Microsoft Defender: Automatisierte Untersuchung und Reaktion (AIR) in Antivirus integriert, manuelle Auslösung entfernt

[Was und Warum]

Ab dem 1. September 2026 wird die automatisierte Untersuchung und Reaktion (Automated Investigation and Response, AIR) nicht mehr als eigenständige Untersuchungsfunktion ausgeführt und auch nicht mehr manuell in Microsoft Defender ausgelöst.

Die Schutzfunktionen von AIR sind bereits heute in den stets aktiven Antivirus-Schutzstapel von Microsoft Defender integriert. Erkennung und Reaktion laufen automatisch als Teil des Standard­schutzes, ohne dass ein separates Untersuchungs­workflow erforderlich ist.

Diese Änderung ist Teil unserer fortlaufenden \"Shift Left\"-Initiative, um die Schutzlast von den Kunden zu nehmen, indem Erkennungs- und Reaktionsprozesse automatisiert werden. So wird ein konsistentes Ergebnis über Endpunkte hinweg sichergestellt, ohne dass auf eine separate, manuell gestartete Untersuchungserfahrung zurückgegriffen werden muss.

Mit diesem Update wird die eigenständige AIR-Untersuchungserfahrung entfernt. Für Abruf­untersuchungen können Teams bei Bedarf vollständige Antivirus-Scans durchführen.

[Rollout-Zeitplan]

• Übergang (weltweit, GCC, GCC High, DoD): Beginn und Abschluss im Frühjahr 2026

[Auswirkungen auf Ihre Organisation]

Wer ist betroffen

• Admins und Sicherheitsteams, die Microsoft Defender for Endpoint und Microsoft Defender XDR verwenden

Plattformen/Dienste

• Microsoft Defender for Endpoint auf unterstützten Plattformen

Was wird passieren

• Die manuelle Auslösung der automatisierten Untersuchung und Reaktion (AIR) wird nicht mehr verfügbar sein.
• AIR läuft nicht mehr als eigenständige Untersuchungserfahrung.
• Erkennung und Reaktion erfolgen automatisch als Teil des stets aktiven Antivirus-Schutzes.
• Manuelle AIR-Untersuchungen werden bei Abruf durch vollständige Antivirus-Scans ersetzt.
• Alle Playbooks, Skripte oder Integrationen, die AIR starten, funktionieren nach dem 1. September 2026 nicht mehr und müssen vor diesem Datum aktualisiert werden.
• Der Schutz bleibt standardmäßig aktiviert.

[Erforderliche Maßnahmen / Empfehlungen]

Wenn Sie AIR nicht manuell oder über Automatisierung nutzen, ist keine Maßnahme erforderlich, um den Schutz aufrechtzuerhalten.

Es sind Maßnahmen erforderlich für Organisationen, die AIR in Playbooks, Skripten oder Integrationen verwenden, da diese nach dem 1. September 2026 nicht mehr funktionieren werden.

• Überprüfen und aktualisieren Sie alle Playbooks, Skripte oder Integrationen, die AIR starten, vor dem 1. September 2026.
• Ersetzen Sie AIR-basierte Workflows bei Abruf­untersuchungen durch vollständige Antivirus-Scan-Workflows.
• Aktualisieren Sie interne Dokumentationen, die sich auf AIR-Untersuchungen beziehen.
• Informieren Sie Sicherheits- und Helpdesk-Teams über diese Änderung.

Weitere Informationen: 

• Microsoft Defender Antivirus vollständige Scan-Überlegungen und bewährte Methoden | Microsoft Defender for Endpoint | Microsoft Defender | Microsoft Learn
• Übersicht über automatisierte Untersuchungen | Microsoft Defender for Endpoint | Microsoft Defender | Microsoft Learn

[Compliance-Überlegungen]

Frage: Ändert sich durch die Änderung, wie Admins Compliance-Aktivitäten überwachen, berichten oder nachweisen können?
Antwort: Ja. AIR wird nicht mehr als eigenständiger Untersuchungstyp angezeigt, was Auswirkungen auf Überwachungs- und Berichtsworkflows haben kann.