Microsoft hat die Darstellung von Microsoft Purview Data Loss Prevention in Microsoft Defender XDR geändert. DLP-Signale werden seit Anfang Oktober 2026 durch eine eingebaute Alert-Tuning-Regel als Behaviors behandelt. Dadurch erzeugen sie in Defender XDR standardmäßig keine Alerts mehr und erscheinen nicht mehr in der Incident Queue. Für kleine und mittlere Unternehmen ist das kein Grund zur Panik, aber ein klarer Anlass, DLP-Abläufe, Benachrichtigungen und Automatisierungen zu prüfen.
Was sich in Defender XDR geändert hat
Microsoft beschreibt die Änderung in der Learn-Dokumentation zur Untersuchung von DLP-Alerts in Defender XDR. Eine eingebaute Alert-Tuning-Regel setzt DLP-Signale als Behaviors statt als Alerts. Die Signale verschwinden damit nicht: Sie bleiben für Advanced Hunting in den Tabellen BehaviorInfo und BehaviorEntities verfügbar und DLP-Vorfälle können weiter im Microsoft-Purview-Portal bearbeitet werden.
Praktisch ändert sich vor allem der gewohnte Blick ins Security-Operations-Postfach. Wer bisher die Defender-XDR-Incident-Queue als zentrale Arbeitsliste genutzt hat, sieht DLP-Signale dort nicht mehr automatisch. Das kann gewollt sein, weil weniger Alert-Rauschen entsteht. Es kann aber auch Prozesse brechen, wenn ein Team aus der Queue Berichte, Tickets oder Eskalationen ableitet.
Warum das für KMU relevant ist
Viele KMU betreiben kein großes SOC, sondern arbeiten mit wenigen Administratoren, einem Dienstleister und klaren Routinen. Gerade deshalb ist eine stille Umstellung in der Anzeige wichtig. Wenn DLP-Regeln sensible Daten in E-Mail, SharePoint, OneDrive oder Endpunktaktivitäten erkennen, muss klar sein, wo diese Hinweise landen und wer sie prüft. Die Änderung betrifft damit nicht nur Data Loss Prevention, sondern auch die Zusammenarbeit zwischen Compliance, IT-Betrieb und Security.
- DLP-Signale erzeugen in Defender XDR standardmäßig keine Alerts mehr.
- Die Informationen bleiben in Advanced Hunting und im Purview-Portal verfügbar.
- Bestehende Routinen können betroffen sein, wenn sie auf der Defender-XDR-Incident-Queue beruhen.
Frist und Einordnung
Microsoft nennt in der öffentlich zugänglichen Learn-Seite keinen einzelnen Kalendertag, sondern beschreibt, dass die eingebaute DLP-Alert-Tuning-Regel Anfang Oktober 2026 wirksam wurde. Der praktische Prüfzeitpunkt ist deshalb jetzt: Unternehmen sollten nicht warten, bis ein Datenschutz- oder DLP-Vorfall zeigt, dass ein erwarteter Alert nicht mehr in der Queue auftaucht.
Wichtig ist auch die Abgrenzung: Microsoft schaltet DLP nicht ab. Die Änderung betrifft die Standarddarstellung in Defender XDR. Wer DLP-Signale weiterhin als Alerts in Defender XDR sehen möchte, kann laut Microsoft die Regel unter Settings > Microsoft Defender XDR > Alert tuning deaktivieren. Diese Entscheidung sollte dokumentiert werden, damit spätere Prüfungen die gewählte Betriebsweise nachvollziehen können.
Welche Abläufe geprüft werden sollten
Der sinnvollste Startpunkt ist eine kurze Bestandsaufnahme. Dabei geht es nicht um Lizenzberatung, sondern um technische Abhängigkeiten: Welche DLP-Policies sind aktiv, welche Alerts wurden bisher in Defender XDR bearbeitet, und welche nachgelagerten Schritte hängen an einem Alert?
- Prüfen Sie in Microsoft Defender, ob die Regel für DLP-Alert-Tuning aktiv ist.
- Vergleichen Sie die letzten DLP-Fälle in Defender XDR, Advanced Hunting und im Purview-Portal.
- Kontrollieren Sie Ticketing, E-Mail-Benachrichtigungen, SIEM-Weiterleitungen und Reports auf Queue-Abhängigkeiten.
- Entscheiden Sie, ob weniger Alerts gewünscht sind oder ob DLP weiterhin als Alert in Defender XDR erscheinen soll.
Microsoft verweist für die neue Darstellung auf die Tabellen BehaviorInfo und BehaviorEntities. Zusätzlich dokumentiert Microsoft Graph die Aktion /security/runHuntingQuery, mit der Hunting-Abfragen programmatisch ausgeführt werden können. Für Unternehmen mit eigenen Reports oder Automatisierungen ist das der technische Kern der Umstellung: Nicht nur die Oberfläche, sondern auch der Datenzugriff muss geprüft werden.
Eine Gegenprobe sollte mindestens bestätigen, dass relevante DLP-Ereignisse in Advanced Hunting auffindbar sind, dass Rollen und Berechtigungen für die zuständigen Personen passen und dass die Auswertung nicht fälschlich davon ausgeht, alle DLP-Hinweise müssten als klassische Alerts erscheinen. Wer Microsoft Purview und Defender gemeinsam betreibt, sollte diese Prüfung als Teil eines Microsoft Security Assessments dokumentieren.
Was Unternehmen jetzt tun sollten
Dokumentieren Sie zuerst, ob der neue Standard akzeptiert oder die Tuning-Regel deaktiviert wird. Testen Sie danach mindestens einen aktuellen DLP-Fall vom Purview-Portal bis Advanced Hunting, passen Sie Playbooks, Eskalationswege und Reports an die gewählte Darstellung an und informieren Sie Administratoren sowie Datenschutz-Ansprechpartner darüber, wo DLP-Signale künftig geprüft werden.
Offizielle Microsoft-Quellen
- Microsoft Learn: Investigate data loss alerts with Microsoft Defender XDR
- Microsoft Learn: BehaviorInfo table in advanced hunting
- Microsoft Learn: BehaviorEntities table in advanced hunting
- Microsoft Graph: security runHuntingQuery
Wenn Sie klären möchten, ob Ihre DLP-Alarme, Hunting-Abfragen und Eskalationswege nach der Änderung noch zusammenpassen, unterstützen wir Sie mit einer technischen Prüfung Ihrer Microsoft-365-Security-Konfiguration. Vereinbaren Sie dafür einen kurzen Termin.
Was bedeutet das für Ihre Umgebung?
Ordnen Sie das Thema im Kontext Ihrer Microsoft-365-Umgebung ein und legen Sie einen sinnvollen nächsten Schritt fest.
Sie sprechen direkt mit Sebastian Kerssen – seit 2014 im Microsoft-Umfeld, mit persönlicher Beratung und direktem Ansprechpartner.
