Copilot for Security startet im April mit stundenweiser Abrechnung

Im Security-Umfeld drehte sich in den letzten Tagen vieles um die bevorstehende GA von Copilot for Security, in den Nachrichten ebenso wie in Gesprächen mit Security-Teams aus der Praxis. Ab 1. April 2024 ist das Produkt allgemein verfügbar, und Microsoft führt dafür ein stündliches Abrechnungsmodell ein. Das sorgt für reichlich Diskussionsstoff. Vor allem Organisationen, die schon mit Microsoft Defender XDR und Sentinel arbeiten, wollen wissen, was sich für sie konkret ändert und was beim Alten bleibt.

Microsoft rechnet Copilot for Security über Security Compute Units ab

Zunächst fällt auf, dass Microsoft bei Copilot for Security ausschließlich auf Verbrauch setzt. Security Compute Units (SCUs) werden stundenweise provisioniert und bezahlt. Bei vier US-Dollar pro SCU und Stunde sollte man vorher genau wissen, welchen Nutzen man sich erhofft und mit welchen Szenarien man sinnvollerweise einsteigt. Verständlicherweise möchten viele Unternehmen erst einmal klein anfangen, um den Mehrwert zu bewerten und die Kosten im Griff zu behalten. Die flexible Provisionierung erlaubt genau das. In Projekten erlebe ich häufig, dass Teams lieber mit minimalen Ressourcen starten und erst bei Bedarf aufstocken. Bei Copilot for Security ist dieses Vorgehen ausdrücklich vorgesehen. Wichtig ist nur, die tatsächliche Nutzung regelmäßig zu prüfen und entsprechend nachzusteuern.

Copilot for Security lohnt sich vor allem für SOCs mit Defender XDR und Sentinel

Den größten Nutzen sehe ich derzeit für Security Operations Center, die bereits intensiv mit Defender XDR und Sentinel arbeiten. Dort fügt sich Copilot for Security in vertraute Abläufe ein, und zwar über das eigenständige Portal ebenso wie direkt in den Oberflächen von Defender XDR, Sentinel, Intune, Entra und Purview. Analysen gehen schneller, weil Kontext und Ergebnisse sofort zur Hand sind. Mittelfristig könnten Promptbooks und Plugins viele Recherchen und Dokumentationen erleichtern, die heute noch meist von Hand erledigt werden. Wer dagegen noch keine durchgängigen Detection- und Response-Prozesse hat oder auf andere SIEM- und SOAR-Lösungen setzt, sollte von Copilot for Security allein keine Wunder erwarten. Wie gut die Antworten ausfallen, hängt unmittelbar von den zugrunde liegenden Daten und Use Cases ab. Analysten ersetzt das Werkzeug nicht, es gibt ihnen aber zusätzliche Möglichkeiten an die Hand.

Tipp aus der Praxis: Startet mit wenigen SCUs und messt regelmäßig, wie stark sie ausgelastet sind und welche Use Cases ihr tatsächlich nutzt. So habt ihr Kosten und Mehrwert von Copilot for Security am besten unter Kontrolle.

Entra-ID-Rollen und eigene Copilot-Rollen regeln den Zugriff

Spannend ist auch die Zugriffssteuerung. Berechtigungen regelt Copilot for Security sowohl über Entra-ID-Rollen als auch über eigene Copilot-Rollen wie Owner und Contributor, mit denen sich die Nutzung einzelner Ressourcen und Funktionen fein abstufen lässt. Bei sensiblen Security- und Audit-Daten ist das wichtig. In vielen Tenants, die ich betreue, sind Rollenzuweisung und Berechtigungskontrolle ohnehin ein Dauerthema. Mit Copilot for Security kommt eine weitere Ebene hinzu, die man sauber dokumentieren und überwachen sollte. Damit keine unnötigen Lücken entstehen, muss man außerdem im Blick behalten, wie sie mit den bestehenden Rollenmodellen zusammenspielt (z. B. in Defender XDR oder Sentinel).

Die KI kann nur mit den Daten arbeiten, die sie bekommt

Häufig unterschätzt wird die Frage, auf welchem Weg die Daten überhaupt zu Copilot for Security gelangen und was mit sensiblen Informationen geschieht. Die offizielle Dokumentation hebt hervor, dass die Datenverarbeitung innerhalb der Microsoft-Cloud bleibt und keine Trainingsdaten für Dritte entstehen. Den Datenkontext und die angebundenen Systeme sollte man trotzdem sorgfältig prüfen. In vielen Use Cases, etwa bei der Analyse von Incidents oder bei Fragen zu Entra-ID-Objekten, greift Copilot auf die Security-Daten der verbundenen Microsoft-Dienste zu. Auswerten kann die KI nur, was ihr vorliegt. Fehlen wichtige Logs oder sind Workbooks und Vorlagen unvollständig, bleiben auch die Antworten zwangsläufig lückenhaft. Ein genauer Blick auf die eigene Detection- und Logging-Landschaft lohnt sich deshalb.

Wie Anwender, Microsoft-Cloud und angebundene Dienste zusammenspielen, habe ich im folgenden Diagramm skizziert:

flowchart LR
  user["Nutzer"] --> portal["Copilot for Security Portal"]
  portal --> scus["Security Compute Units"]
  portal --> defender["Defender XDR"]
  portal --> sentinel["Microsoft Sentinel"]
  portal --> entra["Entra ID"]
  portal --> purview["Purview"]
  defender --> logs["Security-Daten"]
  sentinel --> logs
  purview --> logs

Abbildung: Datenaustausch und Kontextquellen von Copilot for Security im Überblick.

Ein Einstieg mit wenigen SCUs liefert eine belastbare Bewertung

Generative KI im Security-Bereich wird gerade kräftig gehypt, umso wichtiger ist ein kühler Kopf. In der Beratung empfehle ich, Copilot for Security zunächst gezielt mit wenigen SCUs zu aktivieren und die Nutzung konkret zu messen. Für die technische Umsetzung bieten die offiziellen Einstiegshinweise eine gute Orientierung. Wer in Defender XDR oder Sentinel bereits ein etabliertes Detection- und Logging-Setup hat, kann Copilot for Security als Ergänzung testen, ohne gleich das Budget zu sprengen. Gegenüber Management und Datenschutz lassen sich die tatsächlichen Vorteile und Kosten dann auch leichter und sauber belegen.

Copilot for Security hat viel Potenzial, aber klare Grenzen

Copilot for Security wird viele Security-Teams neugierig machen, ein Allheilmittel ist es aber nicht. Das stündliche SCU-Modell zwingt dazu, Nutzung und Kosten genau zu durchdenken, lässt aber auch Spielraum für gezielte Pilotprojekte. Ohne gute Daten und funktionierende Detection-Prozesse bleibt Copilot for Security allerdings eine schicke Oberfläche ohne Substanz. Teams, die heute schon auf die Security-Basis von Microsoft setzen, bekommen ab April dagegen eine leistungsfähige neue Option, und ich bin gespannt, welche Erfahrungen die ersten Projekte bringen. Falls Sie sich allgemein tiefer mit Copilot beschäftigen möchten, empfehle ich ergänzend meinen Artikel Copilot mit kommerziellem Datenschutz im Vergleich zu Copilot for Microsoft 365.