Was ist Microsoft Secure Score?
Secure Score ist eine von Microsoft bereitgestellte Kennzahl im Microsoft Defender-Portal. Sie fasst den Stand empfohlener Maßnahmen für unterstützte Produkte und Sicherheitsbereiche zusammen. Dazu gehören unter anderem Identitäten, Apps, Geräte und Daten.
Microsoft beschreibt die Kennzahl als Messung des Sicherheitsstatus. Sie zeigt, welche empfohlenen Maßnahmen bereits berücksichtigt sind und wo weitere Verbesserungen möglich sind.
Wie wird der Secure Score berechnet?
Jede empfohlene Maßnahme besitzt eine erreichbare Punktzahl. Für vollständig oder teilweise umgesetzte Maßnahmen werden Punkte vergeben. Einige Maßnahmen werden binär bewertet, andere anteilig – zum Beispiel nach dem Anteil geschützter Benutzer.
Die angezeigte Prozentzahl setzt die erreichten Punkte ins Verhältnis zur maximal erreichbaren Punktzahl der berücksichtigten Empfehlungen. Änderungen an Konfigurationen werden je nach Produkt und Datenquelle nicht immer im selben Rhythmus sichtbar.
Was ist ein guter Microsoft Secure Score?
Es gibt keinen allgemein gültigen Zielwert, der für jede Organisation dasselbe Sicherheitsniveau belegt. Der erreichbare Wert hängt unter anderem von den eingesetzten Microsoft-Produkten, vorhandenen Lizenzen, akzeptierten Risiken und alternativen Schutzmaßnahmen ab.
Bewerten Sie nicht nur die Prozentzahl. Prüfen Sie, welche Maßnahmen fehlen, welche davon für Ihre Umgebung relevant sind und ob eine alternative Risikominderung tatsächlich wirksam und dokumentiert ist.
Was sagt Secure Score nicht aus?
- Der Wert ist keine Garantie gegen Sicherheitsvorfälle.
- Er ist kein vollständiger Nachweis für BSI, NIS2, ISO 27001 oder die DSGVO.
- Er ersetzt keine Bewertung organisationsspezifischer Ausnahmen und Betriebsprozesse.
- Ein hoher Wert beweist nicht, dass jede relevante Richtlinie die richtigen Benutzer, Anwendungen und Ressourcen erfasst.
- Nicht jede technische oder organisatorische Prüffrage eines individuellen Audits ist als Secure-Score-Maßnahme abgebildet.
Wie lässt sich der Secure Score sinnvoll verbessern?
- Empfohlene Maßnahmen nach möglicher Risikoreduktion und betroffenen Ressourcen priorisieren.
- Lizenzabhängigkeiten, Nebenwirkungen und bestehende Kompensationsmaßnahmen prüfen.
- Änderungen zunächst kontrolliert testen, besonders bei Conditional Access.
- Umgesetzte Maßnahmen technisch nachweisen und Ausnahmen dokumentieren.
- Den Verlauf beobachten, ohne die Prozentzahl zum alleinigen Sicherheitsziel zu machen.
Die aktuelle Microsoft-Dokumentation erläutert die Berechnung und Einordnung von Microsoft Secure Score sowie die Bearbeitung empfohlener Maßnahmen.
Wie unterscheidet sich M365 Audit von Microsoft Secure Score?
M365 Audit ruft Microsoft Secure Score derzeit nicht ab und verwendet die Microsoft-Kennzahl nicht für die eigene Bewertung. Das Werkzeug nutzt einen eigenen versionierten Katalog mit 53 Kontrollen. Es trennt den Sicherheitswert der auswertbaren Kontrollen von der Prüfabdeckung und kennzeichnet fehlende Berechtigungen, Lizenzen, Workloads oder manuelle Nachweise.