Was der Microsoft Secure Score Ihnen nicht sagt

Inhalt in Kürze

• Microsoft sagt es selbst: Der Secure Score ist „keine absolute Messung, wie wahrscheinlich Ihr System oder Ihre Daten verletzt werden könnten”.
• Er bewertet Konfiguration, nicht Wirkung. Eine Regel, die im Berichtsmodus steht, kann Punkte bringen, ohne zu schützen.
• Vier Lücken kennt er gar nicht: Backups, geübte Notfallabläufe, verwaiste Konten, bereits erfolgte Angriffe.
• Trotzdem nützlich — als Verlaufskurve. Gefährlich wird er erst als Zielzahl.

Ein Geschäftsführer zeigte uns im Erstgespräch stolz seinen Bildschirm: 82 Prozent Secure Score. Sein bisheriger Dienstleister hatte das als Nachweis geliefert, dass die IT sicher sei.

Zwei Wochen später fanden wir in demselben Mandanten sechs Administratorkonten ohne zweiten Faktor und eine Weiterleitung nach außen, die seit vierzehn Monaten lief.

Beides ist kein Widerspruch. Man muss nur wissen, was die Zahl misst.

Was der Secure Score misst

Der Secure Score ist eine Punktzahl im Microsoft-Defender-Portal. Sie steigt, wenn Sie empfohlene Sicherheitseinstellungen umsetzen. Jede empfohlene Maßnahme ist höchstens zehn Punkte wert; die meisten werden binär bewertet, manche anteilig.

Microsoft nennt in der eigenen Dokumentation ein sprechendes Beispiel: Wer 50 von 100 Benutzern mit Mehr-Faktor schützt, bekommt fünf von zehn möglichen Punkten. Rechnerisch korrekt — nur schützt Mehr-Faktor bei der Hälfte der Belegschaft eben nicht die Hälfte des Betriebs. Ein Angreifer sucht sich die andere Hälfte.

Was Microsoft selbst dazu schreibt

Das ist der Teil, der in Verkaufsgesprächen selten vorkommt. In der Dokumentation steht unter der Überschrift „Risikobewusstsein” ein bemerkenswert klarer Absatz. Sinngemäß: Die Bewertung sei keine absolute Messung dafür, wie wahrscheinlich eine Verletzung sei. Sie zeige, in welchem Umfang Sicherheitskontrollen genutzt werden — und dürfe nicht als Garantie gegen Sicherheitsverletzungen verstanden werden.

Die vier Lücken

Vier Fragen, die im Ernstfall über den Schaden entscheiden, kommen im Punktesystem nicht vor. Nicht, weil Microsoft schlampt — sondern weil sie sich technisch aus dem Mandanten nicht beantworten lassen.

1. Funktioniert Ihre Datensicherung? Der Score kennt Ihre Sicherungslösung nicht. Ob die letzte Wiederherstellung tatsächlich getestet wurde, weiß nur, wer es getan hat.
2. Ist Ihr Notfallablauf geübt? Ein Plan im Aktenschrank bringt null Punkte und null Nutzen. Ein durchgespielter Plan bringt ebenfalls null Punkte — aber im Ernstfall Stunden.
3. Gehören Ihre Konten Menschen, die noch im Haus sind? Verwaiste Konten mit gültigem Kennwort sind das bevorzugte Ziel für Kennwortangriffe. Im Score tauchen sie nicht auf.
4. War schon jemand da? Der Score bewertet Einstellungen, nicht Spuren. Ob in den letzten Monaten jemand in Ihrem Postfach war, beantwortet nur das Prüfprotokoll — sofern es eingeschaltet war.

Wo der Score wirklich hilft

Das soll kein Verriss werden. Der Secure Score hat zwei echte Stärken, und beide werden unterschätzt.

Als Verlaufskurve ist er wertvoll. Wenn die Zahl über vier Quartale steht, bewegt sich nichts — unabhängig davon, ob sie bei 40 oder bei 80 liegt. Diese Aussage bekommen Sie sonst nirgends so einfach.

Als Aufgabenliste ist er brauchbar. Die Verbesserungsmaßnahmen sind nach Wirkung sortiert und verlinken jeweils die Anleitung; dort steht auch, wie Microsoft die Punkte vergibt und was der Status „durch Drittanbieter gelöst” bedeutet. Wer nicht weiß, wo anfangen, hat damit einen Einstieg. Nur eben keinen Abschluss.

Wir starten jede Zusammenarbeit mit einer Cyber-Risikoanalyse gemeinsam mit der Geschäftsführung. Nicht um Angst zu machen, sondern um ehrlich zu sehen, wo Sie stehen — und was als Erstes passieren muss.

Jens HagelGeschäftsführer, hagel IT-Services GmbH

Was Sie stattdessen als Nachweis nehmen können

Kein einzelner Wert deckt Sicherheit ab. Was in der Praxis trägt, ist eine kurze Liste geprüfter Aussagen — vier bis zwölf Punkte, die jemand nachgesehen hat und die mit Datum belegt sind.

Genau dafür haben wir ein kostenloses Prüfskript veröffentlicht. Es fragt zwölf Punkte im Mandanten ab, schreibt nichts, sendet nichts nach außen und erzeugt einen Bericht auf Deutsch — mit einer Fassung für die IT und einer für die Geschäftsführung. Kann eine Prüfung nicht durchgeführt werden, steht dort „nicht geprüft”, nie „in Ordnung”.

Der Unterschied zum Score ist nicht der Umfang, sondern die Richtung: Der Score sagt, wie viele Empfehlungen Sie umgesetzt haben. Der Bericht sagt, was bei Ihnen konkret offen ist — und was zu tun wäre.

Ihr nächster Schritt

Wenn Sie einen Secure Score von über 70 Prozent haben, ist das ein gutes Zeichen — und ein guter Zeitpunkt, die vier Lücken oben durchzugehen. Erfahrungsgemäß findet sich in mindestens zweien davon Handlungsbedarf.

Welche zwölf Einstellungen wir dabei zuerst ansehen, steht im Beitrag Die 12 Microsoft-365-Einstellungen, die wirklich zählen. Wie ein geübter Notfallablauf aussieht, beschreibt der IT-Notfallplan für den Mittelstand. Und wer das laufend begleitet haben will, findet die Rahmenbedingungen unter Managed IT.