Microsoft hat die „What’s new“-Seite für Microsoft Defender for Endpoint Anfang September 2026 um zwei Preview-Hinweise ergänzt, die für kleinere IT-Teams vor allem dann relevant sind, wenn Linux-Server oder Entwicklergeräte mit WSL genutzt werden. Neu genannt werden ein Memory Scan für Linux und Plug-in-Unterstützung für WSL-Container. Beides ist kein Grund für hektische Rollouts, aber ein guter Anlass, die eigene Defender-Abdeckung in Microsoft Defender jetzt gezielt bewusst zu prüfen.
Was Microsoft im September 2026 nennt
Microsoft führt auf Microsoft Learn für September 2026 zwei Defender-for-Endpoint-Funktionen im Preview-Status auf. Der Memory Scan für Linux soll Prozessspeicher auf bekannte bösartige Verhaltensweisen und speicherresidente Bedrohungen untersuchen. Die WSL-Container-Unterstützung erweitert das Defender-for-Endpoint-Plug-in für Windows Subsystem for Linux auf WSLc-Workloads.
- Memory Scan ist laut Microsoft eine Preview-Funktion für Defender for Endpoint auf Linux.
- Die Funktion ist ab Defender-Version
101.26071.0005im Insiders-slow-Kanal verfügbar. - WSLc-Unterstützung ist ebenfalls Public Preview und benötigt eine Preview-Version des WSL-Plug-ins.
- Das WSL-Plug-in setzt Defender for Endpoint Plan 2 und ein onboarded Windows-Gerät voraus.
Welche Termine und Versionen gelten
Die Microsoft-Learn-Seite „New features in Microsoft Defender for Endpoint“ ist zuletzt am 3. September 2026 aktualisiert worden und ordnet beide Funktionen dem Monat September 2026 zu. Einen einzelnen Veröffentlichungstag für die Funktionen nennt die Seite nicht. Deshalb sollte auch die interne Planung nicht mit einem festen Tagesdatum arbeiten, sondern mit dem Stand „September 2026″ und den genannten Versionsvoraussetzungen.
Für Linux ist vor allem die Version entscheidend: Memory Scan ist erst ab 101.26071.0005 im Insiders-slow-Kanal dokumentiert. Für WSLc nennt Microsoft WSL-Version 2.9.5 oder höher sowie eine WSLc-kompatible Preview-Version des Defender-Plug-ins. Das normale WSL-2-Plug-in wird mit Installer Defenderplugin-x64-1.26.813.1.msi beschrieben, die WSLc-Preview wird über ein Registrierungsformular bezogen.
Warum Memory Scan auf Linux wichtig sein kann
Microsoft beschreibt Memory Scan als zusätzliche Schutzschicht gegen Angriffe, die im Prozessspeicher laufen und kaum Spuren auf dem Dateisystem hinterlassen. Gerade Linux-Server werden in kleinen und mittleren Unternehmen oft als Fachanwendungs-, Web- oder Infrastrukturserver betrieben. Dort fallen klassische Dateiscans allein nicht immer dort an, wo Angreifer Werkzeuge direkt im Speicher starten oder Code in laufende Prozesse einschleusen.
Die Wirkung hängt laut Microsoft von der übrigen Konfiguration ab: Mit Behavior Monitoring und Antivirus im Realtime-Modus entsteht Schutz, im Audit-Modus Erkennung ohne automatische Behebung, bei Passive oder On-demand bleibt EDR-Sichtbarkeit ohne AV-Scan. Das ist wichtig für Pilotphasen, weil produktive Linux-Systeme oft empfindlich auf zusätzliche Prüfungen reagieren. Microsoft weist ausdrücklich darauf hin, dass Advanced-Scan-Optionen die Leistung beeinflussen können und empfiehlt Standardwerte, sofern Microsoft Support nichts anderes rät.
Was WSL-Container an der Abdeckung ändern
Viele Entwicklerarbeitsplätze nutzen WSL 2, um Linux-Werkzeuge direkt auf Windows auszuführen. Microsoft beschreibt das Defender-for-Endpoint-Plug-in als Weg, WSL-Instanzen im Defender-Portal sichtbar zu machen. Mit der Public Preview für WSL-Container wird diese Sichtbarkeit auf WSLc-Workloads erweitert. Für Unternehmen bedeutet das: Linux-Aktivität auf Windows-Geräten muss nicht außerhalb der Endpoint-Sichtbarkeit bleiben.
Die Learn-Dokumentation nennt aber auch Grenzen. Das Plug-in liefert Sichtbarkeit in Events aus WSL; andere Funktionen wie Antimalware, Threat and Vulnerability Management und Response Commands stehen für das WSL-Logikgerät nicht zur Verfügung. Außerdem kann die Erkennung je Linux-Distribution variieren. Für einen Microsoft Security Assessment ist deshalb nicht nur die Installation interessant, sondern auch die Frage, welche Entwicklergeräte und Workloads tatsächlich von der Preview profitieren.
Konkrete nächste Schritte
- Inventarisieren Sie Linux-Server und Windows-Geräte mit WSL 2 oder WSL-Containern.
- Vergleichen Sie Defender-Version, Update-Kanal, WSL-Version und Plug-in-Version mit den Microsoft-Voraussetzungen.
- Testen Sie Memory Scan zuerst auf wenigen repräsentativen Linux-Systemen und beobachten Sie Leistung, Alerts und Betriebswirkung.
- Nutzen Sie für WSL das Microsoft-Healthcheck-Tool und prüfen Sie, ob die Instanzen im Defender-Portal erscheinen.
- Dokumentieren Sie Ausnahmen, nicht unterstützte Geräte und offene Preview-Abhängigkeiten, bevor Sie breiter ausrollen.
Offizielle Microsoft-Quellen
- Microsoft Learn: New features in Microsoft Defender for Endpoint
- Microsoft Learn: Configure Memory Scan scanning for Linux
- Microsoft Learn: Defender for Endpoint plug-in for WSL
Ob die Preview-Funktionen zu Ihrer Umgebung passen und wie sie ohne unnötige Betriebsrisiken getestet werden, klären wir im Rahmen eines Defender-Checks – sprechen Sie uns an.
Was bedeutet das für Ihre Umgebung?
Ordnen Sie das Thema im Kontext Ihrer Microsoft-365-Umgebung ein und legen Sie einen sinnvollen nächsten Schritt fest.
Sie sprechen direkt mit Sebastian Kerssen – seit 2014 im Microsoft-Umfeld, mit persönlicher Beratung und direktem Ansprechpartner.
