CSPM und Secure Score meistern: Ein Leitfaden für Cloud Security Posture Management

Von Mirko Peters · 2026-08-13

Willkommen zurück im Blog! Wenn Sie schon einmal auf ein Cloud-Dashboard gestarrt und sich gefragt haben, ob Ihr Unternehmen wirklich sicher ist, sind Sie definitiv nicht allein. Die Verwaltung von Sicher…

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Willkommen zurück im Blog! Wenn Sie schon einmal auf ein Cloud-Dashboard gestarrt und sich gefragt haben, ob Ihr Unternehmen tatsächlich sicher ist, sind Sie damit definitiv nicht allein. Sicherheit in moderner Infrastruktur zu verwalten fühlt sich ein bisschen an, als würde man versuchen, einen fahrenden Zug zu streichen. Virtuelle Maschinen werden hochgefahren, Speicherkonten angelegt und Container in rasantem Tempo bereitgestellt. In diesem Beitrag tauchen wir tief in die Welt des Cloud Security Posture Management (CSPM) ein und klären, was Kennzahlen wie der Secure Score für Ihr Unternehmen wirklich bedeuten. Bevor wir ins Detail gehen, empfehle ich Ihnen die begleitende Podcast-Folge. Sie können sie anhören und mehr erfahren, indem Sie die Episodenseite Microsoft Defender for Cloud - Simply Explained besuchen.

Einführung in Microsoft Defender for Cloud

Wenn Menschen zum ersten Mal den Namen Microsoft Defender hören, denken sie oft an klassische Antivirensoftware auf einem Firmenlaptop oder einem physischen Büroserver. Microsoft Defender for Cloud gehört jedoch zu einer völlig anderen Klasse von Sicherheitswerkzeugen. Sein Einsatzbereich ist deutlich breiter und weitaus strategischer. Statt nur ein einzelnes Betriebssystem vor Schadsoftware zu schützen, bewertet Defender for Cloud den Sicherheitszustand Ihres gesamten Cloud-Ökosystems. Es bietet umfassende Transparenz darüber, wie Ressourcen konfiguriert sind, erkennt verdächtige Aktivitäten in Echtzeit und hilft ausgelasteten IT-Teams, Prioritäten zu setzen, welche Probleme sofort behoben werden müssen. Wer das traditionelle Denken in einzelnen Endpunkten hinter sich lässt, kann seinen gesamten digitalen Fußabdruck durch eine einheitliche Brille betrachten.

Warum Cloud-Sicherheit kompliziert wird

Moderne Cloud-Umgebungen ändern sich ständig. Virtuelle Maschinen, Datenbanken, Speicherkonten, Container und andere Dienste lassen sich innerhalb weniger Minuten erstellen, oft von verschiedenen Entwicklungs- oder Betriebsteams. Ein temporärer Testserver kann online bleiben, während Remote Desktop Protocol (RDP) oder Secure Shell (SSH) direkt aus dem öffentlichen Internet erreichbar sind. Speicherkonten könnten versehentlich öffentlichen Lesezugriff erlauben, oder ein altes Administratorkonto behält weitreichende Berechtigungen, obwohl es längst nicht mehr benötigt wird. Die Herausforderung wird noch größer, wenn Unternehmen eine Multicloud-Strategie verfolgen, die Azure, Amazon Web Services (AWS), Google Cloud Platform (GCP) und klassische On-Premises-Infrastruktur umfasst. Defender for Cloud liefert in diesen miteinander verbundenen Umgebungen den nötigen Sicherheitskontext, statt Sicherheitsteams zu zwingen, jede einzelne Ressource isoliert zu untersuchen.

Cloud Security Posture Management (CSPM) verstehen

Einer der wichtigsten Bausteine dieses gesamten Sicherheitskonzepts ist das Cloud Security Posture Management, kurz CSPM. Betrachten Sie CSPM als eine kontinuierliche, automatisierte Sicherheitsprüfung Ihrer Cloud-Infrastruktur. Defender for Cloud bewertet fortlaufend Konfigurationen und sucht nach zugrunde liegenden Schwachstellen, etwa übermäßigen Identitätsberechtigungen, fehlenden Verschlüsselungsstandards, unsicheren Netzwerkregeln sowie Ressourcen, die von den Compliance-Richtlinien der Organisation abweichen. Da sich Cloud-Infrastruktur kontinuierlich verändert, laufen diese Bewertungen im Hintergrund, sobald neue Ressourcen entstehen oder bestehende geändert werden. CSPM sorgt dafür, dass aus einer Konfigurationsabweichung nicht unbemerkt ein massiver Sicherheitsvorfall wird.

Secure Score und Risikominderung richtig interpretieren

Ein zentrales Konzept innerhalb von CSPM ist der Secure Score. Er bietet einen übergeordneten Überblick darüber, wie viele empfohlene Sicherheitskontrollen bereits umgesetzt wurden und wo noch Verbesserungsbedarf besteht. Viele Teams tappen jedoch in eine verbreitete Falle: Sie behandeln den Secure Score wie eine Schulnote und jagen einer unerreichbaren Bewertung von 100 Prozent hinterher. Ziel des Secure Score ist nicht, eine reine Eitelkeitskennzahl der Perfektion zu erreichen. Stattdessen identifizieren die Empfehlungen hinter dem Score konkrete Ressourcen und Maßnahmen, mit denen sich das Organisationsrisiko tatsächlich senken lässt. Wer sich auf Maßnahmen mit hoher Wirkung konzentriert, maximiert seine Risikominderung, ohne Zeit für unbedeutende Konfigurationsanpassungen zu verschwenden.

Angriffspfade erkennen und Risiken priorisieren

Nicht jedes Sicherheitsergebnis stellt für Ihr Unternehmen das gleiche Risiko dar. Genau hier werden fortgeschrittene Werkzeuge wie die Angriffspfadanalyse unverzichtbar. Defender for Cloud kann potenzielle Wege identifizieren, über die ein entschlossener Angreifer von einer exponierten Ressource mit geringem Wert bis zu sensiblen Systemen oder kritischen Geschäftsdaten vordringen könnte. Beispielsweise könnte eine öffentlich erreichbare virtuelle Maschine mit einer Identität verbunden sein, die zu weitreichende Berechtigungen besitzt, und diese wiederum Zugriff auf eine hochsensible Produktionsdatenbank ermöglichen. Einzeln betrachtet wirkt jede Konfiguration vielleicht beherrschbar oder lässt sich leicht übersehen. Zusammen ergeben sie jedoch einen erheblichen Angriffspfad. Darüber hinaus kann Defender for Cloud Engpassstellen aufdecken, an denen die Behebung einer einzigen Schwachstelle gleichzeitig mehrere potenzielle Angriffspfade schließt.

Workload-Schutz über alle Umgebungen hinweg

Während sich die Sicherheitslage vor allem auf die Konfiguration konzentriert, betrifft der Workload-Schutz das, was in Ihrer Umgebung aktiv ausgeführt wird. Defender for Cloud stellt je nach Workload-Typ unterschiedliche spezialisierte Defender-Pläne bereit, darunter einen leistungsstarken Schutz für Server, Speicherkonten, Container und Datenbanken. Statt einen generischen Sicherheitsmechanismus auf alles anzuwenden, können Organisationen das Schutzniveau nach Bedeutung und Exposition des jeweiligen Workloads wählen. Bei Servern kann Defender for Cloud zugrunde liegende Softwareschwachstellen, fehlende Betriebssystem-Updates und andere Sicherheitsschwächen erkennen. Microsoft Defender for Endpoint ergänzt dies nahtlos, indem es Prozesse, Dateien und verdächtiges Verhalten innerhalb des Betriebssystems überwacht. Zusammen liefern diese Werkzeuge sowohl Kontext auf Workload-Ebene als auch auf Cloud-Ebene.

Zugriff absichern mit Just-in-Time (JIT)

Administrative Verwaltungsports wie RDP oder SSH dauerhaft für alle offen zu lassen, schafft eine völlig unnötige Sicherheitsexposition. Der Just-in-Time-Zugriff (JIT) auf Server ist ein deutlich klügerer Ansatz. Der Verwaltungszugriff kann vollständig geschlossen bleiben, bis ein Administrator tatsächlich Wartungsarbeiten durchführen muss. Bei einer Anfrage wird der Zugriff für einen genehmigten, begrenzten Zeitraum freigeschaltet und danach automatisch wieder gesperrt. Dadurch verkürzt sich die Zeitspanne, in der administrative Schnittstellen potenziellen Angreifern im Internet ausgesetzt sind, erheblich.

Speicher, Container und Datenbanken schützen

Unterschiedliche Workloads erfordern von Haus aus unterschiedliche Sicherheitskontrollen. Defender for Storage kann neu hochgeladene Dateien auf Schadsoftware prüfen und ungewöhnliche, verdächtige Zugriffsmuster erkennen. Der Containerschutz konzentriert sich stark auf Container-Images, zugrunde liegende Konfigurationen und das Laufzeitverhalten, während der Datenbankschutz ungewöhnliche Abfragen, auffälliges Anmeldeverhalten und datenbezogene Bedrohungen erkennen kann. Ziel ist nie, jeden einzelnen Asset mit einem einzigen, monolithischen Sicherheitsscan zu prüfen. Entscheidend ist, einen tiefgehenden, spezialisierten Schutz bereitzustellen, der auf die besonderen Eigenschaften jedes Workloads zugeschnitten ist.

Sicherheitstransparenz in Multicloud- und Hybridumgebungen

Die meisten modernen Unternehmen arbeiten nicht mehr ausschließlich in einer einzigen Cloud-Umgebung. Defender for Cloud kann verbundene Azure-, AWS-, GCP- und lokale Ressourcen in einer einheitlichen Sicherheitsansicht zusammenführen. Das Asset-Inventar ist in solchen komplexen Szenarien von entscheidender Bedeutung. Organisationen müssen genau wissen, welche Ressourcen existieren, wo sie physisch oder logisch angesiedelt sind und ob die erwartete Sicherheitsabdeckung tatsächlich aktiviert ist. Ein Sicherheitsdashboard kann keine Ressourcen schützen, die nie verbunden oder ordnungsgemäß eingebunden wurden. Die Abdeckung muss aktiv überprüft statt blind vorausgesetzt werden, denn vergessene Abonnements oder Konten können sich schnell zu blinden Flecken entwickeln.

Kontinuierliche Compliance und Standards

Über die allgemeine Sicherheitslage hinaus kann Defender for Cloud Ihre Ressourcen fortlaufend anhand anerkannter Sicherheits- und Compliance-Standards bewerten. Dazu gehören etwa die CIS-Benchmarks, NIST-Frameworks, ISO 27001, HIPAA, PCI DSS und der Microsoft Cloud Security Benchmark. Statt sich kurz vor einem Audit hektisch auf manuelle Screenshots und statische Tabellen zu verlassen, können Teams ihren aktuellen Kontrollstatus in Echtzeit prüfen und genau die Ressourcen ermitteln, die für fehlgeschlagene Prüfungen verantwortlich sind. Wichtig ist: Compliance sollte niemals mit vollständiger Sicherheit verwechselt werden. Die Erfüllung eines definierten Kontrollsatzes beseitigt nicht automatisch Schwachstellen oder gestohlene Zugangsdaten. Compliance bietet jedoch einen strukturierten Weg, Anforderungen zu messen und kontinuierlichen Fortschritt nachzuweisen.

So starten Sie mit Defender for Cloud

Eine praktische Umsetzung beginnt immer damit, zu verstehen, was Sie tatsächlich betreiben. Erfassen Sie Ihre Azure-Abonnements, Cloud-Server, Speicherkonten, Datenbanken, Container und Multicloud-Workloads. Prüfen Sie anschließend Ihre Sicherheitsabdeckung, bevor Sie versuchen, Hunderte Warnmeldungen auf einmal abzuarbeiten. Beginnen Sie mit dem Posture Management, indem Sie Ihren Secure Score überprüfen und sich vor allem auf Befunde mit hohem Risiko konzentrieren. Priorisieren Sie kritische Probleme wie öffentliche Erreichbarkeit aus dem Internet, schwache Identitätskontrollen, offene Verwaltungsports und fehlende Sicherheitspatches. Aktivieren Sie den Workload-Schutz anschließend nach geschäftlicher Bedeutung, statt blind alles einzuschalten. Weisen Sie den Befunden schließlich klare Verantwortliche zu und etablieren Sie einen wiederkehrenden Überprüfungsprozess, damit aus Empfehlungen tatsächliche Behebungsarbeit wird.

Das Wichtigste in Kürze

Microsoft Defender for Cloud vereint Cloud Security Posture Management, Workload-Schutz, Angriffspfadanalyse, Multicloud-Transparenz, Ressourcenabdeckung und Compliance-Überwachung zu einer leistungsstarken Suite. Das eigentliche Ziel ist nie, einem theoretisch perfekten Secure Score hinterherzujagen. Es geht darum, zu verstehen, wo Ihre wichtigsten geschäftlichen Risiken liegen, und die einfachsten Angriffswege, die Angreifer ausnutzen könnten, systematisch zu schließen. Ein guter erster Schritt ist einfach: Binden Sie ein Abonnement an, prüfen Sie, welche Ressourcen in Ihrer Abdeckungsansicht erscheinen, ermitteln Sie die eine am stärksten exponierte Ressource und weisen Sie jemandem in Ihrem Team die Behebung zu. Um tiefer in dieses Thema einzusteigen und eine großartige Diskussion zu hören, sehen Sie sich unbedingt die passende Podcast-Folge an: Microsoft Defender for Cloud - Simply Explained.