Microsoft Purview Compliance Score im Detail: Wie Punkte, Gewichtungen und Basiswerte tatsächlich funktionieren

Von Mirko Peters · 2026-10-23

Die Berechnung des Compliance Scores in Microsoft Purview Compliance Manager im Detail erklärt. Erfahren Sie, wie Verbesserungsmaßnahmen, Gewichtungen, Punkte und Basiswerte Ihre Bewertung der Cloud-Sicherheit bestimmen.

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Wer die Mathematik hinter dem Compliance Score von Microsoft Purview versteht, kann abstrakte Sicherheitsbewertungen in messbaren Fortschritt übersetzen. IT-Administratoren und Cloud-Architekten gewinnt dadurch eine klare Grundlage. Wenn Sie verstehen, wie Verbesserungsmaßnahmen, Risikogewichtungen, Modelle der geteilten Verantwortung und Standardbasiswerte zusammenwirken, können Sie Ihren Score korrekt interpretieren, ohne Ihre Cloud-Konfiguration ständig infrage zu stellen.

Das Wichtigste in Kürze

• Der Compliance Score ist ein Prozentwert, der sich aus den Punkten zusammensetzt, die Sie durch abgeschlossene Verbesserungsmaßnahmen in Ihren Bewertungen erreichen.
• Punkte werden anhand von Risikogewichtungen vergeben. Technische Kontrollen mit hoher Wirkung und präventivem Charakter bringen bis zu 27 Punkte.
• Die standardmäßige Bewertung „Data Protection Baseline“ ist auf allen Abonnementstufen enthalten und bildet zentrale Anforderungen aus DSGVO, NIST und ISO ab.
• Punkte können gleichzeitig in mehreren Bewertungen erzielt werden, wenn eine einzelne technische Maßnahme mehr als eine regulatorische Vorgabe erfüllt.
• Scoreaktualisierungen dauern in der Regel etwa 24 Stunden, bis neue Konfigurationsänderungen im Microsoft Purview Dashboard erscheinen.

Wenn die Führungsebene sich am Microsoft Purview Portal anmeldet und das Compliance-Manager-Dashboard öffnet, fällt ihr zuerst ein einzelner, hervorgehobener Prozentwert auf. Für Teams, die mit unübersichtlichen Tabellen und jährlichen Audits arbeiten, liefert diese Zahl eine sofortige Momentaufnahme des Zustands der Organisation. Die genaue Berechnung dahinter sorgt jedoch oft für Verwirrung. Damit die Oberfläche Ihrem Team tatsächlich hilft, sollten Sie verstehen, wie Punkte gesammelt werden, wie Gewichtungen zugewiesen werden und warum sich Ihr Score verändern kann, obwohl Sie keine Einstellung angefasst haben.

Der Aufbau eines Compliance Scores

Im Kern ist der Compliance Score ein Verhältnis: erreichte Punkte geteilt durch die insgesamt verfügbaren Punkte, ausgedrückt als Prozentwert. Jedes Mal, wenn Ihre Organisation eine Verbesserungsmaßnahme abschließt, oder wenn Microsoft im Rahmen des Modells der geteilten Verantwortung seinen Anteil erledigt, werden Punkte zu Ihrer Summe addiert.

Der Gesamtscore ist jedoch kein einfacher Durchschnitt Ihrer einzelnen Bewertungswerte. Da sich Compliance-Frameworks häufig überschneiden, kann eine einzige technische Maßnahme Anforderungen mehrerer Regelwerke erfüllen. Wenn Sie eine Maßnahme abschließen, die sowohl für eine DSGVO-Bewertung als auch für eine NIST-Bewertung gilt, können die erzielten Punkte beiden Frameworks zugutekommen. Wenn Sie also mehr Bewertungen verfolgen, kann die Summe der Punkte für exakt dieselbe Gruppe von Sicherheitskonfigurationen höher ausfallen.

Risikogewichtung: Präventive und detektive Maßnahmen

Nicht alle Verbesserungsmaßnahmen sind gleich. Microsoft Purview gewichtet jede Maßnahme danach, wie gut sie ein Risiko verringert. Dieses Gewichtungssystem wirkt wie eine automatische Priorisierung und lenkt Ihr technisches Team zu den Aktivitäten mit der höchsten Sicherheitsrendite.

Präventive Maßnahmen, die eine Fehlkonfiguration oder Bedrohung der Sicherheit verhindern, bevor sie auftreten können, und sich nicht leicht umgehen lassen, erhalten die meisten Punkte. Detektive Maßnahmen dagegen, die Anomalien erst nach ihrem Auftreten lediglich überwachen oder protokollieren, werden mit weniger Punkten bewertet. In den Standardvorlagen erreichen die wertvollsten Maßnahmen maximal 27 Punkte, während Aufgaben mit geringerer Wirkung oder hohem Dokumentationsaufwand nur einen einzigen Punkt wert sein können. Wer diese Gewichtung versteht, vermeidet, dass Teams wochenlang administrative Aufgaben mit geringem Wert abarbeiten, während wirkungsvolle technische Konfigurationen unangetastet bleiben.

Die Rolle der Datenschutz-Baseline

Eine der häufigsten Verwirrungen bei Einsteigern ist, dass bereits am ersten Tag ein Score vorhanden ist, lange bevor eigene Regeln konfiguriert wurden. Dieser Ausgangswert stammt von der Datenschutz-Baseline, einer Standardbewertung, die in jedem Microsoft 365-Abonnement enthalten ist.

Die Baseline übernimmt grundlegende Kontrollen aus weltweit anerkannten Standards und Vorschriften, darunter NIST, ISO, FedRAMP und DSGVO. Compliance Manager prüft Ihre bestehenden Mandanteneinstellungen direkt nach der Bereitstellung und vergibt Punkte für Basis-Sicherheitskontrollen, die standardmäßig bereits aktiv sind. So erhalten Organisationen einen sofort nutzbaren Ausgangspunkt, statt mit einer völlig leeren Seite zu beginnen.

Geteilte Verantwortung und automatisierte Tests

Ein gesunder Compliance-Score beruht stark auf dem Modell der geteilten Verantwortung. Microsoft übernimmt für Sie einen erheblichen Teil der Sicherheit der Cloud-Infrastruktur, und Compliance Manager rechnet Ihrer Organisation diese Schutzmaßnahmen im Hintergrund automatisch an. Ihr Score spiegelt damit die gemeinsame Arbeit der Cloud-Ingenieurteams von Microsoft und Ihrer internen Administratoren wider.

Darüber hinaus verfügen viele technische Maßnahmen über automatisierte Tests. Anstatt manuelle Nachweise oder handschriftliche Notizen zu verlangen, bezieht Compliance Manager Telemetriedaten direkt aus Microsoft Secure Score und Defender for Cloud, um zu prüfen, ob eine Einstellung weiterhin korrekt konfiguriert ist. Automatisierte Tests nehmen den Administratoren zwar wiederkehrenden Aufwand ab, sperren aber die manuelle Bearbeitung dieser speziellen Felder. Sie tauschen dadurch ein Stück administrativer Kontrolle gegen kontinuierliche, automatisierte Genauigkeit ein.

Bedenken Sie, dass Score-Aktualisierungen keine sofortigen Anzeigen wie an einem Spielautomaten sind. Wenn Sie eine neue Sicherheitsrichtlinie implementieren oder eine Mandanteneinstellung ändern, geben Sie dem System bis zu 24 Stunden Zeit, um die Telemetriedaten zu verarbeiten und den Status in Ihrem Dashboard zu aktualisieren.

Fazit

Wer die Berechnung des Compliance-Scores in Microsoft Purview versteht, verwandelt das Werkzeug von einer einschüchternden Blackbox in eine strategische Roadmap für die Cloud-Sicherheit. Wenn Ihr Team versteht, wie Punkte, Risikogewichtungen und Baselines zusammenwirken, kann es hochwertige Aufgaben priorisieren und den Fortschritt gegenüber Stakeholdern und Auditoren klar kommunizieren.

Bereit, tiefer einzusteigen in die Vereinfachung der modernen Microsoft 365-Administration und Governance? Hören Sie sich die vollständige Episode an für eine umfassende, fachchinesisch-freie Erklärung der Workflows, Rollen und Bewertungen in Compliance Manager.

Häufige Fragen

Wie werden Punkte in Microsoft Purview Compliance Manager berechnet?

Punkte werden pro abgeschlossener Verbesserungsmaßnahme innerhalb einer Bewertung vergeben. Jede Maßnahme hat ein festes Gewicht (von 1 bis 27 Punkten), das davon abhängt, ob sie präventiven, detektiven oder korrigierenden Sicherheitsschutz bietet.

Warum ändert sich mein Gesamt-Compliance-Score, obwohl ich keine Einstellungen geändert habe?

Ihr Gesamtscore kann schwanken, wenn Sie neue Bewertungen hinzufügen, wenn automatische Tests den Verifizierungsstatus von Hintergrundkontrollen aktualisieren oder wenn Microsoft die mit Ihrem Mandanten verknüpften Kontrollen der geteilten Verantwortung anpasst.

Wirkt sich eine einzelne Konfigurationsänderung auf mehrere Compliance-Bewertungen aus?

Ja. Erfüllt eine technische Verbesserungsmaßnahme Anforderungen aus mehreren aktiven Vorlagen für Vorschriften (etwa DSGVO und ISO 27001), werden die Punkte für jede relevante Bewertung angerechnet. So steigt Ihr Gesamtscore effizient.

Wie lange dauert es, bis der Compliance-Score nach einer Einstellungsänderung aktualisiert wird?

Konfigurationsänderungen wirken sich in Ihrer technischen Umgebung sofort aus. Das Compliance Manager-Dashboard und der Score benötigen in der Regel jedoch bis zu 24 Stunden, um den aktualisierten Status zu verarbeiten und anzuzeigen.