Defender XDR und Microsoft Sentinel: Wann reicht XDR, wann braucht es Sentinel?

„Wir haben Defender, also schaut doch jemand auf die Alarme?“ Diese Frage hören wir oft von Geschäftsführungen. Die Technik erkennt viel, aber ohne festgelegte Zuständigkeit bleibt ein Alarm ein Eintrag in einer Liste. Dieser Beitrag klärt zuerst, was Überwachung organisatorisch bedeutet, und dann, wann Defender XDR genügt und wann Microsoft Sentinel dazukommt.

Was bedeutet „jemand schaut auf die Alarme“ konkret?

Es bedeutet, dass eine benannte Person einen Alarm innerhalb einer vereinbarten Zeit bewertet, eine Entscheidung trifft, handelt und das dokumentiert. Fehlt einer dieser Schritte, tragen Sie das Risiko eines unbemerkten Angriffs, ohne es zu wissen. Für die Geschäftsführung lautet die zentrale Entscheidung deshalb: welche Abdeckung zu welchen Zeiten. Die Produktfrage folgt danach.

Drei Modelle sind üblich:

• Intern: Eigene Mitarbeitende triagieren. Das bietet die beste Umgebungskenntnis, setzt aber Vertretungen, Rufbereitschaft und laufende Weiterbildung voraus.
• Managed: Ein Dienstleister überwacht und reagiert nach vereinbarten Regeln. Sie erhalten Abdeckung ohne Personalaufbau, müssen aber Befugnisse, Eskalation und Übergaben vertraglich klären.
• Hybrid: Der Dienstleister übernimmt Nacht, Wochenende und Ersttriage, die interne IT entscheidet über Eingriffe in den Geschäftsbetrieb.

Eine Beispielrechnung mit angenommenen Werten zeigt, warum Rund-um-die-Uhr-Abdeckung intern selten trägt: Ein Jahr hat 8.760 Stunden. Nehmen wir an, eine Vollzeitkraft steht nach Urlaub, Krankheit und Weiterbildung rund 1.600 Stunden im Jahr tatsächlich zur Verfügung. Dann braucht schon ein einziger dauerhaft besetzter Platz rechnerisch etwa fünf bis sechs Personen. Ihre eigenen Werte können abweichen; die Größenordnung erklärt, warum viele Unternehmen zu einem hybriden Modell greifen.

Was deckt Microsoft Defender XDR ohne Sentinel ab?

Defender XDR (Extended Detection and Response, die übergreifende Erkennung über mehrere Schutzprodukte) bündelt Defender for Endpoint, Defender for Office 365, Defender for Identity und Defender for Cloud Apps im Defender-Portal. Zusammengehörige Alarme werden automatisch zu einem Incident zusammengeführt, also zu einem Vorgang mit Angriffsverlauf und betroffenen Konten und Geräten.

Für die IT besonders relevant:

• Automatische Angriffsunterbrechung: Bei hoher Sicherheit über einen laufenden Angriff, etwa Ransomware oder Business E-Mail Compromise, sperrt Defender kompromittierte Konten oder dämmt betroffene Geräte selbstständig ein (Containment). Alle Aktionen sind im Action Center nachvollziehbar und umkehrbar. Voraussetzung ist Defender for Endpoint Plan 2.
• Advanced Hunting: Abfragen in KQL (Kusto Query Language) über die Rohdaten der letzten 30 Tage.
• Lizenz: Microsoft 365 E5 enthält die Defender-XDR-Komponenten. Bei E3 ist dafür ein Sicherheits-Add-on nötig.

Wenn Ihre Umgebung im Wesentlichen aus Microsoft 365, Entra ID und verwalteten Windows-Geräten besteht, ist ein sauber konfiguriertes Defender XDR mit klarer Triage oft wirksamer als ein SIEM, das niemand pflegt.

Was ergänzt Microsoft Sentinel?

Microsoft Sentinel ist ein SIEM (Security Information and Event Management, die zentrale Sammlung und Auswertung von Protokollen). Es wird nötig, wenn Fragen auftauchen, die Defender XDR allein nicht beantwortet:

• Weitere Datenquellen: Firewalls, Netzwerkkomponenten, Linux-Server, Fachanwendungen oder Azure-Ressourcen über Datenkonnektoren.
• Lange Aufbewahrung: Daten im Analytics-Tier sind 90 Tage ohne Aufpreis vorgehalten, der Sentinel Data Lake erlaubt eine günstigere Aufbewahrung über Jahre.
• Eigene Erkennungsregeln: Geplante Analyseregeln in KQL für Ihre Umgebung, etwa für ein kritisches Fachverfahren.
• Playbooks: Automatisierte Abläufe auf Basis von Azure Logic Apps, zum Beispiel Ticket anlegen, Bereitschaft benachrichtigen oder ein Konto nach Freigabe sperren.
• Mehrere Tenants: Arbeitsbereiche über Tenant-Grenzen hinweg, was für Konzerne und Dienstleister relevant ist.

Was ändert sich durch die einheitliche Oberfläche im Defender-Portal?

Sentinel ist allgemein im Defender-Portal verfügbar, auch ohne Defender XDR oder E5. Incidents aus Sentinel und Defender landen in einer Warteschlange, Advanced Hunting umfasst beide Datenbestände. Nach dem 31. März 2027 wird Sentinel nicht mehr im Azure-Portal unterstützt (Zeitplan). Ursprünglich war Juli 2026 angekündigt. Wer Sentinel heute noch im Azure-Portal betreibt, sollte den Umzug jetzt planen: Rollen, Automatisierungsregeln und Runbooks müssen zur neuen Oberfläche passen.

Was kostet Sentinel, wenn Defender XDR schon vorhanden ist?

Weniger als oft befürchtet, sofern Sie gezielt anbinden. Kostenfrei sind unter anderem: Incidents und Alarme aus Defender XDR, Alarme der einzelnen Defender-Produkte, Azure-Aktivitätsprotokolle und die Office-365-Überwachungsprotokolle für SharePoint, Exchange und Teams.

Kosten entstehen bei den Rohdaten. Die Advanced-Hunting-Tabellen der Defender-Produkte und die Anmeldeprotokolle von Entra ID werden nach Volumen abgerechnet. Die wichtigste Kostenentscheidung ist daher: Welche Rohdaten brauchen Sie wirklich länger als 30 Tage oder für eigene Regeln? Selten genutzte Daten gehören eher in den günstigeren Data-Lake-Tier.

Für Microsoft-365-E5-Kunden gibt es einen eigenen Abrechnungszähler „Microsoft Defender XDR Benefit“. Umfang und Bedingungen dieses Freibetrags ändern sich; prüfen Sie sie vor der Planung.

Welches Betriebsmodell gehört dazu?

Für ein Audit zählt, ob Sie belegen können, dass Vorfälle erkannt und behandelt werden. Die NIS2-Richtlinie verlangt in Art. 21 und Art. 23 Maßnahmen zur Bewältigung von Sicherheitsvorfällen und fristgebundene Meldungen. Ohne Protokolle und dokumentierte Bearbeitung lässt sich beides kaum nachweisen.

Legen Sie mindestens fest:

1. Zuständigkeit je Schweregrad: Wer triagiert, wer darf Konten sperren oder Geräte isolieren?
2. Reaktionszeiten: Vereinbarte Zeiten für hoch eingestufte Incidents, auch nachts und am Wochenende.
3. Runbooks: Schriftliche Abläufe für die häufigsten Fälle, etwa Kontoübernahme, Schadsoftware auf einem Gerät oder verdächtige Weiterleitungsregeln.
4. Nachweise: Klassifizierung und Kommentare im Incident, monatlicher Bericht, Protokoll jeder Ausnahme.

Wie die erste Stunde nach einem Verdacht konkret aussieht, beschreiben wir im Beitrag Incident Response im Microsoft-365-Tenant.

Der nächste Schritt

Ob Defender XDR in Ihrem Tenant vollständig aktiv ist und ob sich Sentinel lohnt, klären wir im Gap Assessment zum Festpreis. Wenn Sie die Überwachung abgeben möchten, übernimmt unser Managed Security & SOC Triage und Reaktion nach vereinbarten Runbooks, mit monatlichen Nachweisen für Geschäftsführung und Audit.

Erstgespräch vereinbaren

Häufig gestellte Fragen

Ersetzt Microsoft Defender XDR ein SIEM?

Für reine Microsoft-365-Umgebungen deckt Defender XDR die wichtigsten Signale ab und reagiert automatisch. Ein SIEM wie Microsoft Sentinel brauchen Sie zusätzlich, wenn Daten außerhalb von Defender ausgewertet, länger als 30 Tage durchsucht oder mit eigenen Regeln überwacht werden sollen.

Müssen wir wegen des Azure-Portals jetzt handeln?

Wenn Sie Sentinel noch im Azure-Portal nutzen, ja. Nach dem 31. März 2027 wird Sentinel nur noch im Defender-Portal unterstützt. Planen Sie die Anbindung des Arbeitsbereichs, prüfen Sie Rollen und Automatisierungen und schulen Sie das Team rechtzeitig.

Was gehört in den Vertrag mit einem Managed-Security-Dienstleister?

Reaktionszeiten je Schweregrad, die Befugnisse des Dienstleisters (darf er Konten sperren oder Geräte isolieren?), Eskalationswege mit Namen, Berichtsformat und Häufigkeit sowie die Übergabe der Nachweise am Vertragsende.

Wie hoch sind die Kosten für Microsoft Sentinel?

Das hängt fast vollständig von den angebundenen Rohdaten ab. Defender-Incidents, Alarme, Azure-Aktivitäts- und Office-365-Überwachungsprotokolle sind kostenfrei; Advanced-Hunting-Rohdaten und Entra-Anmeldeprotokolle kosten nach Volumen. Eine Schätzung ist erst nach Prüfung der tatsächlichen Datenmengen in Ihrem Tenant seriös.