Microsoft Defender XDR sortiert ab sofort automatisch Warnmeldungen

Fehlalarme, Routine-Checks und Phishing-Verdacht: Microsoft Defender XDR sortiert diese Zeitfresser nun selbstständig aus. Das neue System zur Warnungsoptimierung ist seit 5. Februar aktiv und hält Analysten den Rücken für kritische Angriffe frei.

Kampf gegen die Alarmmüdigkeit

Administratoren sehen sich täglich mit einer Flut von Warnmeldungen konfrontiert. Die dadurch entstehende sogenannte "Alert Fatigue" birgt die Gefahr, dass wichtige Sicherheitsvorfälle übersehen werden oder das die Sicherheitsspezialisten durch Routinearbeiten abstumpfen. Um dem entgegenzuwirken, hat Microsoft Defender XDR neue Funktionen zur automatischen Triage eingeführt.

Nach einer Vorbereitungsphase ab dem 25. Januar 2026 sind die Regeln zur Warnungsoptimierung (Alert Tuning) seit dem 5. Februar 2026 aktiv.


Der Fokus liegt auf Warnungen mit geringem Schweregrad aus der Umgebung von Microsoft Defender for Office 365 (MDO). Ziel ist eine effizientere Ressourcennutzung: Routineentscheidungen sollen automatisiert werden, damit Sicherheitsanalysten sich auf komplexe Bedrohungen konzentrieren können. Das System bewertet dabei den Kontext jeder Meldung, bevor es eine Warnung schließt oder eskaliert.

Wie Microsoft erläutert, bildet die automatisierte Untersuchung und Reaktion (Automated Investigation and Response, AIR) die Grundlage der Neuerung. Das System analysiert Warnungen im Hintergrund und entscheidet selbstständig: Erfordert ein Fall manuelles Eingreifen, wird die Meldung mit dem Status "Neu" erneut geöffnet. Wird Harmlosigkeit oder erfolgreiche Bereinigung bestätigt, bleibt sie geschlossen.

Zum Start umfasst das Update zwölf vordefinierte Regeln. Sie decken Situationen ab, die bislang viele manuelle Eingriffe erforderten, aber nur geringen Sicherheitsgewinn brachten - etwa E-Mails, die irrtümlich als Phishing gemeldet wurden. Auch administrative Routinevorgänge werden automatisiert bearbeitet.

Zu den automatisierten Szenarien gehören:

Steuerung und mandantenfähige Verwaltung

Trotz Automatisierung behalten IT-Verantwortliche die Kontrolle. Die Funktion ist seit dem 5. Februar standardmäßig aktiv. In den Alert-Tuning-Einstellungen des Defender-Portals lassen sich alle Regeln jederzeit anpassen oder ausschalten. Teams können die Automatisierung schrittweise einführen oder für bestimmte Fälle manuelle Prüfungen beibehalten.

Das Update ist vor allem für Managed Service Provider (MSPs) und Großunternehmen relevant. Die Multi-Tenant-Unterstützung (MTO) ermöglicht, zentrale Konfigurationen festzulegen und auf alle verwalteten Umgebungen zu übertragen. Das reduziert den administrativen Aufwand und sorgt für einheitliche Sicherheitsstandards ohne separate Konfiguration.

Was haltet ihr von der Idee, dass Microsoft Warnungen vorsortiert? Schreibt uns eure Meinung in die Kommentare!


Siehe auch: