Exposure Management: Was Microsoft Security Exposure Management Unternehmen mit E5 bereits heute bietet

• Microsoft Security Exposure Management bündelt im Microsoft Defender Portal Geräte, Identitäten, Cloud-Ressourcen und die externe Angriffsfläche in einer Sicht und zeigt, über welche Angriffspfade ein Angreifer kritische Systeme erreichen könnte.
• Die Lösung ist unter anderem in Microsoft 365 E5 und in den Microsoft Defender Suite Lizenzen enthalten, eine separate Installation ist nicht nötig.
• Seit dem 28. Oktober 2026 stehen Posture Policies und zentral verwaltete Ausnahmen für Azure-Umgebungen als öffentliche Vorschau bereit.
• Exposure Management ist kein einmaliges Projekt: Angriffspfade, kritische Assets und Empfehlungen ändern sich laufend und müssen fortlaufend bewertet und abgearbeitet werden.
• Im Microsoft Secure Score Managed Service (SSMS) der InSys AG^® übernehmen unsere Security System Engineers genau diese Aufgabe dauerhaft für Ihren Microsoft Tenant.

Klassisches Schwachstellenmanagement zählt Lücken. Exposure Management fragt, welche dieser Lücken ein Angreifer tatsächlich nutzen kann, um an die wichtigsten Systeme eines Unternehmens zu gelangen. Microsoft ordnet Microsoft Security Exposure Management dem Ansatz Continuous Threat Exposure Management (CTEM) zu: Angriffsfläche fortlaufend erfassen, Risiken nach ihrer tatsächlichen Wirkung priorisieren und gezielt beheben.

Microsoft Security Exposure Management ist seit November 2024 allgemein verfügbar und Teil des Microsoft Defender Portals unter security.microsoft.com. Eine eigene Installation gibt es nicht, die Funktionen liegen im Bereich Exposure Management.

• Eine Sicht auf alle Assets: Endgeräte, Identitäten, Cloud-Ressourcen in Azure, AWS und GCP sowie die externe Angriffsfläche landen in einem gemeinsamen Exposure Graph.
• Angriffspfade: Die Lösung simuliert, wie ein Angreifer von einem Einstiegspunkt bis zu kritischen Zielen vordringen könnte, auch über die Grenze zwischen lokalem Active Directory und Cloud hinweg. Engstellen (Choke Points), über die viele Pfade laufen, zeigen, wo eine einzelne Maßnahme besonders viel Risiko beseitigt.
• Kritische Assets: Vordefinierte Regeln markieren automatisch besonders schützenswerte Systeme und Konten, eigene Regeln lassen sich ergänzen.
• Ein Empfehlungskatalog: Seit November 2025 fasst Exposure Management die Empfehlungen aus Microsoft Secure Score, Defender for Cloud und Defender Vulnerability Management in einem Katalog zusammen, gegliedert nach Geräten, Cloud, Identitäten, SaaS-Apps und Daten.
• Übersichts-Dashboard: Das neue Dashboard (Vorschau seit Juni 2026) teilt die Arbeit in zwei Bereiche: Resolve Now mit priorisierten Aufgaben für internetexponierte und geschäftskritische Assets und Monitor Exposure mit dem aktuellen Stand der Angriffsfläche.

Laut der Microsoft-Dokumentation zu den Neuerungen kamen zuletzt diese Funktionen hinzu:

• Posture Policies und Ausnahmen für Azure (Vorschau seit 28. Oktober 2026): Azure-Ressourcen werden gegen die Basisrichtlinie von Microsoft Defender for Cloud bewertet. Eigene Posture Policies passen die Bewertung an Geschäfts- und Compliance-Vorgaben an. Akzeptierte Risiken lassen sich zentral als Ausnahme verwalten und über ihren Lebenszyklus nachverfolgen.
• KI-Agenten als kritische Assets (Juni 2026): Eine neue Regel stuft KI-Agenten als kritisch ein, die von Führungskräften erstellt wurden oder ihnen gehören. Solche Agenten handeln mit den Rechten der Führungskraft und haben oft Zugriff auf sensible Daten.
• Breite lokale Adminrechte (Juni 2026): Konten, die auf vielen Servern oder Arbeitsplätzen lokale Administratoren sind, gelten jetzt automatisch als kritisch.
• Microsoft 365 Dienste als kritische SaaS-Apps (Juni 2026): Entra ID, Azure, Intune, Exchange Online, SharePoint Online, Teams, Purview und weitere Dienste sind als kritische SaaS-Anwendungen vordefiniert. Voraussetzung ist das Onboarding in Microsoft Defender for Cloud Apps.
• OT-Datenconnectoren (Juli 2026): Daten aus Armis, Dragos und Forescout bringen Maschinen und Anlagen der Produktion in dieselbe Sicht wie die IT.

Laut Microsoft ist die Lösung unter anderem enthalten in:

• Microsoft 365 E5
• Microsoft 365 E3 mit bestimmten Zusatzlizenzen
• den Microsoft Defender Suite Lizenzen

Den vollen Nutzen bringt sie, wenn Microsoft Defender for Cloud mit CSPM und Microsoft Defender Vulnerability Management aktiv sind. Datenconnectoren für Drittanbieter wie Tenable, Qualys, Rapid7 oder ServiceNow sind in der Vorschau kostenlos, nach der allgemeinen Verfügbarkeit rechnet Microsoft sie nach der Zahl der abgerufenen Assets ab. Die Lösung steht nur in der öffentlichen Microsoft Cloud zur Verfügung, nicht in nationalen Clouds.

Die Lizenz allein senkt kein Risiko. Exposure Management zeigt Angriffspfade, kritische Assets und priorisierte Empfehlungen, umsetzen muss sie jemand. Und das Bild ändert sich ständig:

• Neue Empfehlungen: Microsoft erweitert den Empfehlungskatalog und die Regeln für kritische Assets laufend, allein 2026 nahezu jeden Monat.
• Neue Angriffspfade: Jedes neue Konto, jede geänderte Berechtigung und jede neue Cloud-Ressource kann einen Pfad öffnen, der gestern noch nicht existierte.
• Neue Assets: KI-Agenten, SaaS-Anwendungen und OT-Geräte erweitern die Angriffsfläche schneller, als viele IT-Abteilungen sie erfassen.
• Nachweispflichten: Akzeptierte Risiken müssen begründet und dokumentiert werden, etwa im Rahmen von NIS2 mit Microsoft 365.
• Keine Historie: Exposure Management speichert nur den aktuellen Datenstand, mindestens 14 Tage lang. Wer Fortschritte belegen will, muss sie selbst festhalten.

In der Praxis bleibt diese Arbeit im Tagesgeschäft liegen. Die Folge: Unternehmen bezahlen E5, nutzen aber nur einen Bruchteil davon.

Genau hier setzt der Microsoft Secure Score Managed Service (SSMS) der InSys AG^® an. Im SSMS kümmern sich unsere Security System Engineers dauerhaft um die Sicherheitslage Ihres Microsoft Tenants, und Exposure Management ist fester Bestandteil davon:

• Angriffspfade bewerten: Wir werten die Angriffspfade in Ihrem Tenant aus, beginnen mit den Choke Points und schließen die Pfade, die zu Ihren kritischen Systemen führen.
• Kritische Assets pflegen: Wir prüfen die automatisch erkannten kritischen Assets und ergänzen eigene Regeln für Systeme, die Microsoft nicht kennen kann, etwa Ihr ERP oder Ihre Produktionsserver.
• Empfehlungen umsetzen: Wir arbeiten die priorisierten Empfehlungen aus Secure Score, Defender und Exposure Management ab, statt sie nur aufzulisten.
• Risiken dokumentieren: Was bewusst nicht umgesetzt wird, dokumentieren wir als begründete Ausnahme, nachvollziehbar für Geschäftsführung, Prüfer und Versicherer.
• Neuerungen einordnen: Neue Funktionen und Regeln von Microsoft bewerten wir für Ihren Tenant und setzen um, was Ihr Risiko senkt.

Der SSMS umfasst ausschließlich Microsoft-Produkte. So holen Sie aus Ihren vorhandenen Lizenzen den Schutz heraus, für den Sie bereits bezahlen.

• Verzögerung: Daten aus Microsoft-Produkten stehen laut Microsoft innerhalb von 72 Stunden im Exposure Graph bereit. Für die Erkennung laufender Angriffe ist weiterhin Microsoft Defender XDR zuständig.
• Vollständige Sicht nur mit vollem Gerätezugriff: Wer nur auf einen Teil der Gerätegruppen in Defender for Endpoint berechtigt ist, sieht betroffene Assets und Angriffspfade nur in seinem Bereich.
• Sensorversion: Für die Klassifizierung kritischer Geräte muss der Defender for Endpoint Sensor mindestens Version 10.3740 haben.

1. Lizenz prüfen: Klären, ob Microsoft 365 E5 oder eine Defender Suite vorhanden ist. Unsere Microsoft Lizenzberatung hilft dabei.
2. Rechte vergeben: Im Microsoft Defender Unified RBAC die Berechtigungen Exposure Management (read) und Exposure Management (manage) gezielt zuweisen, statt mit globalen Administratorrollen zu arbeiten.
3. Ausgangslage erheben: Mit dem Microsoft Tenant Sicherheitscheck erhalten Sie zum Festpreis eine Bewertung Ihres Tenants.
4. Betrieb klären: Entscheiden, wer Angriffspfade, kritische Assets und Empfehlungen dauerhaft betreut, intern oder im SSMS der InSys AG^®.

Die InSys AG^® ist Microsoft Solutions Partner für Security, für KI-Geschäftslösungen und für Azure Infrastructure und Microsoft Direct CSP. Kunden lizenzieren über die InSys AG^® mehr als 80.000 Microsoft 365 Lizenzen. Wir richten Microsoft Security Exposure Management in Ihrem Tenant ein und betreiben es dauerhaft im Microsoft Secure Score Managed Service, auf Basis von Microsoft Defender XDR und unserem Angebot rund um Microsoft 365 Security. Rufen Sie uns an unter +49 (521) 260105-0 oder nutzen Sie das Kontaktformular am Ende dieser Seite.