Microsoft Defender for Endpoint schützt jetzt auch Linux-Desktops
Microsoft erweitert Defender for Endpoint auf Linux-Desktops. Die öffentliche Vorschau nutzt denselben Agenten wie bei Linux-Servern und unterstützt Ubuntu, Debian, Fedora, RHEL, SUSE und weitere Distributionen. Für Unternehmen mit Defender for Business bleibt die Lizenzfrage der Knackpunkt.
Microsoft Defender for Endpoint schützt ab sofort auch Linux-Arbeitsplätze, nicht mehr nur Linux-Server. Microsoft hat die öffentliche Vorschau am 14. Oktober 2026 im Defender-for-Endpoint-Blog angekündigt. Relevant ist das für Unternehmen, deren Entwickler, Administratoren oder Ingenieure unter Linux arbeiten und die ihre Windows- und macOS-Geräte bereits im Defender-Portal verwalten. Bisher klaffte dort bei Linux-Desktops eine Sichtbarkeitslücke.
Dringend ist die Meldung nicht, es handelt sich um eine Preview und keine Sicherheitslücke. Sinnvoll ist ein geplanter Pilot. Voraussetzung ist eine Lizenz für Microsoft Defender for Endpoint Plan 2, enthalten auch in Microsoft 365 E5 und E7. Wer nur Defender for Business oder Plan 1 besitzt, wird in den Lizenzvorgaben für Desktops nicht genannt. Wer keine Linux-Clients betreibt oder bereits ein anderes EDR auf Linux-Arbeitsplätzen einsetzt, muss nichts tun.
Was ist neu?
Laut Microsoft deckt die Desktop-Unterstützung alle drei Kernbereiche der Endpoint-Sicherheit ab. Das sind die Funktionen, die laut Ankündigung auf Linux-Workstations verfügbar sind:
- Schutz und Erkennung: Endpoint Detection and Response (EDR), Next-Generation-Antivirus und Threat Analytics.
- Exposure Management: Defender Vulnerability Management, Geräteinventar und Verwaltung von Sicherheitseinstellungen.
- Untersuchung und Reaktion: Advanced Hunting, Live Response und Geräteisolation.
Technisch gibt es keinen eigenen Desktop-Agenten. Microsoft verwendet dasselbe Paket und dieselben Verteilungswege wie für Linux-Server. Defender ordnet ein Gerät automatisch als Server oder Workstation ein. Laut Dokumentation wertet der Agent dafür unter anderem Betriebssystem-Metadaten, Distributionsangaben, Lizenzinformationen, Cloud- und VMware-Metadaten sowie Hinweise auf virtuelle Desktops aus. Reichen die Signale nicht aus, stuft Defender das Gerät standardmäßig als Server ein. Das ist für Admins wichtig, weil die Einstufung über die nötige Lizenz entscheidet.
In der Microsoft-Dokumentation steht die Linux-Desktop-Vorschau bereits im Abschnitt September 2026. Die offizielle Ankündigung samt Lizenzangaben folgte am 14. Oktober.
Für wen ist das relevant?
Unterstützt werden alle Distributionen, die Defender auch auf Servern abdeckt, unabhängig von der Desktop-Umgebung wie GNOME oder KDE. Die Dokumentation nennt unter anderem:
- Ubuntu LTS 16.04 bis 26.04 sowie Ubuntu Pro 22.04 und 24.04
- Debian 9 bis 13 und Fedora 33 bis 44
- Red Hat Enterprise Linux 7.2 und neuer, Rocky Linux, AlmaLinux und Oracle Linux
- SUSE Linux Enterprise Server 12 bis 16 und openSUSE Leap 15.6 sowie 16
Nicht ausdrücklich genannte Distributionen gelten als nicht unterstützt. Die minimale Kernelversion ist 3.10.0-327. Wer etwa Arch Linux, Linux Mint oder Pop!_OS auf Entwicklerrechnern einsetzt, findet diese nicht in der Liste und bewegt sich damit außerhalb des offiziellen Supports. Laut Microsoft kann der Agent auf abgeleiteten Systemen, die die Kernelvoraussetzung erfüllen, zwar laufen, eine Zusage ist das aber nicht.
Wie wichtig ist das?
Microsoft begründet den Schritt mit dem Risiko auf Entwicklerrechnern. Wer dort einbricht, erreicht Quellcode-Repositories, CI/CD-Pipelines, Cloud-Zugänge und Container-Umgebungen. Diese Geräte haben oft hohe Rechte und fallen in der Inventarisierung leicht durch. Das passt zu aktuellen Angriffen auf Entwicklerzugänge wie der Kampagne GhostAction gegen GitHub-Actions-Workflows. Für Unternehmen mit Microsoft-365-E5-Verträgen ist die Neuerung damit vor allem eine Lückenschließung ohne zusätzliche Lizenz. Unsicher ist, wann die Funktion allgemein verfügbar wird, Microsoft nennt dazu kein Datum. Als Preview eignet sie sich zunächst für Pilotgeräte.
Was sollten Admins jetzt tun?
- Inventar erstellen: Welche Linux-Arbeitsplätze gibt es, mit welcher Distribution und Version, und tauchen sie bisher in einem Sicherheitswerkzeug auf?
- Lizenz prüfen: Ist Defender for Endpoint Plan 2 oder Microsoft 365 E5 beziehungsweise E7 für die betroffenen Benutzer vorhanden?
- Systemvoraussetzungen abgleichen: mindestens ein CPU-Kern, 1 GB RAM, 2 GB freier Speicher und systemd. Für die Geräteisolation werden iptables und ip6tables oder deren nft-Varianten benötigt.
- Netzwerk klären: PAC, WPAD und authentifizierende Proxys werden nicht unterstützt, ebenso wenig SSL-Inspection. Für die Defender-Endpunkte ist eine Ausnahme nötig.
- Pilot aufsetzen: wenige Geräte mit der bestehenden Server-Verteilmethode onboarden und kontrollieren, ob sie im Portal als Workstation erscheinen.
- Parallelbetrieb planen: Läuft bereits ein anderer Virenscanner oder ein EDR, gegenseitige Ausnahmen nach den Microsoft-Vorgaben einrichten.
- Leistung beobachten: Bei Entwicklerrechnern mit vielen Builds Auswirkungen auf Kompilierzeiten und Container-Workloads messen, bevor breit ausgerollt wird.
Einordnung für Unternehmen
Für kleine und mittlere Unternehmen ist die Lizenzfrage der Knackpunkt. Viele nutzen Microsoft 365 Business Premium mit Defender for Business. Dieser Plan taucht in der Desktop-Lizenzliste nicht auf, nur bei den Server-Lizenzen. Damit bleibt Linux-Desktop-Schutz aus dem Microsoft-Ökosystem vorerst ein Thema für E5-Kunden oder Unternehmen mit eigener Plan-2-Lizenz. Wer diese Lizenz nicht hat, braucht weiterhin eine eigene Lösung für Linux-Clients. Dazu gehören ein Open-Source-SIEM wie Wazuh oder ein anderes EDR-Produkt mit Linux-Agent. Unabhängig vom Werkzeug bleibt die Grundhärtung der Geräte Pflicht: automatische Sicherheitsupdates, minimale Rechte und abgesicherte Zugänge.
Passende Anleitungen auf S-EDV
- EDR und XDR im KMU einführen, mit Auswahlkriterien und Pilotplanung.
- Wazuh als XDR und SIEM mit Docker betreiben, als Alternative ohne Microsoft-Lizenz.
- Automatische Sicherheitsupdates mit unattended-upgrades für Debian und Ubuntu.
- Linux nach CIS-Benchmark härten, viele Punkte gelten auch für Arbeitsplätze.
