plan 2, Defender for Identity und Defender for Cloud Apps. Die Produkte sind einzeln lizenzierbar, das Portal korreliert nur, was lizenziert ist. Microsoft 365 Business Premium deckt mit Defender for Business und Defender for Office 365 Plan 1 einen Teil ab. Stand: Oktober 2026.

Fazit

XDR lohnt sich, sobald mehrere Defender-Produkte im Einsatz sind, weil die Zusammenführung Analysezeit spart. Es ersetzt aber kein SIEM für Drittquellen und keine Zuständigkeit für die Auswertung.

Weiterführende Links

Verwandte Artikel