Microsoft Sentinel

So steigst du ein

Schritt 1: Erstelle einen Azure-Account und aktiviere Microsoft Sentinel im Azure Portal in der Region “Germany West Central” (Frankfurt). Verbinde die ersten Datenquellen über die vorgefertigten Konnektoren: Microsoft 365, Azure Active Directory und Windows Security Events sind in wenigen Klicks verbunden.

Schritt 2: Aktiviere UEBA unter “Settings → UEBA” und wähle die Entitätstypen aus, die analysiert werden sollen (Nutzer, Geräte, IPs). Sentinel beginnt sofort mit dem Aufbau der Verhaltensbaseline — für zuverlässige Anomalieerkennung rechne mit 30–60 Tagen Lernphase. Für physische Zugangssysteme: Exportiere Badge-Logs als CEF/Syslog oder über eine REST-API und konfiguriere einen Custom Connector.

Schritt 3: Aktiviere vorhandene Analytics Rules für Insider-Threat-Szenarien (z.B. “Anomalous Access to Resources”) und passe die Alert-Schwellen an deine Organisation an. Richte Automation Rules ein, die bei UEBA-Alerts automatisch ein Ticket in deinem ITSM-System erstellen.

Ein konkretes Beispiel

Ein Pharmaunternehmen mit 400 Mitarbeitenden und zwei Produktionsstandorten verbindet Microsoft Sentinel mit dem Zutrittssystem (Kaba exos) über einen CEF-Syslog-Export. UEBA erstellt automatisch Baselines pro Mitarbeiter: wer betritt wann welche Zone? Nach 45 Tagen erkennt Sentinel, dass ein Laborant an einem Sonntag die Wirkstoffkammer betritt — eine Zone, die er in den letzten sechs Monaten nie sonntags betreten hat. Der Alert landet automatisch im Security-Ticket-System und wird vom Bereitschaftsdienst innerhalb einer Stunde untersucht. Monatliche Sentinel-Kosten: ca. 650 € (7 GB/Tag Ingestion, Pay-as-you-go, EU-Region).