Schluss mit der Jagd nach 100 %: Warum der Mythos vom perfekten Secure Score verschwinden muss

Von Mirko Peters · 2026-08-22

Willkommen zurück im Blog! Wenn Sie einen Microsoft 365-Mandanten verwalten, kennen Sie das ungute Gefühl beim Öffnen des Microsoft Def…

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Willkommen zurück im Blog! Wenn Sie einen Microsoft 365-Mandanten verwalten, kennen Sie mit hoher Wahrscheinlichkeit das nagende Unbehagen, wenn Sie das Microsoft Defender-Portal öffnen. Sie navigieren zum Bereich Exposure Management, werfen einen Blick auf den Microsoft Secure Score Ihrer Organisation und geraten sofort in Panik. Ist 42 % schlecht? Sollten wir bis Quartalsende bei 90 % liegen? Warum hat Bob aus der IT die Schaltfläche zum Beheben der verbleibenden Empfehlungen noch nicht angeklickt? Seien wir ehrlich: Viele IT-Administratoren und Sicherheitsverantwortliche tappen in die gefährliche Falle, den Secure Score wie eine Schulnote zu behandeln. Wir gehen davon aus, dass alles unter einer Eins plus bedeutet, dass unser Netzwerk verwundbar ist, unsere Jobs auf dem Spiel stehen und Hacker aktiv unsere Abwehr umgehen.

Diese Denkweise ist nicht nur falsch, sie kann die betriebliche Effizienz und die Sicherheitslage Ihrer Organisation aktiv schwächen. In diesem Beitrag entlarven wir den Mythos vom perfekten Secure Score von 100 %, erklären, wie die Berechnung tatsächlich funktioniert, beleuchten die zentralen Säulen und zeigen Ihnen, wie Sie dieses Werkzeug als praktische Roadmap statt als Eitelkeitskennzahl nutzen. Wenn Sie tiefer in das Thema einsteigen und eine Zusammenfassung der Kernkonzepte hören möchten, hören Sie sich unbedingt die begleitende Podcast-Folge an: Microsoft Secure Score - Simply Explained.

Was ist Microsoft Secure Score wirklich?

Um zu verstehen, warum das Streben nach 100 % ein aussichtsloses Unterfangen ist, müssen wir zunächst klären, was Microsoft Secure Score eigentlich ist. Zu viele Menschen behandeln ihn wie einen Schwachstellenscanner oder einen automatisierten Penetrationstest. Das ist er nicht. Der Secure Score ist im Kern ein Werkzeug zur Messung der Konfiguration, das bewertet, wie viele der empfohlenen Sicherheitskontrollen von Microsoft in Ihrem Microsoft 365-Mandanten aktiviert sind. Er betrachtet Ihre Einrichtung, nicht reale Bedrohungen.

Betrachten Sie ihn als eine interaktive, intelligente Checkliste, die auf Ihre konkrete Microsoft-Lizenzumgebung zugeschnitten ist. Er beantwortet grundlegende Fragen zu Architektur und Governance, etwa ob Multi-Faktor-Authentifizierung global erzwungen wird, ob veraltete Authentifizierungsprotokolle blockiert sind und ob Sicherheitsrichtlinien für Ihre Benutzer und Geräte aktiv sind. Er liefert eine laufend aktualisierte Sicht auf den Zustand Ihrer Sicherheitskonfiguration und dient als Ausgangsmessung, nicht als Garantie dafür, dass Sie nie einen Cybervorfall erleben werden.

So wird der Secure Score tatsächlich berechnet

Wer die Mathematik hinter dem Secure Score versteht, begreift besser, warum die Werte schwanken und warum Perfektion kaum erreichbar ist. Die zugrunde liegende Formel ist einfach: Erreichte Punkte geteilt durch die insgesamt verfügbaren Punkte ergibt Ihren Secure Score in Prozent. Wie die Punkte vergeben werden, hängt jedoch vom jeweiligen Empfehlungstyp ab.

Organisationen erhalten Punkte auf zwei Hauptwegen:

• Binäre Kontrollen: Hier gilt Alles-oder-nichts. Zum Beispiel wird das Blockieren veralteter Authentifizierung oder das Erzwingen der Standard-Sicherheitseinstellungen entweder umgesetzt oder nicht. Ist die Kontrolle vollständig aktiviert, erhalten Sie alle verfügbaren Punkte. Bleibt sie ausgeschaltet, erhalten Sie null Punkte.
• Anteilige Kontrollen: Diese Empfehlungen vergeben Teilpunkte auf Basis der Nutzungsquote. Wenn BitLocker-Verschlüsselung zum Beispiel auf 80 % Ihrer verwalteten Geräte bereitgestellt und aktiv ist, vergibt der Secure Score etwa 80 % der verfügbaren Punkte für diese konkrete Kontrolle. Dieser Mechanismus zeigt Organisationen schrittweise Fortschritte, während sie Sicherheitsrichtlinien über große Benutzerkreise oder Gerätebestände ausrollen.

Warum ein Score von 100 % ein Mythos ist

Hier ist die harte Wahrheit, die jeder IT-Leiter hören muss: Wenn Ihre Organisation einen Secure Score von 100 % hat, machen Sie wahrscheinlich etwas falsch, oder Sie arbeiten in einer seltsam einfachen, homogenen Umgebung. Microsoft selbst erwartet von Organisationen nicht, dass sie 100 % erreichen. Eine perfekte Punktzahl über alle Bereiche hinweg ist für die allermeisten modernen Unternehmen praktisch unmöglich, und zwar aus mehreren unvermeidbaren Gründen.

Erstens spielen Lizenzvorgaben eine große Rolle. Viele erweiterte Sicherheitsempfehlungen setzen bestimmte Lizenzstufen wie Microsoft 365 E5 oder spezielle Zusatzlizenzen voraus. Wenn Ihre Organisation überwiegend Business Standard oder E3 nutzt, bleiben bestimmte wertvolle Empfehlungen dauerhaft außer Reichweite und begrenzen Ihre maximal erreichbare Punktzahl.

Zweitens geraten Geschäftsanforderungen häufig mit strengen Sicherheitskonfigurationen in Konflikt. Möglicherweise nutzen Sie Fachanwendungen, die auf älteren Protokollen basieren, oder externe Partneranforderungen verhindern, dass Sie bestimmte Basisrichtlinien aktivieren. Hinzu kommen akzeptierte Geschäftsrisiken und betrieblicher Aufwand. Wer blind jedes Kästchen ankreuzt, kann die Produktivität beeinträchtigen und Endbenutzer frustrieren. Eine gesunde Organisation bringt Sicherheit und Benutzerfreundlichkeit in Einklang, und dabei entstehen zwangsläufig Lücken in Ihrem Secure Score.

Die vier Säulen von Secure Score

Um Ihre Sicherheitslage wirksam zu steuern, gliedert Microsoft die Secure-Score-Empfehlungen in vier Hauptsäulen. Wenn Sie diese Kategorien verstehen, können Sicherheitsteams ihre Aufgaben dort priorisieren, wo sie am meisten bewirken.

Identität

Die Identität bleibt in moderner Cloud-Architektur der Perimeter. Diese Säule konzentriert sich vor allem auf Multi-Faktor-Authentifizierung (MFA), Richtlinien für bedingten Zugriff, Regeln zum Schutz starker Kennwörter und die vollständige Abschaffung der Legacy-Authentifizierung. Da kompromittierte Anmeldedaten der häufigste Angriffsvektor für Bedrohungsakteure sind, fällt diese Kategorie in der Gesamtbewertung meist deutlich ins Gewicht.

Geräte

Endpoint-Sicherheit ist angesichts zunehmend verteilter Belegschaften entscheidend. Geräteempfehlungen betreffen die Konfiguration von Microsoft Defender Antivirus, die Aktivierung von Attack Surface Reduction (ASR)-Regeln, die Durchsetzung der BitLocker-Verschlüsselung sowie die Aktivierung des Manipulationsschutzes. Dieser verhindert, dass lokale Benutzer oder schädliche Skripte Sicherheitsfunktionen auf Firmenlaptops und Arbeitsstationen deaktivieren.

Daten

Data Governance wird oft erst nach einem Vorfall ernst genommen. Diese Säule dreht sich um Vertraulichkeitsbezeichnungen, Data-Loss-Prevention-(DLP)-Richtlinien, automatisierte Verschlüsselung und die Compliance-Funktionen von Microsoft Purview. Diese Kontrollen helfen Organisationen, sensible Unternehmensinhalte und personenbezogene Daten zu klassifizieren, zu schützen und nachzuverfolgen.

Apps

Die Sicherheit von Cloud-Anwendungen umfasst die App-Governance, die Berechtigungen von Drittanbieteranwendungen, OAuth-Zustimmungsrichtlinien und die Nutzung von Schatten-IT. Da Benutzer Drittanbieter-Produktivitätstools ohne Weiteres mit ihren M365-Konten verbinden, ist es entscheidend, die Anwendungsberechtigungen im Blick zu behalten, um unbefugten Datenzugriff zu verhindern.

Häufige Missverständnisse über M365-Sicherheitsmetriken

Missverständnisse rund um Sicherheitsmetriken können zu schlechten Entscheidungen und falsch verteilten Schuldzuweisungen führen. Lassen Sie uns einige verbreitete Mythen ausräumen:

Mythos 1: Ein hoher Score bedeutet, dass Sie unhackbar sind. Das ist absolut falsch. Ein hoher Secure Score bedeutet, dass Ihre Konfiguration den Best Practices von Microsoft entspricht. Er schützt Sie nicht vor raffinierten Zero-Day-Exploits, Insider-Bedrohungen oder Mitarbeitenden, die auf ausgeklügelte Phishing-Kampagnen hereinfallen, weil sie unzureichend geschult sind.

Mythos 2: Ein niedriger Score bedeutet, dass Ihre Organisation inkompetent ist. Viele durchaus sichere Organisationen erreichen Werte zwischen 70 % und 85 %, während kleine Unternehmen am Anfang oft bei 30 % bis 45 % liegen. Der Kontext ist enorm wichtig.

Mythos 3: Sie müssen jede einzelne Empfehlung umsetzen. Wie bereits erläutert, unterbrechen manche Empfehlungen bestehende Arbeitsabläufe, setzen fehlende Lizenzen voraus oder verstoßen gegen interne Richtlinien. Solche Ausnahmen zu dokumentieren, gehört ganz normal zur IT-Administration.

Secure Score als praktische Roadmap nutzen

Statt Secure Score als einschüchternden Zeugnisbogen zu betrachten, nutzen erfolgreiche Administratoren ihn als priorisierte Arbeitsliste. Der Bereich „Empfohlene Maßnahmen“ im Microsoft Defender-Portal liefert wertvolle technische Details, darunter die potenziellen Auswirkungen auf die Sicherheit, die erforderlichen Konfigurationsschritte und direkte Links zu den genauen Verwaltungsbereichen im Admin Center.

Entscheidend ist, dass Microsoft Administratoren erlaubt, den Status von Empfehlungen zu ändern. Wenn eine bestimmte Maßnahme nicht zu Ihrem Geschäftsmodell passt, können Sie sie als Risiko akzeptiert oder Durch alternative Risikominderung behoben markieren. Diese Funktion bewirkt zweierlei: Sie hebt die negative Auswirkung auf Ihren Score auf, und sie erstellt einen dauerhaften Prüfpfad, der erklärt, warum eine bestimmte Entscheidung getroffen wurde. Diese Dokumentation ist für künftige IT-Mitarbeiter, interne Prüfer und Anbieter von Cyber-Versicherungen von unschätzbarem Wert.

Secure Score in Ihre übergeordnete Sicherheitsstrategie einbinden

Denken Sie daran, dass Secure Score nur ein Teil eines umfassenden Sicherheitspuzzles ist. Das Tool misst die Einhaltung statischer Konfigurationen, ersetzt aber weder aktives Threat Hunting noch Echtzeitüberwachung. Secure Score entfaltet seinen größten Nutzen in Kombination mit leistungsstarken Telemetrietools wie Microsoft Defender XDR, Microsoft Sentinel und Microsoft Entra ID Protection.

Während Secure Score dafür sorgt, dass Ihre Türen und Fenster die richtigen Schlösser haben, achten Tools wie Defender for Endpoint und Microsoft Purview auf tatsächliche Einbruchsversuche und überwachen verdächtiges Verhalten innerhalb Ihres Perimeters. Echte Cybersicherheit erfordert einen ganzheitlichen Ansatz, der kontinuierliche Überwachung, Sicherheitsschulungen für Anwender, konsequentes Patch-Management und widerstandsfähige betriebliche Governance umfasst.

Fazit: Setzen Sie auf sinnvolle Verbesserungen statt auf Vanity-Metriken

Letztlich ist Ihr wichtigstes Ziel als IT-Profi nicht, auf einem Microsoft-Dashboard eine glänzende 100 % zu erreichen. Ihr Ziel ist es, die Daten Ihrer Organisation zu schützen, Benutzeridentitäten abzusichern, die Ausfallsicherheit des Betriebs zu gewährleisten und die Produktivität im Unternehmen ohne unnötige Reibungsverluste zu ermöglichen. Das Hinterherjagen willkürlicher Vanity-Metriken führt oft zu überstürzten Implementierungen, gestörten Arbeitsabläufen der Benutzer und erschöpften IT-Teams.

Statt sich über jeden fehlenden Prozentpunkt zu ärgern, konzentrieren Sie sich auf kontinuierliche, schrittweise Verbesserungen, die Ihre Sicherheitslage tatsächlich stärken. Nehmen Sie zuerst die Identitäts- und Gerätekontrollen mit der größten Wirkung in Angriff, dokumentieren Sie Ihre geschäftlich begründeten Ausnahmen sorgfältig und betrachten Sie Secure Score als Wegweiser, nicht als Ihren Herrn.

Ein vertiefendes, praxisnahes Gespräch zu genau diesem Thema mit Tipps aus dem Administratorenalltag und architektonischen Einblicken finden Sie in der passenden Podcast-Folge: Microsoft Secure Score - Simply Explained. Bis zum nächsten Mal: Halten Sie Ihre Mandanten sicher und Ihre Arbeitsabläufe reibungslos!