Incident-Benachrichtigungen in Defender XDR gezielt steuern (auch in kleinen IT Teams)

In vielen Microsoft-365-Tenants, die ich betreue, gibt es keine eigene SOC-Schicht (Security Operations Center), die rund um die Uhr auf neue Vorfälle reagiert. In kleineren Unternehmen und IT-Teams taucht deshalb regelmäßig dieselbe Frage auf: Wie sorgt man dafür, dass Incident-Benachrichtigungen aus Defender XDR wirklich bei den richtigen Leuten ankommen, ohne dass die Postfächer überlaufen und ohne böse Überraschung am Montagmorgen? Meist sind die E-Mail-Benachrichtigungen für Incidents im Defender-Portal der erste und wichtigste Baustein. Ein vollständiges SIEM ersetzen sie allerdings nicht.

Die E-Mail-Benachrichtigungen für Incidents lassen sich fein steuern

Im Defender-Portal unter System → Einstellungen → Microsoft Defender XDR → E-Mail-Benachrichtigungen → Incidents legt ihr sehr genau fest, welche Incident-Benachrichtigungen per E-Mail an wen gehen. Kleinen Teams rate ich, die Benachrichtigungen auf die relevanten Schweregrade (z. B. hoch und kritisch) und auf bestimmte Dienste wie Defender for Endpoint oder Defender for Office 365 zu begrenzen. Wer mehrere Gerätegruppen angelegt hat, etwa nach Abteilung oder Rolle, kann die Zuständigkeit noch feiner verteilen. Ein Incident, der nur das Labor-Notebook betrifft, landet dann nicht automatisch beim Geschäftsführer.

Oft übersehen wird, dass die Standardeinstellung nicht automatisch alle Admins über jeden neuen Vorfall informiert. Geht die Konfiguration deshalb bewusst durch und tragt mindestens eine Notfall-Mailadresse als Backup ein, die rund um die Uhr jemand im Blick hat. Details und Screenshots findet ihr in der Microsoft-Dokumentation.

Tipp aus der Praxis: Für Nachtschichten oder Wochenenden eignet sich eine Shared Mailbox oder ein gemeinsames Team-Postfach, dessen Zuständigkeit nach Bereitschaftsplan wechselt. Dann geht keine kritische Nachricht verloren, nur weil jemand im Urlaub ist oder schon Feierabend hat.

Tags und Filter bringen Ordnung in die Incident-Queue

Auch wenn die E-Mail-Benachrichtigungen gut eingerichtet sind, bleibt die Incident-Queue im Defender-Portal (unter Incidents & Alerts → Incidents) das eigentliche Dashboard für Security-Teams. In vielen Projekten haben sich Incident-Tags bewährt, etwa „extern gemeldet“, „in Untersuchung“ oder „False Positive“. Gesetzt werden sie direkt in der Detailansicht eines Incidents, und das Team sieht deutlich schneller, was Vorrang hat.

Ebenso nützlich ist die Filterfunktion der Queue. Wer nach Schweregrad, Status, Dienst oder Zuweisung filtert, hat die wichtigsten Vorfälle schnell vor sich. Das hilft besonders, wenn das Postfach nach dem Urlaub wieder einmal überquillt. Kleine Teams sollten außerdem klar regeln, wer wann welche Incidents übernimmt, bis wann eine Reaktion erfolgen muss und wie eskaliert wird.

Automatische Reaktionen überbrücken Nächte, Wochenenden und Urlaubszeiten

Nicht jede Organisation kann oder will eine 24/7-Überwachung aufbauen. Nachts und am Wochenende breiten sich Angriffe aber mitunter sehr schnell aus. Zumindest für kritische Incidents lohnt sich deshalb eine Notfallbereitschaft, zum Beispiel ein Bereitschaftsdienst oder eine Rufbereitschaft, die bei bestimmten Incident-Benachrichtigungen automatisch alarmiert wird.

In der Praxis setzen viele Teams auf Automatisierung. Defender XDR kann automatische Reaktionen direkt auslösen, sobald ein Incident erkannt wird, etwa ein Endgerät isolieren oder schädliche Anhänge blockieren (in Defender for Office 365). Für einfache Abläufe leitet eine Logic App im Hintergrund Benachrichtigungen zusätzlich an Teams-Kanäle oder per SMS weiter. Automatische Aktionen und Playbooks konfiguriert ihr ebenfalls im Defender-Portal beim jeweiligen Dienst.

Ab einem gewissen Punkt lohnen sich Defender Experts oder ein MSSP

Irgendwann stoßen kleine Teams trotz guter Tools und Prozesse an ihre Grenzen, spätestens wenn Angriffe komplexer werden oder rund um die Uhr jemand mit echter SOC-Erfahrung gebraucht wird. Werden Incidents regelmäßig zu spät analysiert, wiederholen sich Vorfälle oder nimmt die E-Mail-Flut überhand, ist es Zeit, über Defender Experts oder einen spezialisierten Managed Security Service Provider (MSSP) nachzudenken. Defender Experts for XDR oder M365 bietet (laut aktueller Ankündigung) echte 24/7-Überwachung und proaktive Analysen. Für viele kleinere Unternehmen ist das realistisch betrachtet günstiger als ein eigenes SOC. Ein MSSP kann Incident-Benachrichtigungen empfangen und gleichzeitig aktiv in den Response-Prozess eingebunden werden. Das bietet sich vor allem an, wenn klare SLAs und Eskalationswege verlangt sind.

Mehr zu Incident-Management und Automatisierung in Defender XDR lest ihr im Artikel Erste Schritte mit Microsoft Defender XDR: Überblick, Incident-Queue und Hunting.

Gehörst du oder dein Unternehmen zu denen, die ein externes SOC nutzen möchten? Dann kann ich dir Tipps geben - nutze das Kontaktformular und schreibe mir eine Nachricht. Dann kann ich dir ein z.B. SOC auf Geheimdienstniveau empfehlen, das sich auch ein KMU leisten kann.

Benachrichtigungen und Incident-Workflows greifen im Alltag ineinander

Für kleine Teams ist es wichtig, dass Incident-Benachrichtigungen nicht für sich stehen bleiben, sondern direkt in die Bearbeitung und Dokumentation im Defender-Portal übergehen. Die folgende Übersicht zeigt, wie E-Mail-Benachrichtigungen, Incident-Queue und Reaktion im Alltag zusammenspielen:

flowchart TD
    Detection["Incident erkannt"] --> EmailNotify["E-Mail-Benachrichtigung"]
    EmailNotify --> AssignTeam["Zuständiges Team reagiert"]
    AssignTeam --> IncidentQueue["Incident-Queue filtern"]
    IncidentQueue --> TagAssign["Tag/Status setzen"]
    TagAssign --> RespondAction["Reaktion (z.B. Gerät isolieren)"]
    RespondAction --> Document["Dokumentation im Portal"]

Abbildung: Von der E-Mail-Benachrichtigung bis zur Bearbeitung des Incidents im Defender-Portal

Wenige, sauber eingerichtete Benachrichtigungen tragen das Monitoring kleiner Teams

Incident-Benachrichtigungen aus Defender XDR lösen nicht jedes Problem. Sauber eingerichtet und in einen klaren Reaktionsprozess eingebettet, bilden sie aber das Rückgrat des Security-Monitorings in kleinen Teams. Wer mit Schweregraden, Gerätegruppen und Tags arbeitet, schafft Ordnung und behält den Überblick. Was über die eigene Kapazität hinausgeht, decken Defender Experts oder ein MSSP oft realistischer ab, als wenn man versucht, nachts und am Wochenende alles selbst zu stemmen. Schwierig bleibt, die Übersicht zu bewahren, ohne in der Masse an Benachrichtigungen unterzugehen. Weitere Details und Konfigurationsanleitungen findet ihr in der offiziellen Microsoft-Dokumentation.