DLP-Warnungen erscheinen nicht mehr als Vorfall

Worum es geht

Microsoft Defender XDR führt eine integrierte Regel zur Warnungsoptimierung ein. Sie sorgt dafür, dass Warnungen aus Microsoft Purview Data Loss Prevention (DLP) nicht mehr als eigenständige Warnungen und Vorfälle erscheinen, sondern als sogenannte Verhaltensweisen geführt werden. Ziel ist eine geringere Zahl an Warnungen im Defender-Portal. Die DLP-Daten selbst bleiben für Untersuchungen erhalten.

Zeitplan

• Die Regel ist bereits jetzt in Defender XDR einsehbar
• Ab 12. Oktober 2026 ist sie standardmäßig aktiv

Wer betroffen ist

• Sicherheitsadministratoren und Analysten, die Defender XDR und Purview DLP gemeinsam nutzen
• Organisationen, deren SOC-Prozesse, Automatisierungen oder Berichte auf DLP-Warnungen in der Defender-Vorfallswarteschlange aufbauen

Was sich konkret ändert

• DLP-Warnungen erscheinen standardmäßig nicht mehr in der Vorfallswarteschlange von Defender XDR
• Die Signale bleiben in Advanced Hunting über die Tabellen BehaviorInfo und BehaviorEntities verfügbar
• Im Microsoft Purview-Portal sind DLP-Warnungen weiterhin sichtbar
• Wer DLP-Warnungen per Graph Alerts V2 abruft, findet die Daten danach über die Graph-Schnittstelle runHuntingQuery

So bereiten Sie sich vor

• Prüfen, ob Ihr Team DLP-Warnungen weiterhin als Vorfall in Defender XDR benötigt
• Falls ja: die Regel „Set-As-Behavior - Data Loss Prevention (DLP) Alerts“ unter Einstellungen, Microsoft Defender XDR, Warnungsoptimierung vor dem 12. Oktober 2026 deaktivieren; das ist auch später jederzeit möglich
• Nachgelagerte Integrationen, Automatisierungen und Berichte auf Abhängigkeiten prüfen