Microsoft hat die Microsoft-Defender-for-Endpoint-Neuerungen für September 2026 aktualisiert und dort neue Secure-Score-Empfehlungen für AI-Readiness aufgenommen. Gemeint ist kein KI-Projektplan, sondern eine konkrete Endpunkt-Baseline: Geräte sollen weniger Angriffsfläche bieten, vertrauenswürdig starten, kritische Windows-Sicherheitsfunktionen isolieren und lokale Administratorzugänge besser begrenzen. Für Unternehmen mit 10 bis 250 Arbeitsplätzen ist das praktisch, weil dieselben Geräte oft für Microsoft 365, Browserzugriffe, Fachanwendungen, Remote-Support und zunehmend auch KI-Werkzeuge genutzt werden. Wer Defender for Endpoint bereits einsetzt, kann die Empfehlungen im Defender-Portal filtern und daraus eine überprüfbare Arbeitsliste machen. Der Wert liegt vor allem darin, verstreute Einzelthemen wie BIOS-/UEFI-Status, Windows-Sicherheitsfunktionen und lokale Administratorrechte in einem gemeinsamen Bewertungsrahmen zu sehen.
Was Microsoft im September 2026 ergänzt hat
Microsoft Learn nennt die Empfehlungen als allgemein verfügbare Neuerung in Defender for Endpoint. Der Einstiegspunkt ist im Defender-Portal unter Exposure Management > Recommendations > Devices > Misconfigurations; dort lässt sich nach dem Tag AI-Readiness filtern. Microsoft beschreibt die Sammlung als geschichtete Sicherheitsbaseline gegen KI-beschleunigte Cyberangriffe. Sichtbar werden betroffene Geräte, exponierte kritische Geräte, Punkte im Device Secure Score und der mögliche Einfluss auf die Bewertung. Damit wird aus einer allgemeinen Härtungsforderung eine konkrete Liste mit betroffenen Endpunkten. Gerade für kleine Teams ist das der Unterschied zwischen „wir müssten Geräte härten“ und „diese Geräte verursachen aktuell den größten Secure-Score-Abzug“. Die Priorisierung bleibt trotzdem eine fachliche Entscheidung, weil einzelne Maßnahmen Wartungsfenster, Geräteersatz oder Abstimmung mit Fachbereichen auslösen können.
Welche Kontrollen neu im Fokus stehen
Die Sammlung umfasst laut Microsoft sechs Empfehlungen. Vier davon nennt die September-Aktualisierung ausdrücklich als neu. Sie richten sich nicht gegen ein einzelnes Schadprogramm, sondern gegen typische Voraussetzungen, die Angriffe auf Endpunkte erfolgreicher machen.
- TPM 2.0 soll eine hardwaregestützte Vertrauensbasis für Schlüssel, Geräteidentität und Startmessungen herstellen.
- VBS soll kritische Sicherheitsfunktionen getrennt vom Betriebssystemkernel isolieren.
- HVCI soll Kernelcode prüfen, nicht vertrauenswürdigen Code blockieren und ausführbaren Kernelspeicher schützen.
- Windows LAPS soll wiederverwendete lokale Administratorkennwörter verhindern und laterale Bewegung erschweren.
Warum das für KMU relevant ist
In kleineren Umgebungen fehlen oft getrennte Teams für Endpunktbetrieb, Identität und Security Monitoring. Genau deshalb ist eine priorisierte Sicht im Microsoft Defender for Endpoint hilfreich: Sie zeigt nicht nur, dass eine Einstellung fehlt, sondern ordnet sie in Secure Score, kritische Geräte und potenziellen Einfluss ein. Die Empfehlung ersetzt keine pauschale Lizenzberatung und sie ist keine Zusage, dass jede Maßnahme in jedem Mandanten verfügbar ist. Sie hilft aber, vorhandene Defender-Signale in eine Reihenfolge zu bringen, die ein kleines IT-Team abarbeiten kann. Das passt besonders zu Umgebungen, in denen Windows-Geräte über Jahre gewachsen sind: manche sind modern verwaltet, andere wurden nur übernommen, und lokale Administratorrechte wurden nie konsequent bereinigt.
Fristen, Grenzen und Einordnung
Microsoft nennt für die AI-Readiness-Empfehlungen keine Abschaltfrist. Es gibt also keinen Stichtag wie bei einer Abkündigung. Wichtig ist stattdessen die operative Grenze: Secure Score ist eine Priorisierungshilfe, kein automatischer Änderungsbefehl. Besonders bei HVCI, VBS und LAPS sollten Gerätegeneration, Treiber, Verwaltungsweg und Helpdesk-Folgen vor einer breiten Aktivierung geprüft werden. Microsoft führt außerdem zwei bereits vorhandene Empfehlungen in derselben Sammlung: unnötige Internetexponierung internetfähiger Geräte reduzieren und den Startprozess mit Secure Boot schützen. Das zeigt, dass AI-Readiness hier als Endpunkt-Härtung verstanden werden muss, nicht als Marketingbegriff. Ein sauberer Ablauf beginnt deshalb mit Sichtung, Dokumentation und Pilotierung, nicht mit einer sofortigen Mandantenänderung für alle Geräte.
Welche nächsten Schritte sinnvoll sind
- Im Defender-Portal nach dem Tag AI-Readiness filtern und die betroffenen Geräte exportierbar dokumentieren.
- Kritische Geräte zuerst prüfen: Geschäftsführung, Buchhaltung, Administration, Serverzugriffe und Geräte mit privilegierten Rollen.
- TPM 2.0, Secure Boot, VBS und HVCI zunächst auf Pilotgeräten testen, bevor Richtlinien breit ausgerollt werden.
- Windows LAPS mit Zuständigkeit, Wiederherstellungsweg und Protokollierung einführen, nicht nur als technische Einzelmaßnahme.
- Die Ergebnisse in ein Microsoft Security Assessment oder eine Defender-Härtung übernehmen und regelmäßig nachmessen.
Offizielle Microsoft-Quellen
- Microsoft Learn: New features in Microsoft Defender for Endpoint
- Microsoft Learn: Security recommendations
- Microsoft Learn: Exposure score in Defender Vulnerability Management
Wenn Sie klären möchten, welche AI-Readiness-Empfehlungen in Ihrer Umgebung wirklich zuerst kommen sollten, prüfen wir Defender for Endpoint, Gerätehärtung und Priorisierung im Rahmen eines Microsoft-Defender-Checks – sprechen Sie uns an.
Was bedeutet das für Ihre Umgebung?
Ordnen Sie das Thema im Kontext Ihrer Microsoft-365-Umgebung ein und legen Sie einen sinnvollen nächsten Schritt fest.
Sie sprechen direkt mit Sebastian Kerssen – seit 2014 im Microsoft-Umfeld, mit persönlicher Beratung und direktem Ansprechpartner.
