Microsoft hat die Defender-for-Endpoint-Dokumentation im September 2026 aktualisiert: Microsoft Defender for Endpoint unterstützt Linux-Desktops jetzt als Public Preview. Bisher wurde die Linux-Dokumentation vor allem aus Serverperspektive gelesen. Für Unternehmen mit 10 bis 250 Arbeitsplätzen ist die Änderung relevant, wenn Entwickler, Administratoren, Engineering-Teams oder einzelne Fachbereiche Linux-Workstations einsetzen. Diese Geräte liegen oft außerhalb klassischer Windows-Client-Standards, enthalten aber Quellcode, Zugangsdaten, SSH-Schlüssel, Browserprofile oder Administrationswerkzeuge. Gerade in KMU werden solche Systeme häufig pragmatisch betrieben: ein paar Entwicklernotebooks, ein Admin-Laptop, einzelne Labor- oder Analysegeräte. Sie sind selten die Mehrheit, können aber besonders weitreichende Zugriffe haben. Der praktische Schritt ist deshalb keine breite Sofortumstellung, sondern eine saubere Bestandsaufnahme: Welche Linux-Desktops gibt es, welche Distributionen sind unterstützt, wie werden Updates und Netzwerkzugriffe gesteuert, und wo passt ein kontrollierter Defender-Pilot in den bestehenden Betrieb?
Was Microsoft im September dokumentiert
In den Neuerungen zu Microsoft Defender for Endpoint nennt Microsoft für September 2026 die Erweiterung auf Linux-Desktops in Public Preview. Die Voraussetzungen-Seite bestätigt zusätzlich, dass alle Linux-Distributionen, die derzeit auf Servern unterstützt werden, auch auf Linux-Desktops unterstützt werden. Microsoft beschreibt außerdem, dass Bereitstellungsmethoden und Sicherheitsfunktionen zwischen Linux-Servern und Linux-Desktops konsistent bleiben. Das ist für kleine IT-Teams wichtig, weil kein vollständig eigener Desktop-Prozess entstehen muss und vorhandene Linux-Erfahrung wiederverwendet werden kann. Gleichzeitig bleibt es eine Preview: Rollout, Supportpfad und Betrieb sollten daher bewusst als Pilot geplant werden, nicht als ungeprüfte Massenverteilung.
Welche Geräte in den Blick gehören
Der neue Hinweis betrifft nicht jeden Arbeitsplatz gleichermaßen. ReByteIT sollte daraus keinen Linux-Schwerpunkt machen, aber für Bestandskunden mit gemischten Umgebungen ist die Funktion ein sinnvoller Prüfpunkt in einer Microsoft-Defender-Bestandsaufnahme. Microsoft erklärt, dass Defender for Endpoint Linux-Geräte anhand mehrerer System- und Umgebungsattribute als Server oder Workstation klassifiziert. Wenn die Signale nicht eindeutig auf Workstation zeigen, wird das Gerät standardmäßig als Server klassifiziert. Genau deshalb sollten IT-Teams nicht nur nach Hostnamen suchen, sondern reale Nutzung, Geräteklasse, Besitzer, Risikoprofil und Onboarding-Ziel vergleichen.
- Linux-Notebooks und Workstations von Entwicklern, Administratoren und technischen Teams erfassen.
- Distribution, Architektur, Kernelstand, Gerätezweck und vorhandene Sicherheitslösung dokumentieren.
- Prüfen, ob Geräte im Defender-Portal erwartungsgemäß als Workstation oder Server erscheinen.
- Unklare Geräte vor einem Rollout separat testen, statt sie still in eine Standardgruppe aufzunehmen.
Voraussetzungen und Grenzen
Microsoft nennt für Linux-Desktops dieselbe unterstützte Distributionsbasis wie für Server, darunter unter anderem Ubuntu LTS, Debian, Red Hat Enterprise Linux, Fedora, SUSE, Oracle Linux, Rocky Linux und AlmaLinux in bestimmten Versionen. Als Mindestwerte dokumentiert Microsoft eine CPU, mindestens 2 GB freien Speicherplatz und mindestens 1 GB RAM; leistungsintensive Workloads können mehr benötigen. Für die Geräteisolation müssen iptables beziehungsweise ip6tables oder die nft-Varianten verfügbar sein. Wichtig ist auch die Netzwerkanbindung: Defender for Endpoint auf Linux unterstützt laut Microsoft keine PAC-, WPAD- oder authentifizierten Proxys und keine SSL-Inspection. Unternehmen müssen deshalb prüfen, ob Firewall- und Proxyregeln direkte Defender-Konnektivität zulassen und ob Ausnahmen zentral dokumentiert sind.
Fristen und Supporthinweise
Für die Linux-Desktop-Preview nennt Microsoft kein Enddatum und keine Abschaltfrist. Eine konkrete Frist steht aber in derselben Voraussetzungen-Dokumentation: Support für Microsoft Defender for Endpoint auf Amazon Linux 2 mit ARM64-Architektur endet am 31. Oktober 2026; betroffen sind laut Microsoft nur AL2-ARM64-Systeme, nicht AMD64/x86_64. Für den Linux-Desktop-Pilot ist das ein guter Anlass, Architekturen und Distributionen sauber zu trennen und frühzeitig Ersatzpfade zu planen. Ebenfalls wichtig: Microsoft warnt, dass Defender for Endpoint auf Linux nicht parallel mit anderen Fanotify-basierten Sicherheitslösungen im Blocking Mode unterstützt wird, weil dies zu unvorhersehbarem Verhalten bis hin zu Systemhängern führen kann.
Konkrete nächste Schritte
- Linux-Desktops aus Inventar, Geräteverwaltung und Defender-Portal abgleichen.
- Unterstützte Distributionen und Sonderfälle wie Amazon Linux 2 ARM64 markieren.
- Proxy-, Firewall- und SSL-Inspection-Regeln vor dem Onboarding gegen Microsofts Netzwerkanforderungen prüfen.
- Pilotgruppe klein halten und bestehende Fanotify-basierte Sicherheitslösungen ausdrücklich prüfen.
- Ergebnisse in eine Microsoft-Security-Assessment– oder Defender-for-Endpoint-Betriebsprüfung übernehmen.
Offizielle Microsoft-Quellen
- Microsoft Learn: New features in Microsoft Defender for Endpoint
- Microsoft Learn: Prerequisites for Microsoft Defender for Endpoint on Linux
- Microsoft Learn: Deploy Microsoft Defender for Endpoint on Linux manually
Wenn Sie prüfen möchten, ob Linux-Desktops, Windows-Geräte und Server in Microsoft Defender konsistent abgesichert sind, unterstützen wir bei Inventar, Pilotplanung und Betriebskontrolle – sprechen Sie uns an.
Was bedeutet das für Ihre Umgebung?
Ordnen Sie das Thema im Kontext Ihrer Microsoft-365-Umgebung ein und legen Sie einen sinnvollen nächsten Schritt fest.
Sie sprechen direkt mit Sebastian Kerssen – seit 2014 im Microsoft-Umfeld, mit persönlicher Beratung und direktem Ansprechpartner.
