Episode 10 - Data Lake für alle - und jetzt?
Episode von Die Sentinels von Phillipe und Andreas · 18. Oktober 2026 · 27 min
Seit dem 23. September können Kunden den Data Lake in Microsoft Sentinel ohne eigenes Onboarding nutzen. Gemerkt haben wir das zuerst bei einem Kunden: Im Table Management stand auf einmal "Data Lake" als Tier zur Auswahl, obwohl dort nie jemand etwas aktiviert hatte. Kurz danach war es bei allen unseren Kunden so.
Andreas zeigt im Defender-Portal, wie die neue Ansicht aussieht: Tier pro Tabelle, Lake-Tabellen direkt im Advanced Hunting und der Hinweis auf die Abfragekosten. Phillipe zeigt zum Vergleich einen Tenant, der vor dem 23.09. onboardet wurde, mit Data Lake Exploration. Dazu sprechen wir über die Retention-Lücke im Advanced Hunting, Fabric als Analyseschicht, die fehlenden KQL-Jobs und die Grenzen von Lake-Abfragen.
Am Ende steht eine Checkliste für den Umstieg. Welche Tabellen dürfen in den Lake, welche Regeln brechen dabei, und was kostet es, wenn Analysten regelmäßig Lake-Tabellen abfragen? Wo wir im Gespräch etwas ungenau waren, ordnen die Einblendungen das mit der Microsoft-Doku ein. Ein Beispiel ist Germany West Central: Laut Learn gibt es dort aktuell keinen Data Lake.
Die Sentinels: Microsoft Security aus der Praxis. Mit Andreas und Phillipe.
Kapitel
00:00 Intro
00:40 Plötzlich Data Lake
03:40 Die neue Ansicht
05:16 Retention & Search Jobs
07:25 Fabric als Analyseschicht
08:44 Lake bleibt kalt
10:58 Kosten und Grenzen
13:15 Die alte Ansicht
15:08 Checkliste
19:10 Tabellen sortieren
21:51 Fazit
26:16 Das nehmen wir mit
Links
- What's new in Microsoft Sentinel (September 2026): https://learn.microsoft.com/azure/sentinel/whats-new
- Manage data tiers and retention: https://learn.microsoft.com/azure/sentinel/manage-data-overview
- Advanced hunting with Microsoft Sentinel data (Known issues): https://learn.microsoft.com/defender-xdr/advanced-hunting-microsoft-defender
- Run KQL queries on the Microsoft Sentinel data lake: https://learn.microsoft.com/azure/sentinel/datalake/kql-queries
- Plan costs and understand Microsoft Sentinel pricing and billing: https://learn.microsoft.com/azure/sentinel/billing
- Geographical availability and data residency: https://learn.microsoft.com/azure/sentinel/geographical-availability-data-residency
- Transform data using filter and split: https://learn.microsoft.com/azure/sentinel/transformation-filter-split
- ISOC in Microsoft Defender (Preview): https://learn.microsoft.com/defender-xdr/isoc-overview
Aufgenommen am 12.10.2026. Die besprochenen Erfahrungen und Produktstände beziehen sich auf diesen Zeitpunkt.
Weitere Episoden von „Die Sentinels“
- Episode 9 - Azure Portal: Abschied auf Raten 4. Oktober 2026
- Episode 8 - Security Copilot: Die freien SCUs in der Praxis 20. September 2026
- Episode 7 - Security Copilot: 400 SCUs, und jetzt? 6. September 2026
- Episode 6 - AMA: Wenn keine Logs ankommen 16. August 2026
- Episode 5 - Advanced Hunting Daten in Sentinel Workbooks 2. August 2026
- Episode 4 - Data Lake, Workbooks & Berechtigungen: Die neuen Features im Defender Portal 5. Juli 2026
- Episode 3 - Agentic SOC 7. Juni 2026
- Episode 2 - M365 E7: Neue Lizenz, neue Möglichkeiten 3. Mai 2026
- Episode 1 - MCP, Microsoft, Menschlichkeit 5. April 2026
- Trailer 1. März 2026