Wo sind die Risiken im Tenant? Microsoft Secure Score als Ausgangspunkt

Viele Unternehmen setzen Microsoft 365 seit Jahren im Alltag ein, ohne genau zu wissen, wie sicher ihr Tenant, also die eigene, abgeschlossene Microsoft-365-Umgebung des Unternehmens mit allen Benutzerkonten, Geräten und Einstellungen, tatsächlich konfiguriert ist. Gleichzeitig verlagern sich Cyberangriffe zunehmend auf genau diesen Angriffspunkt: gestohlene Zugangsdaten, fehlende Multi-Faktor-Authentifizierung oder zu weit gefasste Berechtigungen reichen oft schon aus, um Zugriff auf sensible Unternehmensdaten zu erlangen. Der Microsoft Secure Score ist dabei häufig der erste Anlaufpunkt, um sich einen strukturierten Überblick zu verschaffen. Er beantwortet allerdings nur einen Teil der Frage, wo die eigentlichen Risiken im Tenant liegen. Wie sich der eigene Tenant konkret einschätzen lässt, zeigen wir unter anderem in unserem Webinar zum Thema Security Check.

Was der Microsoft Secure Score wirklich misst

Der Secure Score ist ein Bewertungsinstrument im Microsoft Defender Portal beziehungsweise im Microsoft 365 Admin Center. Er stellt den Sicherheitsstatus einer Organisation als Prozentwert dar und leitet daraus priorisierte Empfehlungen ab. Vereinfacht gesagt handelt es sich um eine intelligente Checkliste mit Punktesystem, die prüft, welche der von Microsoft empfohlenen Sicherheitsfunktionen bereits aktiv genutzt werden.

Die Bewertung gliedert sich in vier Kategorien:

Innerhalb weniger Minuten entsteht so ein strukturierter Überblick über mögliche Schwachstellen und offene Massnahmen, priorisiert nach Aufwand und Wirkung. Getrennt davon existiert im Microsoft Entra Admin Center zusätzlich der Identity Secure Score, der ausschliesslich auf Identitäts- und Zugriffsthemen fokussiert und häufig mit dem allgemeinen Secure Score verwechselt wird.

Der Secure Score zeigt nur einen Ausschnitt der Realität

So hilfreich der Wert als Einstieg ist, so wichtig ist es, ihn richtig einzuordnen. Der Secure Score bewertet ausschliesslich, in welchem Umfang ein Unternehmen die von Microsoft vorgeschlagenen Sicherheitsfunktionen innerhalb des eigenen Ökosystems nutzt. Sicherheitsmassnahmen von Drittanbietern oder individuelle, unternehmensspezifische Richtlinien fliessen nicht in die Berechnung ein. Ein Unternehmen mit solider, aber stark auf Drittanbieter gestützter Sicherheitsarchitektur kann daher einen vergleichsweise niedrigen Score erhalten, ohne dass die tatsächliche Sicherheitslage schlechter wäre.

Hinzu kommt, dass sich die Berechnungsgrundlage selbst laufend verändert. Microsoft erweitert die bewerteten Kriterien fortlaufend, wie die offizielle Secure-Score-Dokumentation beschreibt, unter anderem um zusätzliche Empfehlungen für Multicloud-Umgebungen. Ein plötzlich sinkender Score bedeutet in solchen Fällen nicht, dass sich am Tenant etwas verschlechtert hat, sondern lediglich, dass der Betrachtungsrahmen grösser geworden ist, wie es auch ein Fachbeitrag zum Umgang mit dem Secure Score einordnet. In der Praxis bewegen sich viele Unternehmen realistischerweise in einem Korridor von etwa 20 bis 55 Prozent, ein Wert von 100 Prozent ist weder das realistische Ziel noch in jedem Fall sinnvoll, da manche Empfehlungen höhere Lizenzstufen voraussetzen oder dem eigenen Geschäftsmodell widersprechen (etwa eine maximale Einschränkung externer Freigaben bei enger Zusammenarbeit mit Partnerunternehmen).

Der Score liefert damit einen guten Ausgangspunkt, ersetzt aber keine ganzheitliche Betrachtung der IT-Sicherheit im Unternehmen, wie sie beispielsweise im Rahmen eines Zero-Trust-Ansatzes verfolgt wird.

Typische Risiken, die im Tenant oft übersehen werden

In der Praxis wiederholen sich bestimmte Schwachstellen über nahezu alle Tenants hinweg, unabhängig von Branche oder Unternehmensgrösse:

• Fehlende oder unvollständige Multi-Faktor-Authentifizierung, insbesondere bei administrativen Konten, die besonders schützenswert sind.
• Veraltete Authentifizierungsprotokolle (Legacy Authentication), die Conditional-Access-Richtlinien umgehen können.
• Überprivilegierte Administratorkonten, die dauerhaft statt nur bei Bedarf mit erhöhten Rechten ausgestattet sind.
• Unkontrollierte Gastzugriffe, die im Zuge von Projekten eingerichtet, aber nie wieder entzogen wurden.
• Fehlende Überwachung von Anmeldeaktivitäten, wodurch ungewöhnliche Login-Versuche unbemerkt bleiben.

Viele dieser Punkte lassen sich mit vergleichsweise geringem Aufwand beheben, werden aber im Tagesgeschäft häufig übersehen, weil sie in einer isolierten Prozentzahl nicht sichtbar werden. Genau hier setzt eine strukturierte Cyber-Security-Beratung an, die über die reine Kennzahl hinausgeht.

Vom Score zur konkreten Massnahme: So geht ein Security Check vor

Ein aussagekräftiges Bild der Tenant-Sicherheit entsteht erst, wenn der Secure Score im Kontext der individuellen Unternehmenssituation bewertet wird. In einem strukturierten Security Check wird dazu zunächst der aktuelle Stand erfasst: Konfiguration, Lizenzlandschaft und bestehende Sicherheitsrichtlinien. Anschliessend werden die vier Bewertungsbereiche des Secure Score im Detail durchleuchtet und mit den tatsächlichen Geschäftsprozessen abgeglichen, etwa der Frage, ob eine Empfehlung zur Einschränkung externer Freigaben mit der Zusammenarbeit mit Partnerunternehmen vereinbar ist. Aus dieser Analyse entsteht ein priorisierter Massnahmenkatalog, der nach Dringlichkeit und Umsetzungsaufwand sortiert ist, statt pauschal auf eine höhere Prozentzahl hinzuarbeiten.

Wir von Baggenstos bieten Unternehmen genau diesen Einstieg im Rahmen eines Webinars zum Thema Security Check an, in dem gezeigt wird, wie sich der eigene Tenant in wenigen Schritten realistisch einschätzen lässt.

Der Secure Score als kontinuierlicher Prozess statt Einmalprojekt

Da Microsoft die Bewertungsgrundlage laufend anpasst und sich die eigene IT-Umgebung durch neue Mitarbeitende, Anwendungen oder Partnerschaften ständig verändert, ist eine einmalige Momentaufnahme nur begrenzt aussagekräftig. Sinnvoller ist eine regelmässige Überprüfung, beispielsweise quartalsweise, bei der neue Empfehlungen eingeordnet und bereits umgesetzte Massnahmen auf ihre fortlaufende Wirksamkeit geprüft werden. So bleibt der Secure Score das, wofür er gedacht ist: ein Steuerungsinstrument, keine Zielgrösse für sich.

‍

‍