Microsoft Security Copilot ist ein generativer KI-Assistent für Sicherheit und IT-Betrieb. Er ist als eigenständiges Portal sowie integriert in Microsoft Defender, Entra, Intune, Purview und Sentinel verfügbar. Seit 2026 haben sich die Lizenzierungsbedingungen für dieses Tool erheblich geändert, insbesondere für Unternehmen, die bereits in das Microsoft 365-Ökosystem investiert haben.
Die Kurzfassung
Es gibt derzeit drei Möglichkeiten, Microsoft Security Copilot zu nutzen: als eigenständige Security Compute Units (SCUs) für 4 US-Dollar pro Stunde, im Lieferumfang von Microsoft 365 E5 oder im Lieferumfang von Microsoft 365 E7 (das wiederum E5 enthält). Der auf der Ignite 2025 angekündigte Vorteil der E5-Inklusion bietet Ihnen 400 SCUs pro Monat für jeweils 1.000 bezahlte E5-Lizenzen, bis zu 10.000 SCUs pro Monat, ohne zusätzliche Kosten. Wenn Sie bereits über E5 verfügen und weiterhin für separat bereitgestellte SCUs bezahlen, zahlen Sie wahrscheinlich zu viel.
Was Microsoft Security Copilot leistet
Security Copilot verarbeitet eine Eingabe in natürlicher Sprache (z. B. „Fasse den letzten Phishing-Vorfall mit Benutzer X zusammen und zeige mir die laterale Bewegung“) und bezieht Kontextdaten aus Ihren verbundenen Microsoft-Sicherheitsprodukten ein, um eine fundierte, umsetzbare Antwort zu generieren. Die Zielgruppe sind SOC-Analysten, IT-Administratoren und Identitätsteams, nicht Endbenutzer.
Zu den typischen Anwendungsfällen im Alltag gehören:
- Untersuchung von Vorfällen: Umwandlung einer rohen Defender-Warnmeldung in eine leicht verständliche Zeitleiste mit Empfehlungen für die nächsten Schritte
- Threat Hunting: Übersetzung einer Frage in natürlicher Sprache in KQL für Defender oder Sentinel
- Skriptanalyse: Überprüfung verdächtiger PowerShell-, Python- oder Bash-Skripte vor deren Ausführung
- Priorisierung von Sicherheitslücken: Einstufung von CVEs anhand dessen, was in Ihrer Umgebung tatsächlich betroffen ist (im Gegensatz zur vollständigen theoretischen Liste)
- Berichterstellung: Erstellung einer für Führungskräfte geeigneten Version einer Vorfallzusammenfassung, ohne dass der Analyst 90 Minuten dafür aufwenden muss
Der eigentliche Mehrwert ergibt sich aus den „integrierten Agenten“, die Microsoft Ende 2025 hinzugefügt hat. Dabei handelt es sich um vorgefertigte, rollenspezifische Agenten, die in die Produkte eingebettet sind, die Ihr Team bereits nutzt – beispielsweise der Phishing-Triage-Agent in Microsoft Defender, der Agent zur Optimierung des bedingten Zugriffs in Microsoft Entra, der Agent zur Behebung von Sicherheitslücken in Microsoft Intune und der Datensicherheitsagent in Microsoft Purview. Sie müssen das Produkt, in dem Sie gerade arbeiten, nicht verlassen, um die Hilfe von Security Copilot in Anspruch zu nehmen.
Die Preisentwicklung
Es gibt nun drei realistische Möglichkeiten, Security Copilot zu erwerben. Welche davon für Sie in Frage kommt, hängt fast ausschließlich davon ab, was Sie bereits besitzen.
Pfad 1: Eigenständige Sicherheitsrecheneinheiten (SCUs)
Das ursprüngliche Modell von 2024 gibt es noch immer:
- Bereitgestellte SCUs: 4 $ pro SCU und Stunde, stündliche Abrechnung, mindestens 1 SCU
- Überschüssige SCUs: 6 US-Dollar pro SCU und Stunde; diese werden automatisch in Anspruch genommen, sobald Sie die bereitgestellte Kapazität überschreiten (bis zu einer von Ihnen festgelegten Obergrenze)
- Voraussetzung: ein Azure-Abonnement und Microsoft Entra ID
Eine einzelne bereitgestellte SCU, die rund um die Uhr läuft, kostet etwa 2.920 US-Dollar pro Monat oder 35.000 US-Dollar pro Jahr. Microsoft empfiehlt für Testzwecke in der Regel 3 SCUs, was eher bei 105.000 US-Dollar pro Jahr liegt. Dieser Ansatz ist sinnvoll, wenn Sie kein E5-Abonnement haben und das Produkt zunächst testen möchten oder wenn Ihr SOC so stark ausgelastet ist, dass die im E5-Abonnement enthaltene Zuteilung Ihre Nutzung ohnehin nicht abdecken würde.
Option 2: Im Lieferumfang von Microsoft 365 E5 enthalten
Security Copilot, das auf der Microsoft Ignite 2025 angekündigt wurde, ist nun ohne zusätzliche Kosten in Microsoft 365 E5 enthalten:
- Zuteilung: 400 SCUs pro Monat pro 1.000 bezahlte E5-Nutzerlizenzen
- Obergrenze: bis zu 10.000 SCUs pro Monat
- Aktivierung: automatisch, mit einer Vorankündigung von 30 Tagen, bevor Ihr Mieter freigeschaltet wird
- Überschreitung: Ab Anfang 2026 fallen für die E5-Inklusion keine Gebühren für die Überschreitung des Kontingents an. Wenn Sie Ihr monatliches Kontingent aufgebraucht haben, wird die Bandbreite für Analysten bis zum nächsten Reset gedrosselt.
| E5-Lizenzen | Inklusive SCUs/Monat |
|---|---|
| 400 Nutzer | 160 SCUs |
| 1.000 Nutzer | 400 SCU |
| 4.000 Nutzer | 1.600 SCUs |
| Über 25.000 Nutzer | 10.000 SCUs (Obergrenze) |
Bitte beachten Sie, dass SCUs nicht übertragen werden: Nutzen Sie sie jeden Monat, sonst verfallen sie. Außerdem gilt derzeit eine feste Obergrenze für die Zuteilung. Wenn Ihr SOC bei einem größeren Vorfall Agenten intensiv einsetzt, kann das monatliche Kontingent schneller aufgebraucht sein, als Sie erwarten würden.
Option 3: Im Lieferumfang von Microsoft 365 E7 enthalten
Microsoft 365 E7, das ab dem 1. Mai 2026 zum Preis von 99 US-Dollar pro Benutzer und Monat allgemein verfügbar sein wird, bündelt E5, Copilot, die Entra ID Suite und Agent 365 in einer einzigen SKU. Da E7 E5 enthält, umfasst es denselben Anspruch auf Security Copilot.
Aktionsplan und nächste Schritte
Bereits auf E5, bereits separate Bereitstellung von SCUs: Stornieren Sie Ihre bestehende Kapazität nicht, bevor die Einbindung Ihres Mandanten in E5 aktiviert ist. Sobald diese aktiv ist, vergleichen Sie Ihren bisherigen SCU-Verbrauch mit Ihrer neuen monatlichen Zuteilung. Die meisten Unternehmen können ihre eigenständige Kapazität nach der Aktivierung aufgeben.
Sie nutzen bereits E5 und haben Security Copilot noch nie verwendet: Warten Sie auf die Aktivierung Ihres Mandanten (Sie erhalten eine 30-tägige Vorankündigung) und testen Sie die Lösung dann innerhalb der Produkte, die Sie bereits nutzen. Es gibt keinen Grund, zunächst eigenständige SCUs bereitzustellen.
Bei E3 oder Business Premium: Security Copilot funktioniert technisch gesehen auch unter E3, allerdings mit weniger verbundenen Datenquellen, und die Kosten für eine eigenständige SCU sind bei kleinerem Umfang extrem hoch. Wenn E5 überdimensioniert ist, dann ist es Security Copilot als eigenständige Lösung wahrscheinlich auch.
Bewertung von E7 bei der Markteinführung: Klären Sie mit Ihrem CSP-Partner, ob „Security Copilot“ bei der allgemeinen Verfügbarkeit (GA) von E7 aktiviert wird oder ob es auf die gleiche stufenweise Einführung wie bei E5 wartet.
Häufige Fehler, die wir beobachten
Der Kauf von eigenständigen SCUs, obwohl die E5-Einbindung bevorsteht: Eine Nutzung im Umfang weniger Analystenlizenzen rechtfertigt selten eine bereitgestellte Kapazität von über 35.000 US-Dollar pro Jahr, wenn man bereits Anspruch auf die Zuteilung im Rahmen der Einbindung hat.
Die E5-Zuteilung als unbegrenzt betrachten: Das ist sie nicht. Rechnen Sie einmal für einen Monat mit hohem Aufkommen bei der Störungsbehebung nach, nicht für einen durchschnittlichen Monat.
Die integrierte Nutzererfahrung außer Acht lassen: Teams, die ausschließlich das eigenständige Portal nutzen, neigen dazu, die Funktionen nicht in vollem Umfang zu nutzen. Produktivitätssteigerungen lassen sich innerhalb von Defender, Entra und Intune schneller erzielen.
Man darf nicht vergessen, dass Security Copilot die Benutzerberechtigungen übernimmt: Es nutzt die „On-Behalf-Of“-Authentifizierung. Wenn ein Analyst keinen Zugriff auf eine Datenquelle hat, überschreitet Security Copilot diese Grenze nicht für ihn.
Das Fazit
Im Jahr 2026 stellt sich die Frage anders dar als zum Zeitpunkt der Markteinführung. Für die meisten E5-Kunden ist es die richtige Entscheidung, auf die Aktivierung der Mandanten zu warten und das zu nutzen, was sie bereits besitzen. Für Teams mit E3- oder Business Premium-Lizenzen hängt die Entscheidung davon ab, ob E5 aus anderen Gründen in Ihrer Zukunft eine Rolle spielen wird. Für SOCs, die das im Lieferumfang enthaltene Kontingent regelmäßig ausschöpfen, ist ein Hybridmodell (E5-Kontingent plus zusätzlich bereitgestellte SCUs) die wahrscheinlichste Lösung.
Verwandte Artikel:
Anwendungsfälle für Copilot: Wertsteigerung und Produktivitätssteigerung in den Abteilungen
Ist Microsoft Copilot sicher? Ein detaillierter Einblick in Risiken und bewährte Vorgehensweisen
Alles, was Sie über Microsoft 365 Copilot Business wissen müssen
Die wichtigsten Fragen von IT-Führungskräften zu Microsoft Copilot (und wie man sie beantwortet)
