Microsoft hat am 23. September 2026 den Integrated Security Operations Center (ISOC) in Microsoft Defender als Public Preview vorgestellt. Für kleinere und mittlere Microsoft-365-Umgebungen ist das kein Grund für eine Lizenzentscheidung, aber ein konkreter Betriebsanlass: Wer Defender-Signale, Incidents, Automatisierung und Berichte heute getrennt behandelt, sollte prüfen, welche neuen Funktionen im Defender-Portal sichtbar werden und welche Vorarbeit nötig ist, bevor zusätzliche Datenquellen oder Workspaces genutzt werden.
Was Microsoft angekündigt hat
Microsoft beschreibt ISOC als Erweiterung im Microsoft Defender Portal, die XDR, SIEM-Funktionen, Threat Intelligence, Automation und KI zusammenführt. Laut Microsoft erhalten berechtigte Kunden im Preview-Abschnitt 30 Tage eingeschlossene Aufbewahrung für Defender-Daten. Die Ankündigung nennt außerdem Case Management, Workbooks und Playbook-Erzeugung in natürlicher Sprache als Funktionen, die direkt im Defender Portal starten können.
Wichtig ist die Abgrenzung: Microsoft nennt ISOC kein neues eigenständiges Produkt. Es ist eine Vorschau-Funktion innerhalb von Microsoft Defender. Bestehende Microsoft-Sentinel-Umgebungen sollen laut Microsoft in dieser Preview-Phase weiter genutzt werden; eine produktive Sentinel-Workspace-Verbindung sollte nicht getrennt werden, nur um für ISOC zu qualifizieren.
Warum das für KMU relevant ist
Viele Unternehmen mit 10 bis 250 Arbeitsplätzen haben kein dauerhaft besetztes Security Operations Center. Trotzdem müssen Alerts, Incidents, Nachweise und Reaktionen nachvollziehbar bleiben. Genau hier kann die neue Bündelung im Defender Portal relevant werden: weniger Werkzeugwechsel, klarere Zuständigkeiten und ein gemeinsamer Arbeitsbereich für Untersuchung, Aufgaben und Automatisierung.
Case Management kann Incident-Kontext, Aufgaben, Kommentare und Status in einem Arbeitsobjekt bündeln. Workbooks machen Kennzahlen zu Bedrohungen, Trends und Bearbeitung sichtbar. Natürliche Sprache für Playbooks kann einfache Automatisierung schneller entwerfen helfen. Zusätzliche Datenquellen brauchen laut Microsoft dagegen einen ISOC Workspace, also eine bewusste Entscheidung statt eines beiläufigen Klicks. Gerade bei kleinen Teams verhindert diese Vorprüfung, dass eine Preview zwar sichtbar wird, aber ohne klare Zuständigkeit betrieben wird.
Fristen und Preview-Daten
Microsoft nennt drei konkrete Daten. Die Public Preview begann am 23. September 2026. Ab 1. Oktober 2026 können berechtigte Kunden laut Ankündigung zusätzliche Sichtbarkeit über mehr als 500 Connectoren mit einem Pay-as-you-go-Ingestion-Meter nutzen; regionale Preise und Bedingungen können abweichen. Ab 15. November 2026 soll die Aufbewahrung für berechtigte Kunden von 30 auf 90 Tage erweitert werden. Bestehende Sentinel-Kunden sollen ab diesem Datum außerdem die Wahl erhalten, zu ISOC zu wechseln, wenn die jeweiligen Voraussetzungen erfüllt sind.
Für ReByteIT-Ratgeber zählt daran nicht die Lizenzfrage, sondern die Betriebsfrage: Welche Daten liegen heute schon in Microsoft Defender, welche Workflows sind dokumentiert und welche zusätzlichen Quellen wären fachlich wirklich nötig?
Was vor der Nutzung geprüft werden sollte
Microsoft Learn beschreibt ISOC als Preview; Funktionen und Verfügbarkeit können sich ändern. Außerdem unterscheidet Microsoft zwischen Funktionen ohne Workspace und Funktionen mit Workspace-Pflicht. Case Management, Workbooks, erweiterte Automatisierungsregeln und Playbook-Erzeugung sind in der Learn-Tabelle ohne ISOC Workspace aufgeführt. Für UEBA, Content Hub, CI/CD, Threat Intelligence sowie Azure- und Drittanbieter-Sicherheitsdaten ist dagegen ein Workspace erforderlich.
- Prüfen, ob die Umgebung im Defender Portal bereits ISOC-Hinweise oder neue Navigationspunkte zeigt.
- Bestehende Incident-Prozesse, Rollen und Eskalationen dokumentieren, bevor Case-Felder angepasst werden.
- Keine produktive Sentinel-Workspace-Verbindung entfernen, nur um eine Preview-Funktion zu testen.
- Vor zusätzlicher Datenaufnahme klären, welche Quellen einen echten Untersuchungsnutzen bringen.
- Aufbewahrung, Kostenkontrolle und Verantwortlichkeiten für Connectoren vorab festlegen.
Konkrete nächste Schritte für Administratoren
Der erste Schritt ist eine Bestandsaufnahme, nicht die Aktivierung möglichst vieler Funktionen. In einer Microsoft-365-Beratung oder einem Microsoft Security Assessment lässt sich klären, welche Signale heute vorhanden sind und wo der Incident-Prozess Lücken hat.
- Defender-Incidents der letzten 30 Tage ansehen und wiederkehrende manuelle Schritte notieren.
- Zuständigkeiten für Case-Bearbeitung, Eskalation, Schließung und Nachweisführung festlegen.
- Für zusätzliche Datenquellen erst einen kleinen, begründeten Pilotumfang wählen.
- Nach der Preview-Aktivierung prüfen, ob Playbooks und Berichte weiterhin nachvollziehbar bleiben.
Offizielle Microsoft-Quellen
- Microsoft Defender XDR Blog: Integrated Security Operations Center in Microsoft Defender
- Microsoft Learn: Integrated Security Operations Center in Microsoft Defender
- Microsoft Security Blog: Reimagining the SOC for the agentic era
- Microsoft Defender XDR Blog: Reimagining Case Management in Microsoft Defender
Wenn Sie prüfen möchten, welche Defender-Signale, Incidents und Automatisierungen in Ihrer Umgebung sinnvoll zusammengeführt werden können, unterstützen wir bei einem fokussierten Review – sprechen Sie uns an.
Was bedeutet das für Ihre Umgebung?
Ordnen Sie das Thema im Kontext Ihrer Microsoft-365-Umgebung ein und legen Sie einen sinnvollen nächsten Schritt fest.
Sie sprechen direkt mit Sebastian Kerssen – seit 2014 im Microsoft-Umfeld, mit persönlicher Beratung und direktem Ansprechpartner.
