Microsoft führt Microsoft Sentinel und Defender XDR im Microsoft Defender-Portal enger zusammen. Für bestehende Sentinel-Umgebungen ist das nicht nur eine neue Oberfläche: Microsoft nennt eine klare Frist. Nach dem 31. März 2027 wird Microsoft Sentinel im Azure-Portal nicht mehr unterstützt und ist nur noch im Defender-Portal verfügbar. Für kleinere IT-Teams ist der Termin wichtig, weil Berechtigungen, Navigation, Connector-Verhalten und Arbeitsabläufe vor dem Stichtag geprüft werden sollten. Wer Sentinel heute für Alarmierung, Hunting oder Playbooks nutzt, sollte die Umstellung deshalb nicht als kosmetisches Portalthema behandeln.
Was Microsoft jetzt vorgibt
Microsoft Learn beschreibt Sentinel im Defender-Portal als allgemein verfügbar. Die Umgebung kann laut Microsoft mit Defender XDR oder eigenständig genutzt werden; ein E5-Abonnement ist dafür nicht zwingend Voraussetzung. Gleichzeitig verschiebt Microsoft die langfristige Bedienung in das Defender-Portal. Nach dem 31. März 2027 werden Kunden, die Sentinel noch im Azure-Portal verwenden, zum Defender-Portal umgeleitet. Die Kernaussage ist damit eindeutig belegt: Das Azure-Portal bleibt nicht der dauerhafte Arbeitsort für Sentinel. Für Bestandskunden ist das besonders relevant, weil die technische Sentinel-Funktion nicht verschwindet, sich aber der tägliche Arbeitskontext ändert.
Warum das für KMU relevant ist
Viele Unternehmen mit 10 bis 250 Arbeitsplätzen betreiben kein eigenes SOC, nutzen aber einzelne Sentinel-Funktionen oder lassen sie betreuen. Gerade dort hängen Abläufe oft an wenigen Personen: Wer sieht Incidents? Welche Playbooks laufen automatisch? Wo werden Defender- und Sentinel-Alarme zusammengeführt? Das Defender-Portal bündelt SIEM, SOAR, XDR, Exposure Management, Cloud-Sicherheit, Threat Intelligence und Security Copilot in einer Oberfläche. Das kann Arbeit vereinfachen, verlangt aber eine saubere Vorbereitung, damit Berechtigungen und Routinen nicht erst am Stichtag auffallen. Wenn ein Dienstleister beteiligt ist, gehört außerdem geklärt, wer die Umstellung testet, dokumentiert und später den produktiven Wechsel freigibt.
Was sich operativ ändert
- Incidents aus Sentinel und Defender erscheinen in einer gemeinsamen Incident-Ansicht.
- Hunting und Analyse verschieben sich in die Defender-Navigation und verwenden teils neue Einstiegspunkte.
- Defender-Signale werden im einheitlichen Modell stärker korreliert.
- Einige Connector- und Alert-Routings ändern sich nach dem Onboarding zum Defender-Portal.
Microsoft beschreibt außerdem, dass bestehende Nicht-Microsoft-Connectoren weiterlaufen, während Alert-Ingestion für Microsoft-Sicherheitsprodukte über den Defender-XDR-Connector konsolidiert wird. In Multi-Workspace-Umgebungen kann das verhindern, dass tenantweite Alerts doppelt in mehreren Workspaces landen. Genau solche Details sollten vorab getestet werden.
Frist und empfohlene Reihenfolge
Der verbindliche Termin ist der 31. März 2027. Microsoft empfiehlt, den Wechsel jetzt zu planen, die Voraussetzungen zu prüfen und Workspaces kontrolliert in das Defender-Portal zu onboarden. Für kleine Teams ist ein früher Pilot sinnvoller als eine späte Massenumstellung. Wichtig ist: Microsoft nennt den Termin als Support-Ende für Sentinel im Azure-Portal; der Beitrag sollte daher keine weichere Formulierung wie „kann irgendwann umziehen“ verwenden. Ein realistischer Zeitplan lässt zunächst einen Test-Workspace folgen, danach die Klärung von Rollen und Connectoren und erst zum Schluss den produktiven Wechsel.
Konkrete nächste Schritte
- Inventarisieren Sie alle Sentinel-Workspaces, Analytics Rules, Automation Rules, Playbooks, Watchlists und Datenconnectoren.
- Prüfen Sie Rollen und Berechtigungen für Sentinel und Microsoft Defender, insbesondere bei mehreren Tenants oder Dienstleistern.
- Testen Sie einen nichtkritischen Workspace im Defender-Portal und dokumentieren Sie neue Navigationswege für Incidents, Hunting und Connectoren.
- Vergleichen Sie Alert-Routing und Incident-Erzeugung vor und nach dem Onboarding, damit keine Doppelmeldungen oder Sichtbarkeitslücken entstehen.
- Planen Sie die Umstellung als Teil eines Microsoft Security Assessments, wenn Sentinel und Defender bereits produktiv zusammenarbeiten.
Die Frist liegt zwar erst 2027, aber die Vorarbeit betrifft produktive Sicherheitsprozesse. Besonders kritisch sind benutzerdefinierte Analytics Rules, Playbooks mit Azure- oder Drittanbieter-Abhängigkeiten, Multi-Workspace-Betrieb und Berechtigungen für externe Administratoren im Tagesbetrieb. Ein reiner Screenshot-Vergleich reicht nicht aus. Entscheidend ist, ob ein Analyst nach dem Wechsel denselben Vorfall vollständig bearbeiten kann: Alert öffnen, Entitäten prüfen, Hunting starten, Playbook-Ergebnis sehen und Entscheidung dokumentieren.
Offizielle Microsoft-Quellen
- Microsoft Learn: Microsoft Sentinel in the Microsoft Defender portal
- Microsoft Learn: Transition your Microsoft Sentinel environment to the Defender portal
- Microsoft Learn: Unified security operations in the Microsoft Defender portal
Wenn Sie Sentinel, Defender XDR und Microsoft 365-Sicherheitsfunktionen bereits gemeinsam nutzen, prüfen wir die Umstellung strukturiert: Berechtigungen, Connectoren, Incident-Fluss und offene Risiken. Sprechen Sie uns an, bevor die Portalumstellung zum Helpdesk-Thema wird.
Was bedeutet das für Ihre Umgebung?
Ordnen Sie das Thema im Kontext Ihrer Microsoft-365-Umgebung ein und legen Sie einen sinnvollen nächsten Schritt fest.
Sie sprechen direkt mit Sebastian Kerssen – seit 2014 im Microsoft-Umfeld, mit persönlicher Beratung und direktem Ansprechpartner.
