Microsoft stellt im Defender-Blog vom 22. Oktober 2026 eine neue Threat-Intelligence-Oberfläche in Microsoft Defender vor. Sie verbindet eine organisationsbezogene Übersicht mit einem gemeinsamen Arbeitsbereich für die Recherche. Für Unternehmen mit 10 bis 250 Arbeitsplätzen, die Defender bereits zur Untersuchung verdächtiger Aktivitäten einsetzen, ist das ein konkreter Betriebsanlass: Finden Verantwortliche ihre Berichte wieder, können sie Hinweise einordnen und gelangen sie zu den passenden Untersuchungsdetails? Entscheidend ist nicht die Anzahl gelesener Bedrohungsmeldungen, sondern ein nachvollziehbarer Weg vom Hinweis zur begründeten nächsten Maßnahme.
Was sich bei der täglichen Recherche ändert
Nach Microsoft ersetzen Overview und Intel explorer die bisherigen Threat-Intelligence-Seiten, darunter Threat Analytics und Intel Management. Overview stellt relevante Bedrohungen, mögliche Auswirkungen und die Exposition der eigenen Organisation zusammen. Branchen und Regionen helfen, den Blick einzugrenzen. Intel explorer dient anschließend dazu, Informationen zu suchen, zu filtern und Zusammenhänge zu untersuchen. Bestehende Microsoft-Berichte bleiben laut Blog vollständig verfügbar; vorhandene Bedrohungsinformationen werden übernommen. Die Umstellung ist damit kein Grund, aus einer anderen Navigation auf verlorene Erkenntnisse zu schließen. Wer Microsoft Defender betreibt, sollte jedoch die tatsächlich verwendeten Recherchewege im eigenen Tenant überprüfen.
Welche Begriffe und Ansichten Teams wiederfinden müssen
Die Microsoft-Dokumentation beschreibt geänderte Bezeichnungen für bisherige Threat-Analytics-Profile. Das ist vor allem wichtig, wenn interne Arbeitsanweisungen noch die alten Namen verwenden. Auch die Beziehungen zwischen Objekten stehen nicht mehr auf einer separaten Registerkarte, sondern direkt in den Entitätsdetails. Prüfen Sie insbesondere diese Zuordnungen:
- Aus dem bisherigen Typ „Technique“ wird „Attack patterns“.
- „Actor“ heißt nun „Threat actor“, „Activity“ wird zu „Campaign“.
- Die bisherigen Typen „OSINT“ und „Core threat“ erscheinen als „Report“; „Tool“ und „Vulnerability“ behalten ihre Namen.
- Beziehungen suchen Sie innerhalb der Objektdetails statt auf dem früheren separaten Relationships-Tab.
Fristen und Verfügbarkeit richtig einordnen
Der Blog nennt keine allgemeine Umstellungsfrist für diese neue Oberfläche. Das Veröffentlichungsdatum ist daher kein Abschalttermin und keine Verpflichtung, bis zu einem erfundenen Stichtag alle Abläufe zu ändern. Die Learn-Anleitung nennt separat den 1. August 2026 als bereits vergangenen Ruhestandstermin des eigenständigen Threat-Intelligence-Portals und des alten Intel Explorer. Diesen früheren Termin behandeln wir nicht als neue Oktober-Frist.
Für die aktuelle Prüfung zählen der vorhandene Tenantzugang und die tatsächlich sichtbaren Funktionen. Das Erstellen und Verwalten von Sentinel-Bedrohungsinformationen benötigt laut Microsoft mindestens die Rolle Microsoft Sentinel Contributor. Import und Export setzen außerdem die entsprechende Threat-Intelligence-Lösung und aktivierte Konnektoren voraus. Eine reine Suchübung ist deshalb von administrativen Änderungen zu trennen. Daraus folgt weder eine pauschale Berechtigungsausweitung noch eine Lizenzempfehlung.
Vom Suchtreffer zur begründeten Untersuchung
Intel explorer unterstützt Stichwortsuche über die verfügbaren Informationstypen und Quellen. Als Ausgangspunkt nennt Microsoft beispielsweise einen Akteursnamen, eine CVE, eine Domain oder eine IP-Adresse. Filter für Branche, Geografie und Quelle grenzen die Ergebnisse ein. Von einem Objekt führen verfügbare Beziehungen zu weiteren Informationen; bei einem relevanten Indikator kann die Untersuchung auf der entsprechenden Defender-Entitätsseite weitergehen. Welche Detailinformationen vorliegen, hängt vom Objekttyp ab.
Wichtig ist Microsofts ausdrücklicher Sicherheitshinweis: Verdächtige Domains und IP-Adressen dürfen im Intel explorer recherchiert werden, sollen aber nicht direkt im Webbrowser geöffnet werden. Die Untersuchung eines Hinweises ist kein Auftrag zum Besuch der zugehörigen Infrastruktur. Für die organisatorische Einbettung empfehlen wir, Recherchewege gemeinsam mit der Microsoft-365-Administration festzuhalten. Diese Dokumentation ist eine ReByteIT-Empfehlung, keine zusätzliche Microsoft-Vorgabe.
Konkrete nächste Schritte für kleine IT-Teams
Ein begrenzter Funktionstest genügt als Einstieg; verändern Sie dabei keine produktiven Indikatoren oder Datenverbindungen. Unsere empfohlene Reihenfolge orientiert sich an den dokumentierten Such- und Untersuchungsfunktionen:
- Im Defender-Portal unter Threat intelligence die Seiten Overview und Intel explorer mit dem vorgesehenen Arbeitskonto aufrufen.
- Einen bekannten Microsoft-Bericht sowie einen bereits dokumentierten Untersuchungsbegriff suchen und passende Branchen-, Regions- und Quellenfilter ausprobieren.
- Die umbenannten Profile und ihre Beziehungen prüfen; veraltete Menüpfade in internen Anleitungen gezielt berichtigen.
- Bei einem geeigneten Indikator den Übergang zu Defender-Entitätsdetails nachvollziehen, ohne die verdächtige Adresse im Browser zu öffnen.
- Benötigte Lese- und Verwaltungsaufgaben auseinanderhalten und fehlenden Zugriff zunächst gegen die dokumentierten Voraussetzungen prüfen.
Offizielle Microsoft-Quellen
- Microsoft Defender Blog: neue Threat-Intelligence-Oberfläche vom 22. Oktober 2026
- Microsoft Learn: Änderungen an Navigation, Profiltypen und Beziehungen
- Microsoft Learn: Intel explorer verwenden und Voraussetzungen prüfen
Im Microsoft Security Assessment unterstützen wir die technische Prüfung Ihrer Defender-Abläufe und Zugriffswege. Grundlage sind überprüfbare Funktionen und dokumentierte Zuständigkeiten, nicht die pauschale Einführung zusätzlicher Werkzeuge.
Was bedeutet das für Ihre Umgebung?
Ordnen Sie das Thema im Kontext Ihrer Microsoft-365-Umgebung ein und legen Sie einen sinnvollen nächsten Schritt fest.
Sie sprechen direkt mit Sebastian Kerssen – seit 2014 im Microsoft-Umfeld, mit persönlicher Beratung und direktem Ansprechpartner.
