Microsoft Secure Score: Bedeutung, Maximalwert und Verbesserung

Der Microsoft Secure Score ist die zentrale Sicher­heits­bewer­tung für Microsoft 365 und Azure Umgebungen. Er wird im Microsoft Defender Portal unter security.microsoft.com als prozentualer Wert angezeigt und täglich aktualisiert.

Microsoft analysiert dabei die Konfiguration Ihres Tenants in vier Sicher­heits­kate­gorien:

Identität (Identity): Multi-Faktor-Authentifizierung, Conditional Access Policies, Entra ID Einstellungen, privilegierte Konten und Rollenmanagement.

Geräte (Devices): Endpoint Protection über Microsoft Defender for Endpoint, Microsoft Intune Compliance Policies, Gerä­tever­schlüs­selung und Updatemanagement.

Daten (Data): Data Loss Prevention (DLP), Sensitivity Labels, Microsoft Information Protection, Aufbe­wahrungs­richt­linien und Verschlüsselung.

Applikationen (Apps): OAuth App-Kontrollen, Cloud App Security, App-Berechtigungen und Drittanbieter-Integrationen.

Für jede umgesetzte Empfehlung erhalten Sie Punkte. Nicht umgesetzte Empfehlungen bleiben als offenes Potenzial bis zum Maximalwert stehen. Das Ergebnis ist Ihr persönlicher Secure Score - die messbare Grundlage für die Verbesserung Ihrer IT-Sicherheit.

Wichtig: Der Prozentwert allein sagt wenig über Ihre tatsächliche Sicherheit aus. Entscheidend ist, wie viele Punkte Ihr Tenant im Verhältnis zum tatsächlich erreichbaren Maximum Ihrer Lizenz erzielt. Warum das so ist, zeigt die Prozentfalle beim Microsoft Secure Score.

Lesen Sie auch unseren Leitfaden zur Microsoft 365 Sicherheit.

Die Bedrohungslage im Bereich Cybersecurity verschärft sich kontinuierlich. Gleichzeitig aktualisiert Microsoft regelmäßig seine Sicher­heits­empfeh­lungen und erweitert den Katalog der bewerteten Konfigurationen. Ein heute guter Secure Score kann morgen bereits gesunken sein - nicht weil sich Ihre Konfiguration verschlechtert hat, sondern weil neue Empfehlungen hinzugekommen sind.

Typische Risiken bei einem niedrigen Secure Score:

Kompromittierte Benutzerkonten durch fehlende oder unvollständige Multi-Faktor-Authentifizierung. Erfolgreiche Phishing-Angriffe durch fehlende Conditional Access Policies und unzureichende E-Mail-Sicherheit. Datenabfluss durch fehlendes Data Loss Prevention und unkontrollierte App-Berechtigungen. Unerkannte Bedrohungen durch fehlende Endpoint Detection and Response (EDR) Konfiguration. Compliance-Verstöße gegen regulatorische Anforderungen wie NIS2, DSGVO oder bran­chen­spezi­fische Vorgaben.

Die konti­nuier­liche Optimierung des Microsoft Secure Score ist kein einmaliges Projekt - es ist ein fortlaufender Sicher­heits­prozess. Genau dafür gibt es unseren Microsoft Secure Score Managed Service (SSMS).

Im Rahmen des SSMS stellen wir unter anderem sicher, dass Funktionen wie Multi-Admin Approval aktiviert sind - eine Maßnahme, die den Stryker-Wipe-Angriff vom März 2026 hätte verhindern können.

Cyberrisiken gehören auf die Agenda von Geschäftsführung, Vorstand und Beirat - spätestens seit NIS2 die Geschäftsleitung verpflichtet, die Umsetzung der Sicher­heits­maßnahmen zu überwachen. Dafür braucht es Kennzahlen, die auch ohne IT-Fachwissen verständlich sind und sich über die Zeit vergleichen lassen. Der Microsoft Secure Score eignet sich dafür gut, wenn er richtig gelesen wird.

Für das Reporting an die Geschäftsleitung empfehlen wir diese Kennzahlen:

• Absolute Punktzahl und Abstand zum erreichbaren Maximum: zeigt, wie viel Schutz Ihre Lizenzen ermöglichen und wie viel davon tatsächlich genutzt wird.
• Entwicklung seit dem letzten Bericht: macht Fortschritte sichtbar, aber auch Rückschritte durch neue Empfehlungen von Microsoft oder geänderte Einstellungen.
• Abdeckung mit phishing-resistenter MFA: Anteil der Konten mit phishing-resistenter Anmeldung, getrennt nach Administratoren und Mitarbeitenden.
• Verwaltete und geschützte Endgeräte: Anteil der Geräte, die über Microsoft Intune verwaltet und durch Microsoft Defender geschützt sind.
• Offene Risiken mit hoher Wirkung: die wichtigsten noch nicht umgesetzten Maßnahmen - jeweils mit der Angabe, ob sie geplant oder bewusst als Risiko akzeptiert sind.

Im Microsoft Secure Score Managed Service erhalten IT-Leitung und Geschäftsführung regelmäßig einen verständlichen Bericht mit der Entwicklung des Secure Score, den umgesetzten Maßnahmen und den offenen Risiken - als belastbare Grundlage für die Über­wachungs­pflicht nach § 38 BSIG. Mehr dazu auf unserer Seite NIS2 und Microsoft 365.

1. Multi-Faktor-Authen­tifi­zierung (MFA) für alle Benutzer aktivieren. MFA ist die einzelne Maßnahme mit dem höchsten Sicherheitsgewinn. Sie verhindert über 99% der kontobasierten Angriffe und bringt signifikante Punkte im Bereich Identität.

2. Conditional Access Policies konfigurieren. Steuern Sie, von welchen Geräten, Standorten und unter welchen Bedingungen Zugriffe auf Ihre Unternehmensdaten erlaubt sind.

3. Legacy-Authen­tifi­zierung blockieren. Ältere Authen­tifi­zierungs­proto­kolle wie POP3, IMAP und SMTP Auth unterstützen kein MFA und sind ein beliebtes Einfallstor für Angreifer.

4. Privilegierte Admi­nistra­torkonten absichern. Dedizierte Admin-Konten, minimale Rollenzuweisungen und Privileged Identity Management (PIM) in Microsoft Entra ID reduzieren das Risiko erheblich.

5. Microsoft Defender for Endpoint aktivieren und konfigurieren. Endpoint Detection and Response (EDR) erkennt Bedrohungen auf Endgeräten in Echtzeit und liefert wichtige Punkte im Bereich Geräte.

6. Data Loss Prevention (DLP) Richtlinien einrichten. Verhindern Sie den unbeabsichtigten oder beabsichtigten Abfluss sensibler Unternehmensdaten per E-Mail, Chat oder Cloud-Speicher.

7. Sensitivity Labels und Microsoft Information Protection einführen. Klassifizieren und schützen Sie vertrauliche Dokumente automatisch basierend auf ihrem Inhalt.

8. Safe Attachments und Safe Links in Defender for Office 365 aktivieren. Schutz vor Malware in E-Mail-Anhängen und bösartigen Links ist essentiell für die E-Mail-Sicherheit.

9. Audit Logging und Alert Policies konfigurieren. Aktivieren Sie das Unified Audit Log und richten Sie Alarme für verdächtige Aktivitäten ein, um Bedrohungen frühzeitig zu erkennen.

10. Regelmäßige Review-Zyklen etablieren. Microsoft erweitert die Secure Score Empfehlungen fortlaufend. Nur regelmäßige Überprüfungen stellen sicher, dass Ihr Score nicht absinkt.

Sie möchten diese Maßnahmen professionell umsetzen lassen? Sprechen Sie mit unseren Security-Experten.

Microsoft 365 Tenant Check - Ihre Sicher­heits­analyse als Startpunkt

Der Tenant Check ist eine umfassende, einmalige Sicher­heits­bewer­tung Ihres Microsoft 365 Tenants. Er liefert Ihnen ein klares Bild Ihrer aktuellen Sicherheitslage und einen priorisierten Maßnahmenkatalog.

Was beinhaltet der Tenant Check?

Ermittlung Ihres aktuellen Microsoft Secure Score und Vergleich mit Benchmark-Werten vergleichbarer Organisationen. Analyse der Konfiguration in allen vier Sicher­heits­kate­gorien: Identität, Geräte, Daten und Applikationen. Prüfung der Conditional Access Policies und MFA-Konfiguration. Bewertung der Microsoft Defender Einstellungen und Endpoint Protection. Erstellung eines priorisierten Maßnahmenkatalogs mit konkreten Hand­lungs­empfeh­lungen. Abschlussbericht mit Score-Bewertung, identifizierten Risiken und empfohlenen nächsten Schritten.

Für wen ist der Tenant Check geeignet? Für Unternehmen, die erstmalig eine professionelle Sicher­heits­bewer­tung ihrer Microsoft 365 Umgebung durchführen lassen möchten oder vor der Entscheidung für einen laufenden Managed Service stehen.

→ Mehr erfahren: Microsoft 365 Tenant Check im Detail

Was umfasst der Managed Service?

Regelmäßige Bewertung Ihres Secure Score durch einen dedizierten Microsoft Security Spezialisten der InSys AG^® - quartalsweise, monatlich oder nach individueller Vereinbarung. Identifikation neuer Sicher­heits­empfeh­lungen und Bewertung ihrer Relevanz für Ihre Umgebung. Umsetzung priorisierter Maßnahmen zur Score-Verbesserung in enger Abstimmung mit Ihrem IT-Team. Monitoring technischer Veränderungen in Microsoft 365 und proaktive Information über erforderliche Anpassungen. Regelmäßiges Reporting mit Score-Entwicklung, umgesetzten Maßnahmen und verbleibenden Empfehlungen. Prüfung und Optimierung Ihrer Conditional Access Konfiguration, Microsoft Defender Einstellungen und Identity Protection.

Unser Ziel: Gemeinsam mit Ihnen vereinbaren wir einen individuellen Secure-Score-Zielwert und halten ihn dauerhaft. Entscheidend ist dabei, dass dieser Zielwert auf dem vollständig erschlossenen, maximal erreichbaren Score basiert. Wir sorgen also nicht nur dafür, dass Ihr Prozentwert stimmt, sondern dass auch das zugrunde liegende Maximum jederzeit vollständig aktiviert und an neue Microsoft-Empfehlungen angepasst bleibt.

NIS2: Für Unternehmen, die unter NIS2 fallen, ist der SSMS die Grundlage, um den Tenant dauerhaft NIS2-konform zu halten: § 30 BSIG verlangt, die Wirksamkeit der Sicher­heits­maßnahmen regelmäßig zu bewerten.

Zertifizierter Microsoft Solutions Partner für Security: Die InSys AG^® ist mehrfach zertifizierter Microsoft Solutions Partner in den Bereichen Sicherheit, KI-Geschäftslösungen und Azure Infrastructure. Unser Leitfaden für Microsoft 365 Sicherheit.

Erfahrung seit 1991: Seit 1991 betreuen wir als IT Systemhaus aus Bielefeld und Hamburg Unternehmen im gesamten Bundesgebiet.

80.000+ Microsoft 365 Lizenzen: Als einer der führenden Microsoft Cloudpartner in Deutschland verfügen wir über tiefgreifendes Praxis-Know-how aus hunderten von Microsoft 365 Umgebungen.

Hunderte erfolgreiche Migrationen: Mehr als 300 erfolgreiche Microsoft 365 Migrationen und die Erfahrung aus der Absicherung unter­schied­lichster Branchen und Unter­nehmens­größen.

Microsoft Direct Cloud Solution Provider: Als Microsoft CSP beraten wir Sie auch zur optimalen Lizenzierung für maximale Sicherheit.

1. Transparente Sicher­heits­bewer­tung: Der Microsoft Secure Score bietet eine klare Übersicht über den aktuellen Sicherheitsstatus Ihrer Microsoft-Dienste. Dies hilft Unternehmen, potenzielle Sicherheitslücken zu erkennen und zu priorisieren, welche Maßnahmen zur Verbesserung der Sicherheit ergriffen werden sollten.

2. Verbesserung der Sicherheitslage: Durch die Nutzung des Microsoft Secure Score für Office 365 können Unternehmen gezielt an der Verbesserung ihrer Sicher­heits­prak­tiken arbeiten. Die Bewertung zeigt auf, wie Sie Ihren Microsoft 365 Secure Score erhöhen können, indem Sie empfohlene Sicher­heits­maßnahmen umsetzen.

3. Integration mit Microsoft Defender: Der Microsoft Defender Secure Score und der Secure Score in Microsoft Defender for Cloud bieten zusätzliche Sicherheitsebenen, indem sie spezifische Empfehlungen zur Absicherung von Cloud-Diensten und Identitäten geben. Dies ist besonders wichtig in einer Zeit, in der Sicherheitslücken bei Microsoft und anderen Plattformen häufig auftreten.

4. Benchmarking und Consulting: Mit dem Microsoft Secure Score Benchmark können Unternehmen ihre Sicher­heits­bewer­tung mit anderen Organisationen vergleichen. Ergänzend bietet die InSys AG^® Microsoft Secure Score Consulting an, um Unternehmen bei der Umsetzung von Sicher­heits­stra­tegien zu unterstützen.

5. Aktuelle Sicherheitslücken: Die Microsoft Sicher­heits­bewer­tung hilft dabei, aktuelle Sicherheitslücken zu identifizieren. Durch regelmäßige Überprüfungen und Updates können Unternehmen sicherstellen, dass sie gegen die neuesten Bedrohungen gewappnet sind.

Im Rahmen des SSMS stellen wir unter anderem sicher, dass Funktionen wie Multi-Admin Approval aktiviert sind - eine Maßnahme, die den Stryker-Wipe-Angriff vom März 2026 hätte verhindern können.