Schwachstellenmanagement mit Microsoft 365: CVEs automatisch mit dem eigenen Software-Inventar abgleichen

• Schwachstellenmanagement bedeutet, bekannte Sicherheitslücken (CVEs) laufend mit der tatsächlich installierten Software im Unternehmen abzugleichen und die gefährlichsten zuerst zu schließen.
• Microsoft Defender Vulnerability Management erledigt diesen Abgleich automatisch. Die Kernfunktionen sind in Microsoft 365 Business Premium über Defender for Business sowie in Microsoft 365 E5 über Defender for Endpoint Plan 2 enthalten.
• Das Werkzeug wirkt nur, wenn die Empfehlungen regelmäßig ausgewertet und umgesetzt werden, denn Schwachstellen werden heute oft innerhalb von weniger als 24 Stunden ausgenutzt.
• Die InSys AG^® übernimmt die regelmäßige Auswertung und Umsetzung als Bestandteil des Microsoft Secure Score Managed Service.

Schwachstellenmanagement ist der laufende Prozess, bekannte Sicherheitslücken in der eingesetzten Software zu erkennen, nach Risiko zu bewerten und zu schließen. Grundlage ist die öffentliche CVE-Liste (Common Vulnerabilities and Exposures), in der jede bekannte Schwachstelle eine eindeutige Kennung erhält. Für Unternehmen zählt dabei nur eine Frage: Welche dieser Lücken betreffen genau die Software, die bei uns installiert ist?

Die Menge macht einen manuellen Abgleich praktisch unmöglich. Laut Microsoft Digital Defense Report 2026 wurden allein im ersten Halbjahr 2026 fast 40.000 CVEs veröffentlicht, für das Gesamtjahr erwartet Microsoft rund 72.000. Gleichzeitig vergehen von der Entdeckung einer Schwachstelle bis zu ihrer aktiven Ausnutzung inzwischen meist weniger als 24 Stunden. Unternehmen brauchen dagegen typischerweise 30 bis 60 Tage, um kritische, von außen erreichbare Lücken zu schließen. Die Hintergründe haben wir in unserem Beitrag Cyberangriffe auf Unternehmen zusammengefasst.

Bemerkenswert ist, dass die am häufigsten ausgenutzte Schwachstelle in der Telemetrie von Microsoft aus dem Jahr 2020 stammt: CVE-2020-1472 (Netlogon) steht für 58 Prozent der Erkennungen. Das Problem ist also selten die neueste Lücke, sondern die bekannte, die niemand geschlossen hat.

Die Funktion heißt Microsoft Defender Vulnerability Management und ist im Microsoft Defender Portal unter Exposure Management zu finden. Sie arbeitet mit denselben Sensoren, die Defender auf Ihren Endgeräten ohnehin für die Angriffserkennung nutzt. Ein zusätzlicher Scanner ist nicht nötig.

Das Prinzip in vier Schritten:

1. Software-Inventar: Defender erfasst auf jedem eingebundenen Gerät die installierte Software mit Hersteller und Version, auch Installationen, Deinstallationen und Patches.
2. Abgleich mit der CVE-Datenbank: Über standardisierte Produktkennungen (CPE) wird jede Software automatisch mit bekannten Schwachstellen aus mehreren Sicherheitsquellen verknüpft. Neue Erkenntnisse erscheinen innerhalb von Minuten im Portal.
3. Risikobasierte Priorisierung: Statt einer endlosen Liste zeigt das Portal, welche Schwachstellen tatsächlich ausgenutzt werden, wie viele Geräte betroffen sind und ob eine Lücke mit einer aktiven Angriffskampagne in Verbindung steht.
4. Empfehlungen und Nachverfolgung: Für jede Schwachstelle gibt es eine konkrete Sicherheitsempfehlung, etwa ein Update oder eine Konfigurationsänderung, deren Umsetzung sich verfolgen lässt.

Zusätzlich bewertet die Funktion Fehlkonfigurationen von Betriebssystemen und Anwendungen. Diese Bewertung fließt direkt in den Microsoft Secure Score für Geräte ein.

Die Kernfunktionen sind in vielen Lizenzen bereits enthalten, ohne dass Sie etwas zusätzlich kaufen müssen:

• Microsoft 365 Business Premium: enthält Microsoft Defender for Business mit den Kernfunktionen des Schwachstellenmanagements, also Software-Inventar, Schwachstellenbewertung, Empfehlungen und Nachverfolgung.
• Microsoft 365 E5 und Defender for Endpoint Plan 2: enthalten ebenfalls die Kernfunktionen.
• Microsoft 365 E3 und Defender for Endpoint Plan 1: enthalten das Schwachstellenmanagement nicht. Hier ist Defender Vulnerability Management als eigenständige Lizenz erhältlich.

Erweiterte Funktionen wie die Prüfung gegen Sicherheits-Baselines nach CIS, das Blockieren verwundbarer Anwendungen oder die Bewertung von Browser-Erweiterungen, Zertifikaten und Firmware gibt es als Add-on zu Defender for Endpoint Plan 2 und Microsoft 365 E5. Welche Variante zu Ihrem Bestand passt, klären wir gerne im Rahmen einer Lizenzberatung zu Microsoft 365 Business Premium.

In vielen Tenants, die wir prüfen, ist das Schwachstellenmanagement technisch aktiv, aber niemand schaut regelmäßig hinein. Das Dashboard füllt sich mit Empfehlungen, die betroffenen Geräte bleiben verwundbar. Ein Werkzeug, das Lücken findet, aber nicht zu ihrer Beseitigung führt, verbessert die Sicherheit nicht.

Wirksames Schwachstellenmanagement ist deshalb eine Routine mit festen Zuständigkeiten:

• Wöchentliche Auswertung: neue kritische Schwachstellen und Schwachstellen mit bekannten Exploits sichten.
• Klare Fristen: Aus dem Internet erreichbare Systeme und Identitätssysteme innerhalb von 72 Stunden aktualisieren, wie es Microsoft im Digital Defense Report 2026 empfiehlt.
• Automatisierung, wo möglich: Windows und Microsoft 365 Apps per Windows Autopatch aktualisieren, damit sich das Team auf Drittanbieter-Software konzentrieren kann.
• Ausnahmen dokumentieren: Software, die sich nicht aktualisieren lässt, isolieren, ersetzen oder die Ausnahme mit Begründung festhalten.
• Software-Wildwuchs abbauen: Das Inventar zeigt oft Programme, die niemand mehr braucht. Jede deinstallierte Anwendung ist eine Angriffsfläche weniger.
• Erfolg messen: nicht die Zahl der eingespielten Patches, sondern die Zahl der betroffenen Geräte und die Zeit bis zur Behebung.

Diese Routine hilft auch bei Nachweispflichten. Die NIS2-Richtlinie fordert ausdrücklich einen Umgang mit Schwachstellen. Mehr dazu lesen Sie auf unserer Seite zu NIS2 und Microsoft 365.

Im Rahmen unseres Microsoft Secure Score Managed Service übernehmen wir die regelmäßige Auswertung des Schwachstellenmanagements in Ihrem Microsoft 365 Tenant. Wir sichten neue Schwachstellen, bewerten sie nach Risiko, setzen Empfehlungen um oder stimmen sie mit Ihnen ab und verfolgen offene Punkte, bis sie erledigt sind. So erhält das Thema dauerhaft die Aufmerksamkeit, die es braucht, ohne Ihr IT-Team zusätzlich zu belasten.

Wenn Sie zuerst wissen möchten, wo Ihr Tenant heute steht, ist der Microsoft Tenant Sicherheitscheck der richtige Einstieg. Die InSys AG^® ist Microsoft Solutions Partner für Security und betreut als Microsoft 365 Partner für Security Kunden mit mehr als 80.000 Microsoft 365 Lizenzen. Sie erreichen uns telefonisch unter +49 (521) 260105-0 oder über das Kontaktformular am Ende dieser Seite.