Eine archivierte Wiedergabe von Microsofts Mitteilung MC1537494 vom 3. November 2026 beschreibt eine geplante weltweite Umstellung auf Defender RBAC für die Portal-Workloads von Microsoft Defender und Microsoft Sentinel. Der globale Rollout soll Anfang Dezember 2026 beginnen und bis Ende Januar 2027 laufen. Für den einzelnen Mandanten nennt das Defender-Portal die betroffenen Workloads und deren Aktivierungstermine; die automatische Aktivierung soll jeweils ungefähr 30 Tage nach der Benachrichtigung erfolgen. Die archivierte Mitteilung MC1537494 beschreibt die Umstellung als schrittweisen Vorgang.
Zuerst die importierten Rollen prüfen: Das Portal des eigenen Mandanten nennt die Workloads und Termine für die spätere Aktivierung.
Importierte Rollen vor der Aktivierung prüfen
Der Rollenimport soll laut Mitteilung zunächst keine operativen Auswirkungen haben. Administratoren können die importierten Zuweisungen und ihre Geltungsbereiche im Defender-Portal unter Permissions > Roles überprüfen und anpassen, bevor der jeweilige Workload aktiviert wird. Ein erneuter Import lässt sich manuell auslösen.
Der globale Zeitraum ersetzt keinen mandantenspezifischen Termin: Das Portal zeigt, welche Workloads betroffen sind und wann ihre Aktivierung vorgesehen ist. Nach der Aktivierung können Administratoren einen Workload über dessen Einstellungen selbstständig wieder auf das bisherige Berechtigungsmodell zurücksetzen. Wer Rollen und Berechtigungen über APIs verwaltet, soll zur Defender-RBAC-API wechseln.
Sentinel-Arbeitsbereiche und Azure-Ressourcen unterscheiden
Die Mitteilung ordnet Sentinel-Arbeitsbereichsrollen und allgemeine Azure-Ressourcen unterschiedlichen Berechtigungsmodellen zu. Sentinel Reader, Sentinel Responder und Sentinel Contributor gehören zu den Workspace-Berechtigungen, die in Defender RBAC übergehen. Azure RBAC bleibt für Azure-Ressourcen wie Logic Apps und Workbooks zuständig.
| Berechtigungsbereich | Behandlung im geplanten Modell | Beispiele und Einordnung |
| Defender- und Sentinel-Portal-Workloads | Defender RBAC wird nach der Aktivierung zum Berechtigungsmodell für die erfassten Workloads. | Die betroffenen Workloads und Aktivierungstermine zeigt das Defender-Portal des jeweiligen Mandanten. |
| Sentinel-Arbeitsbereich | Sentinel Reader, Sentinel Responder und Sentinel Contributor werden in Defender RBAC einbezogen. | Es geht um Berechtigungen für den Sentinel-Arbeitsbereich. |
| Azure-Ressourcen | Azure RBAC bleibt zuständig. | Dazu zählen Logic Apps und Workbooks. |
| Microsoft-Entra-Verzeichnisrollen | Sie gewähren weiterhin Zugriff auf das Defender-Portal und werden Berechtigungen in Defender RBAC zugeordnet. | Die Verzeichnisrollen bleiben ein eigener Zugangsweg. |
| Delegierter B2B-/GDAP-Zugriff | B2B/GDAP und die mandantenübergreifende Verwaltung bleiben unverändert; zugehörige Rollenzuweisungen werden importiert. | Rollen für B2B-/GDAP-Benutzer und -Gruppen sind im Import enthalten. |
Weitere Berechtigungsgrenzen
Die Mitteilung nennt Microsoft Purview, Exchange Online, Privileged Identity Management und Entra-Verzeichnisrollen als Bereiche, deren Berechtigungen unverändert bleiben. Für Microsoft Defender for Office 365 gilt die Umstellung demnach für Plan 2, separat lizenziert oder in einem berechtigten Paket wie Microsoft 365 E5 enthalten. Die Verwaltung von Defender for Office 365 mit PowerShell soll wie bisher funktionieren.
Die geplante Umstellung betrifft die Autorisierung für erfasste Defender- und Sentinel-Portal-Workloads. Die automatische Aktivierung richtet sich nach den Workloads und Terminen, die im Portal des jeweiligen Mandanten angezeigt werden.
