Wer Microsoft 365 administriert, stößt früher oder später auf den Microsoft Secure Score. Häufig passiert das eher zufällig. Vielleicht taucht im Microsoft Defender Portal eine neue Empfehlung auf. Oder die eigene IT-Abteilung möchte wissen, wie gut die bestehende Sicherheitskonfiguration eigentlich aufgestellt ist.
Spätestens dann stellt sich die Frage: Was sagt dieser Wert überhaupt aus?
Die Antwort ist komplexer, als es auf den ersten Blick scheint. Denn der Microsoft Secure Score ist weder ein Sicherheitszertifikat noch eine Garantie gegen Cyberangriffe. Gleichzeitig gehört er zu den hilfreichsten Werkzeugen, die Microsoft für die Bewertung und Weiterentwicklung der eigenen Microsoft 365 Sicherheitsstrategie bereitstellt.
In diesem Beitrag schauen wir uns an, wie der Secure Score entsteht, welche Dienste in die Bewertung einfließen, wie Microsoft einzelne Maßnahmen bewertet und warum ein hoher Wert nicht automatisch bedeutet, dass ein Unternehmen sicher aufgestellt ist.
Was ist der Microsoft Secure Score?
Der Microsoft Secure Score, in der deutschen Oberfläche als Microsoft Sicherheitsbewertung bezeichnet, ist eine kontinuierlich aktualisierte Kennzahl für die Umsetzung von Microsoft empfohlenen Sicherheitsmaßnahmen innerhalb eines Microsoft 365 Tenants. Der Wert wird im Microsoft Defender Portal bereitgestellt und soll Unternehmen dabei helfen, den Sicherheitsstatus ihrer Umgebung besser einzuordnen und Verbesserungsmaßnahmen zu priorisieren.
Vereinfacht gesagt handelt es sich um eine intelligente Sicherheitscheckliste mit Punktesystem.
Microsoft analysiert dabei unterschiedliche Bereiche der Umgebung und prüft beispielsweise:
- Ob Multifaktor-Authentifizierung eingesetzt wird
- Wie privilegierte Konten abgesichert sind
- Ob Geräte den empfohlenen Sicherheitsstandards entsprechen
- Wie E-Mail, Teams und SharePoint abgesichert sind
- Welche Schutzmaßnahmen für sensible Daten aktiviert wurden
Für jede umgesetzte Maßnahme vergibt Microsoft Punkte. Aus der Summe der erreichten und möglichen Punkte ergibt sich der aktuelle Secure Score.
Der eigentliche Mehrwert liegt dabei weniger in der Zahl selbst als in den dahinterliegenden Empfehlungen. Unternehmen erhalten nicht nur einen Überblick über den aktuellen Stand, sondern auch konkrete Hinweise, welche Maßnahmen die Sicherheitslage verbessern können.
Welche Microsoft Dienste fließen in den Secure Score ein?
Eine häufige Annahme ist, dass der Secure Score ausschließlich Office 365 bewertet. Das war in den Anfangsjahren teilweise richtig, trifft heute aber längst nicht mehr zu.
Der aktuelle Secure Score berücksichtigt Empfehlungen aus unterschiedlichen Microsoft Sicherheitsdiensten. Dazu gehören unter anderem:
- Microsoft Entra ID
- Microsoft Defender for Endpoint
- Microsoft Defender for Identity
- Microsoft Defender for Office 365
- Exchange Online
- Microsoft Teams
- SharePoint Online
- Microsoft Defender for Cloud Apps
- Microsoft Purview Information Protection
Darüber hinaus können einzelne Empfehlungen auch durch Drittanbieter-Lösungen oder alternative Schutzmaßnahmen als umgesetzt berücksichtigt werden. Der Secure Score hat sich dadurch von einer Office 365 Checkliste zu einem umfassenderen Posture-Management-Instrument entwickelt.
Für Unternehmen bedeutet das: Der Wert spiegelt heute deutlich mehr wider als nur einzelne Konfigurationen in Exchange oder Teams.
Wie wird der Microsoft Secure Score berechnet?
Eine der häufigsten Fragen in Kundenprojekten lautet: Wie kommt Microsoft eigentlich auf diesen Wert?
Die Berechnungslogik ist vergleichsweise transparent. Jede Verbesserungsempfehlung besitzt einen definierten Punktewert. Je nach Maßnahme werden Punkte erst bei vollständiger Umsetzung oder anteilig anhand der geschützten Benutzer, Geräte oder Ressourcen vergeben.
Der Score ergibt sich aus den erreichten Punkten der vollständig oder teilweise umgesetzten Verbesserungsempfehlungen. Faktoren wie Benutzerwirkung, Implementierungsschwierigkeit und Komplexität helfen bei der Priorisierung der Empfehlungen, verändern aber nicht unmittelbar den Punktewert einer bereits bewerteten Maßnahme. Zusätzlich stellt Microsoft Ansichten bereit, die das mit den vorhandenen Lizenzen erreichbare Potenzial transparenter machen.
Ein typisches Beispiel ist die Multifaktor-Authentifizierung. Wenn Microsoft erwartet, dass alle Benutzer geschützt werden und lediglich die Hälfte der Benutzer über MFA verfügt, wird auch nur ein Teil der möglichen Punkte vergeben.
Die vier zentralen Bewertungsbereiche des Microsoft Secure Scores
Wer genauer in die Secure Score Auswertung schaut, wird feststellen, dass Empfehlungen in verschiedene Kategorien eingeordnet werden.
Identität
Der Bereich Identität umfasst Maßnahmen rund um Benutzerkonten, Administratoren, Rollenmodelle und Authentifizierung. Themen wie Multifaktor-Authentifizierung, Conditional Access, privilegierte Konten oder risikobasierte Anmeldungen spielen hier eine zentrale Rolle.
Geräte
Hier bewertet Microsoft den Sicherheitsstatus der verwalteten Endgeräte. Berücksichtigt werden unter anderem Compliance-Einstellungen, Sicherheitsrichtlinien und der Zustand der durch Defender verwalteten Endpunkte.
Microsoft 365 Dienste und Anwendungen
Diese Kategorie umfasst Sicherheitsmaßnahmen in Exchange Online, Microsoft Teams, SharePoint Online und weiteren Microsoft 365 Diensten. Dabei geht es beispielsweise um Phishing-Schutz, sichere Freigaben oder Richtlinien für externe Benutzer.
Daten
Im Bereich Daten fließen Maßnahmen rund um Informationsschutz, Datenklassifizierung und den Schutz sensibler Informationen ein. Insbesondere Microsoft Purview spielt dabei eine wichtige Rolle.
Was ist ein guter Microsoft Secure Score?
Diese Frage begegnet mir regelmäßig in Kundengesprächen. Die Antwort lautet allerdings nicht 70, 80 oder 90 Prozent.
Ein guter Secure Score hängt immer vom jeweiligen Unternehmen ab, einen allgemeingültigen Mindestwert gibt es nicht.
Microsoft selbst weist darauf hin, dass nicht jede Empfehlung für jede Umgebung sinnvoll oder notwendig ist. Manche Maßnahmen haben erhebliche Auswirkungen auf Benutzer oder Geschäftsprozesse. Andere Empfehlungen setzen zusätzliche Lizenzen voraus oder passen schlicht nicht zum individuellen Risikoprofil eines Unternehmens.
Aus diesem Grund sollte der Secure Score nicht als Wettbewerb verstanden werden. Entscheidend ist nicht, möglichst viele Punkte zu sammeln, sondern die richtigen Maßnahmen umzusetzen.
In unseren Projekten ist deshalb häufig weniger interessant, ob ein Unternehmen 72 oder 82 Prozent erreicht. Wesentlich spannender ist die Frage, welche kritischen Sicherheitsmaßnahmen noch fehlen und welche Risiken dadurch entstehen.
In der Praxis betrachten wir einen Microsoft Secure Score unter 50 % häufig als Hinweis darauf, dass grundlegende Sicherheitsmaßnahmen noch nicht vollständig umgesetzt wurden. Die konkrete Bewertung hängt jedoch immer von der individuellen Umgebung, den eingesetzten Lizenzen und dem Risikoprofil des Unternehmens ab
Die häufigsten Missverständnisse rund um den Secure Score
Ein Score von 90 Prozent bedeutet 90 Prozent Sicherheit
Das stimmt nicht.
Der Wert beschreibt ausschließlich den Umsetzungsgrad der von Microsoft bewerteten Kontrollen. Er sagt nichts darüber aus, wie wahrscheinlich ein Sicherheitsvorfall ist oder welche finanziellen Auswirkungen ein Angriff haben könnte.
Ein hoher Score bedeutet automatisch Compliance
Auch diese Annahme ist falsch.
Der Secure Score kann technische Nachweise und Informationen für Compliance-Prozesse liefern. Er ersetzt jedoch keine regulatorische Bewertung und keine formale Compliance-Prüfung.
100 Prozent sollten immer das Ziel sein
Nicht unbedingt.
Microsoft betont selbst, dass manche Empfehlungen nicht für jede Umgebung geeignet sind. Eine sinnvolle Sicherheitsstrategie muss immer die Balance zwischen Risikoreduzierung, Benutzerfreundlichkeit und betrieblicher Realität berücksichtigen.
Zwei Unternehmen mit identischem Score sind gleich sicher
Auch das lässt sich so nicht sagen.
Unterschiedliche Lizenzen, andere Geschäftsprozesse, verschiedene Microsoft Dienste und individuelle Risikoentscheidungen führen dazu, dass identische Werte durchaus eine völlig unterschiedliche Aussagekraft haben können.
Warum wir uns den Secure Score in Kundenprojekten immer zuerst anschauen
Wenn wir die Sicherheitslage eines Microsoft 365 Tenants bewerten, ist der Secure Score häufig einer der ersten Anlaufpunkte.
Nicht weil er die komplette Sicherheitsstrategie eines Unternehmens abbildet. Dafür wäre die Realität deutlich zu komplex.
Der Score liefert jedoch innerhalb weniger Minuten einen strukturierten Überblick über mögliche Schwachstellen, offene Maßnahmen, Konfigurationsdrift und vorhandene Potenziale. Genau deshalb eignet er sich hervorragend als Ausgangspunkt für ein Tenant Hardening Projekt oder ein umfassenderes Security Assessment.
Besonders hilfreich ist dabei die Priorisierung der Empfehlungen. Microsoft bewertet nicht nur die mögliche Punktesteigerung, sondern berücksichtigt auch Aufwand, Komplexität und Benutzerwirkung. Dadurch entsteht eine nachvollziehbare Roadmap statt einer unübersichtlichen Liste einzelner Sicherheitsmaßnahmen.
Von der Bewertung zur konkreten Maßnahmenplanung
Spätestens an diesem Punkt stellt sich in vielen Unternehmen die entscheidende Frage: Was tun wir jetzt mit dem Ergebnis?
Denn ein Secure Score allein verbessert noch keine Sicherheit. Er zeigt lediglich, wo Microsoft Potenzial für Verbesserungen sieht und welche Maßnahmen aus Sicht des Herstellers sinnvoll sein könnten. Die eigentliche Herausforderung beginnt erst danach: die Ergebnisse richtig einzuordnen, zu priorisieren und daraus eine realistische Sicherheits-Roadmap abzuleiten.
In der Praxis erleben wir häufig zwei Extreme. Einige Unternehmen konzentrieren sich ausschließlich auf die Maßnahme mit der höchsten Punktzahl und versuchen, ihren Score möglichst schnell nach oben zu bringen. Andere werfen einen Blick auf die lange Liste von Empfehlungen, fühlen sich von der Menge an Informationen erschlagen und lassen das Thema anschließend liegen.
Beides führt selten zum gewünschten Ergebnis.
Nicht jede Empfehlung ist automatisch die wichtigste
Microsoft bewertet Empfehlungen unter anderem nach möglicher Punktesteigerung, Implementierungsaufwand und Auswirkungen auf die Benutzer. Das ist eine wertvolle Orientierungshilfe. Trotzdem kennt Microsoft weder Ihre Geschäftsprozesse noch Ihre individuellen Risiken.
Ein Beispiel: Eine Maßnahme mit zehn möglichen Punkten wirkt auf den ersten Blick attraktiver als eine Empfehlung mit zwei Punkten. In der Realität kann jedoch genau diese kleinere Maßnahme ein deutlich größeres Risiko adressieren. Deshalb sollte die Priorisierung nie ausschließlich anhand der Punktzahl erfolgen.
Aus meiner Sicht lohnt es sich stattdessen, jede Empfehlung anhand von drei Fragen zu bewerten:
- Welches konkrete Risiko wird reduziert?
- Welche Benutzer oder Geschäftsprozesse sind betroffen?
- Wie hoch ist der tatsächliche Umsetzungsaufwand?
Erst aus dieser Kombination entsteht eine sinnvolle Entscheidungsgrundlage.
Von der Empfehlung zur Security-Roadmap
Genau hier entwickelt der Secure Score seinen größten Nutzen. Die Empfehlungen liefern eine strukturierte Übersicht über potenzielle Verbesserungen. Daraus lässt sich Schritt für Schritt eine Roadmap für das Tenant Hardening entwickeln.
In vielen Projekten starten wir beispielsweise mit Maßnahmen im Bereich Identitätsschutz. Dazu zählen unter anderem die Absicherung administrativer Konten, die Einführung oder Optimierung von Multifaktor-Authentifizierung sowie die Bereinigung veralteter Authentifizierungsverfahren. Anschließend folgen häufig Themen rund um Exchange Online, Teams, SharePoint oder den Schutz von Endgeräten.
Das Ziel besteht dabei nicht darin, möglichst viele Punkte zu sammeln. Ziel ist eine nachvollziehbare Reihenfolge von Maßnahmen, die das tatsächliche Risiko Schritt für Schritt reduziert.
Warum eine Einordnung durch Experten sinnvoll sein kann
Der Microsoft Secure Score liefert viele Informationen. Was er nicht liefert, ist die Einordnung im Kontext Ihrer individuellen Microsoft 365 Umgebung.
Genau deshalb beginnen viele unserer Security-Projekte mit einer gemeinsamen Analyse des Scores. Wir betrachten nicht nur den aktuellen Wert, sondern insbesondere die dahinterliegenden Empfehlungen, deren Auswirkungen auf den Geschäftsbetrieb und die Frage, welche Maßnahmen den größten Sicherheitsgewinn versprechen.
Häufig zeigt sich dabei, dass bereits mit vorhandenen Microsoft Funktionen und ohne zusätzliche Lizenzkosten spürbare Verbesserungen möglich sind. In anderen Fällen empfiehlt sich eine umfassendere Hardening-Strategie, um besonders kritische Angriffsflächen zu schließen.
Secure Score richtig einordnen
Sie möchten wissen, wie aussagekräftig Ihr aktueller Microsoft Secure Score wirklich ist und welche Maßnahmen für Ihre Umgebung sinnvoll sind?
In unserer Secure Score Beratung analysieren wir gemeinsam Ihre Ergebnisse, priorisieren die wichtigsten Handlungsfelder und entwickeln eine konkrete Roadmap für die weitere Absicherung Ihres Microsoft 365 Tenants.
Fazit
Der Microsoft Secure Score ist weit mehr als eine Kennzahl im Microsoft Defender Portal. Richtig eingesetzt liefert er einen strukturierten Überblick über den Sicherheitsstatus eines Microsoft 365 Tenants, priorisiert Verbesserungsmaßnahmen und unterstützt Unternehmen dabei, ihre Sicherheitsstrategie kontinuierlich weiterzuentwickeln.
Gleichzeitig sollte der Wert niemals isoliert betrachtet werden. Ein hoher Score macht einen Tenant nicht automatisch sicher, genauso wie ein niedriger Score nicht zwangsläufig auf kritische Schwachstellen hinweist. Die eigentliche Aussagekraft entsteht erst durch die Einordnung der Empfehlungen und die Bewertung der individuellen Risiken.
Wer den Secure Score als Ausgangspunkt für eine Sicherheits-Roadmap versteht und nicht als Selbstzweck, erhält eines der wertvollsten Werkzeuge für die kontinuierliche Absicherung von Microsoft 365.
