Die Nachricht der letzten Tage hat viele überrascht. Security Copilot E5 wird künftig Bestandteil der Microsoft-365-E5-Lizenzen sein. Für Security-Teams, die mit knappem Budget bisher zwischen Copilot-Piloten und Add-ons abwägen mussten, ändert sich damit einiges. In vielen Tenants, die ich begleite, scheiterte die Einführung bislang vor allem an den Zusatzkosten und an der Frage nach den SCU-Kontingenten (Security Compute Units). Auf der Ignite 2025 hat Microsoft nun angekündigt, Security Copilot mit einem monatlichen SCU-Guthaben auszurollen, das an die Lizenz gebunden ist. Wie hoch es ausfällt, bleibt wie gewohnt vage, das Grundmodell aber steht. Im Folgenden beschreibe ich, was das für die Praxis bedeutet und wie man sich jetzt darauf vorbereiten sollte.

Security Copilot E5 taucht in fast allen Admin-Portalen auf

Security Copilot ist längst kein separates Portal und kein exklusives Add-on für große SOCs mehr. Man stößt schon heute an vielen Stellen darauf: im Portal von Microsoft Defender XDR, direkt in Entra (z. B. bei Identity Governance), in Intune beim Endpoint-Management und in Microsoft Purview bei Compliance-Fragen. Besonders interessant finde ich die Security Copilot Agents. Das sind vorgefertigte Agenten, die Microsoft im März angekündigt hat und die konkrete Aufgaben wie Incident Response oder Schwachstellenmanagement automatisieren sollen. Viele Admins bemerken sie zum ersten Mal im Tagesgeschäft, etwa wenn neben einem Incident auf einmal der Button „Enable Copilot“ erscheint oder ein Analyst ohne gesonderte Anmeldung einen Chat beginnen kann. Mit den Agenten und ihren Einsatzmöglichkeiten habe ich mich im Beitrag Security Copilot Agents: Neue Automatisierung, neue Prüfpflichten ausführlicher beschäftigt.

flowchart TD
  E5["Microsoft 365 E5 Lizenz"] --> SCU["Monatliches SCU-Guthaben"]
  SCU --> DefXDR["Defender XDR (Copilot)"]
  SCU --> Entra["Entra ID (Copilot)"]
  SCU --> Intune["Intune (Copilot)"]
  SCU --> Purview["Purview (Copilot)"]
  DefXDR --> Agent["Security Copilot Agents"]
  Entra --> Agent
  Intune --> Agent
  Purview --> Agent

Abbildung: Security Copilot E5 – wo das monatliche SCU-Guthaben im Ökosystem ansetzt.

Owner- und Contributor-Rolle verdienen eine sorgfältige Vergabe

Für Verwirrung haben in den vergangenen Monaten vor allem die neuen Copilot-spezifischen Rollen und Rechte gesorgt. Mit dem E5-Rollout gewinnt das Thema weiter an Gewicht. Die Rollen Security Copilot Owner und Contributor regeln den Zugriff auf die zentralen Funktionen im Copilot-Portal, und sie entscheiden auch darüber, wer Agenten konfigurieren, Plugins aktivieren und Integrationen verwalten darf. In der Praxis wird diese Rechtevergabe oft stiefmütterlich behandelt. Entweder liegen die Rechte bei einzelnen Global Admins, oder sie werden viel zu großzügig verteilt. Mein Tipp aus dem Alltag:

Vergebt die Rollen Security Copilot Owner und Contributor gezielt, dokumentiert sie und prüft die Zuweisungen in regelmäßigen Abständen. So verhindert ihr Wildwuchs und behaltet die Berechtigungen im Griff.

Ihr findet die Rollen im Microsoft-Defender-Portal unter Einstellungen → Rollenverwaltung. Damit die Vergabe gezielt bleibt, lohnt sich ein Rollen-Review, wie man es von Entra Privileged Identity Management kennt (siehe auch Privileged Identity Management in Entra ID: Dauerhafte Admin-Rechte ablösen – Praxiserfahrungen und Empfehlungen).

Das Monitoring im Defender-Portal macht den SCU-Verbrauch sichtbar

Sobald Security Copilot Teil von E5 ist, werden die Überwachung der Nutzung und die Verwaltung der SCUs deutlich wichtiger. Im Defender-Portal gibt es inzwischen ein zentrales Monitoring, das den aktuellen SCU-Verbrauch samt Trends und Prognosen zeigt. So lassen sich Engpässe vermeiden, und wer viel verbraucht, fällt früh auf. Plugins binden zusätzliche Integrationen und Datenquellen an Security Copilot an. Sie können den Nutzen erheblich steigern, machen die Umgebung aber komplexer und treiben den SCU-Bedarf nach oben. Vor allem bei Plugins, die auf ein SIEM oder auf Drittquellen zugreifen, sollte man vor der Aktivierung genau prüfen, welche Benutzer berechtigt sind und wohin die Daten fließen. Ausführliche Informationen dazu liefern die offizielle Dokumentation und der Getting-Started-Guide.

Wer sich rasch einen Überblick über die Nutzung verschaffen will, greift zur interaktiven Übersicht unter Defender-Portal → Einstellungen → Security Copilot → Nutzungsauswertung. Dafür braucht man allerdings die Owner- oder Contributor-Rolle.

Analysten müssen Copilot-Ausgaben konsequent gegenprüfen

Die größten Hürden sehe ich im Moment bei der Validierung der Ergebnisse und bei der Schulung des SOC-Teams. Security Copilot hilft enorm, entscheidet aber nichts selbst. Erzeugte Playbooks, Zusammenfassungen von Incidents und Empfehlungen gehören vor der Umsetzung immer auf den Prüfstand. Wachsam sollte man besonders dann sein, wenn sensible Daten im Spiel sind, etwa bei der Suche nach kompromittierten Benutzern in Entra oder bei der Analyse von E-Mail-Flows in Purview. Aus meiner Sicht ist es Pflicht, Analysten darin zu schulen, Copilot-Ausgaben einzuschätzen und sie bei Bedarf mit eigenen Queries gegenzuprüfen (z. B. in Defender XDR unter „Hunting“). Zur Authentifizierung und Zugriffssteuerung hat Microsoft übrigens eine gute Dokumentation veröffentlicht: Security Copilot Authentication.

Security Copilot wird zur Basisausstattung im E5-Portfolio

Dass Security Copilot künftig in E5 enthalten ist, wird die Arbeit vieler Security-Teams merklich verändern. Das Werkzeug ist dann nicht mehr der SOC-Elite vorbehalten, sondern gehört zur Grundausstattung, so wie Defender oder Microsoft Purview. Ob es echten Mehrwert bringt und Fehler vermeidet, hängt aber davon ab, wie gut es organisatorisch eingebunden ist, wie durchdacht die Rechte vergeben sind und wie gründlich das Team geschult wird. Wer Security Copilot jetzt „einfach mal laufen lässt“, handelt sich schnell einen Wildwuchs an Plugins oder SCU-Engpässe ein oder setzt Vorschläge ungeprüft um. Ich bin gespannt, welche Use Cases sich in den kommenden Monaten durchsetzen und ob Security Copilot wirklich zum Standardwerkzeug im E5-Portfolio wird. Mehr zur GA-Phase und zu den SCU-Modellen lest ihr im Beitrag Copilot for Security: Was die GA-Ankündigung bedeutet.