Microsoft hat die Dokumentation zu Microsoft Defender for Identity im September 2026 deutlich erweitert: Der Sensor v3.x kann nicht mehr nur auf Domain Controllern geplant werden, sondern auch auf weiteren Identitätsservern mit AD FS, AD CS und Microsoft Entra Connect. Zusätzlich beschreibt Microsoft einen Preview-Weg, um Domain Controller ohne vorheriges Defender-for-Endpoint-Onboarding mit dem v3.x-Sensor auszustatten. Für KMU mit hybrider Identität ist das ein guter Anlass, die eigene Sensorabdeckung zu prüfen, bevor blinde Flecken in Active Directory, Zertifikatsdiensten oder Entra Connect bestehen bleiben.
Was Microsoft im September geändert hat
Die Microsoft-Learn-Seite „What’s new – Microsoft Defender for Identity“ nennt drei Neuerungen für September 2026: Sensor-v3.x-Onboarding ohne Microsoft Defender for Endpoint Deployment als Preview, Sensor-v3.x-Unterstützung für zusätzliche Identitätsserverrollen und eine zusammengeführte Registerkarte „Sensor management“ in den lokalen Identitätseinstellungen. Die begleitenden How-to-Seiten wurden am 9. und 10. September aktualisiert und beschreiben Aktivierung, Voraussetzungen und Verwaltung.
Der praktische Kern ist klar: Defender for Identity soll mehr identitätskritische Systeme direkt sichtbar machen. Domain Controller bleiben zentral, aber AD FS, AD CS und Microsoft Entra ID-Connect-Server sind ebenfalls sicherheitsrelevant, weil sie Anmeldung, Zertifikate und Synchronisation beeinflussen.
Welche Server jetzt in den Blick gehören
Microsoft nennt als unterstützte Servertypen für Sensor v3.x Domain Controller sowie Server, die nicht Domain Controller sind und eine der Rollen Active Directory Federation Services, Active Directory Certificate Services oder Microsoft Entra Connect ausführen. Für diese zusätzlichen Rollen ist die Aktivierung laut Microsoft Preview; manuelle Aktivierung und automatische Windows-Ereignisauditierung werden unterstützt, automatische Aktivierung und Migration jedoch nicht.
- Domain Controller bleiben die Mindestbasis; wer v3.x nur auf AD FS, AD CS oder Entra Connect installiert, braucht laut Microsoft zusätzlich mindestens einen v3.x-Sensor auf einem Domain Controller.
- Geeignete Server müssen Windows Server 2019 oder neuer ausführen und das kumulative Update Juli 2026 oder neuer installiert haben.
- Auf Servern mit bereits installiertem Sensor v2.x ist keine parallele v3.x-Aktivierung vorgesehen; die Migrationsfähigkeit ist gesondert zu prüfen.
- Für Domain Controller gibt es zusätzlich das Preview-Onboarding ohne vorheriges Defender-for-Endpoint-Deployment.
Fristen und Voraussetzungen ohne Übertreibung
Microsoft nennt für diese September-Neuerung keine harte Abschaltfrist. Trotzdem gibt es konkrete Voraussetzungen, die vor einer Aktivierung geprüft werden müssen: Betriebssystemstand, Juli-2026-Update, Sensorbestand, Netzwerkverbindung zu den Defender-Endpunkten, Arbeitsspeicherzuteilung bei virtuellen Maschinen und passende Administratorrechte. Die Dokumentation weist außerdem auf Einschränkungen hin: Sensor v3.x unterstützt keine VPN-Integration, keine Syslog-Benachrichtigungen und hat Einschränkungen mit Azure ExpressRoute.
Für kleinere IT-Teams ist gerade das wichtig. Ein Sensor-Rollout ist kein reines „Weiter klicken“, sondern berührt Domain Controller, Zertifikatsdienste und Synchronisationsserver. Vorher sollte feststehen, welche Systeme produktiv sind, wo Wartungsfenster möglich sind und wer Gesundheitsmeldungen auswertet.
Was sich bei Konten und Updates ändert
Microsoft beschreibt für Sensor v3.x eine andere Betriebslogik als bei älteren Sensoren. Der v3.x-Sensor nutzt LocalSystem für das Lesen von Active-Directory-Daten und für Remediation-Aktionen. Directory Service Accounts oder gMSA-Konten werden von v3.x dafür nicht verwendet. In gemischten Umgebungen können alte DSA- oder gMSA-Konfigurationen aber weiterhin workspaceweit validiert werden und dadurch Gesundheitsmeldungen auslösen, solange v2.x-Sensoren sie noch benötigen.
Auch Updates laufen anders: Sensor v3.x wird als Komponente von Microsoft Defender for Endpoint über Windows Update ausgeliefert. Die verzögerte Sensoraktualisierung, die für v2.x-Sensoren dokumentiert ist, gilt nicht für v3.x. Das spricht dafür, Sensorversionen und Server-Patchprozesse gemeinsam zu betrachten.
Nächste Schritte für KMU
- Exportieren Sie die Sensorliste aus „Sensor management“ und markieren Sie Domain Controller, AD FS, AD CS und Entra-Connect-Server.
- Prüfen Sie je Server Windows-Version, Juli-2026-Update, Migrationsstatus, Sensorstatus, Service-Status und offene Health Issues.
- Testen Sie die Voraussetzungen mit dem von Microsoft genannten
Test-MdiReadiness.ps1-Skript, bevor produktive Identitätsserver aktiviert werden. - Aktivieren Sie automatische Sensor-v3.x-Aktivierung nur bewusst für geeignete Domain Controller; planen Sie zusätzliche Rollen separat.
- Halten Sie fest, wer Health Alerts bewertet und wie bei „Disconnected“, „Start failed“ oder „Not Configured“ reagiert wird.
Offizielle Microsoft-Quellen
- Microsoft Learn: What’s new – Microsoft Defender for Identity
- Microsoft Learn: Deploy the Microsoft Defender for Identity sensor v3.x
- Microsoft Learn: Activate the Microsoft Defender for Identity sensor v3.x
- Microsoft Learn: Manage and update Microsoft Defender for Identity sensors
Wenn Sie hybride Identitäten mit Microsoft Security Assessment oder Defender-Betrieb prüfen möchten, klären wir Sensorabdeckung, Rollen und Betriebsprozesse strukturiert – ohne daraus eine Lizenzberatung zu machen.
Was bedeutet das für Ihre Umgebung?
Ordnen Sie das Thema im Kontext Ihrer Microsoft-365-Umgebung ein und legen Sie einen sinnvollen nächsten Schritt fest.
Sie sprechen direkt mit Sebastian Kerssen – seit 2014 im Microsoft-Umfeld, mit persönlicher Beratung und direktem Ansprechpartner.
