Security & Compliance

Microsoft Secure Score

Overview

Microsoft Secure Score misst die Sicherheitslage eines Tenants: Je mehr empfohlene Maßnahmen umgesetzt sind, desto höher der Wert. Er liegt im Microsoft Defender Portal und umfasst Empfehlungen für Microsoft Entra ID, Exchange Online, SharePoint Online, Teams, Defender for Endpoint, Defender for Identity, Defender for Office 365, Defender for Cloud Apps und Purview Information Protection sowie für Fremdprodukte wie Okta, Salesforce, ServiceNow, GitHub oder Zoom.

Die Identitätssicherheitsbewertung (Identity Secure Score) ist der auf Entra ID beschränkte Teil und erscheint im Entra Admin Center unter Empfehlungen. Sie steht Free- und Paid-Kunden zur Verfügung.

Abgrenzung: Der Secure Score bewertet die Konfiguration, nicht das tatsächliche Risiko. Der Compliance Manager in Purview bewertet dagegen die Umsetzung regulatorischer Anforderungen. Ein hoher Score ist kein Sicherheitszertifikat.

How it works

Der Score setzt sich aus einzelnen Maßnahmen zusammen:

  1. Jede empfohlene Maßnahme bringt höchstens 10 Punkte. Die meisten werden binär bewertet, andere anteilig, z. B. MFA für 50 von 100 Benutzern ergibt 5 von 10 Punkten.
  2. Angezeigt werden alle möglichen Empfehlungen für lizenzierte Produkte, unabhängig von der Edition.
  3. Maßnahmen lassen sich als geplant, durch Drittanbieter abgedeckt, durch alternative Maßnahme behoben oder als akzeptiertes Risiko markieren. Notizen dokumentieren die Entscheidung.
  4. Security Defaults bringen automatisch volle Punkte für drei Maßnahmen (MFA-Registrierung, MFA für Admin-Rollen, Blockieren von Legacy-Authentifizierung).
  5. Der Score aktualisiert sich laufend und synchronisiert Systemdaten täglich. Vergleiche mit ähnlichen Organisationen und die Abfrage per Graph sind möglich. Berechtigungen laufen über Defender Unified RBAC oder Entra-Rollen wie Sicherheitsadministrator (lesen und schreiben) und Sicherheitsleseberechtigter (nur lesen).

Benefits

  • Priorisierte Liste konkreter Maßnahmen mit Angabe zu Benutzerauswirkung und Umsetzungsschritten
  • Messbarer Fortschritt für Berichte an Geschäftsführung, ISB oder Cyberversicherer
  • Ohne Zusatzkosten in jedem Tenant verfügbar
  • Dokumentierte Risikoakzeptanz macht bewusste Abweichungen für Audits nachvollziehbar

Practical example

Ein Informationssicherheitsbeauftragter eines Mittelständlers mit 180 Mitarbeitenden nutzt den Secure Score als Startpunkt für die NIS2-Umsetzung. Er filtert auf Maßnahmen mit hoher Punktzahl und geringer Benutzerauswirkung, setzt diese im ersten Quartal um und markiert zwei Empfehlungen als akzeptiertes Risiko mit Begründung. Im Quartalsbericht an die Geschäftsführung zeigt er den Verlauf, ergänzt um die eigene Risikoanalyse.

Things to keep in mind

  • Punkte nicht mit Sicherheit gleichsetzen, ein hoher Score kann trotz offener kritischer Lücken entstehen
  • Empfehlungen mit Geschäftsprozessen und Benutzerauswirkung abgleichen, statt sie blind umzusetzen
  • Bewusst nicht umgesetzte Maßnahmen als akzeptiertes Risiko mit Begründung dokumentieren
  • Den Score regelmäßig prüfen, weil Microsoft neue Empfehlungen ergänzt und der Wert dadurch sinken kann
  • Lesezugriff über Defender Unified RBAC oder die Rolle Sicherheitsleseberechtigter vergeben, statt breite Admin-Rollen zu verteilen

Licensing & availability

Secure Score und Identity Secure Score sind in jedem Microsoft-365-Tenant ohne Zusatzlizenz verfügbar. Welche Empfehlungen erscheinen, hängt von den lizenzierten Produkten ab, manche Empfehlungen erfordern zur Umsetzung Entra ID P1/P2 oder Defender-Lizenzen. Stand: Oktober 2026.

Conclusion

Der Secure Score ist ein guter Startpunkt und ein nützliches Gesprächswerkzeug gegenüber der Geschäftsführung. Er ersetzt keine Risikoanalyse, zeigt aber zuverlässig, wo grundlegende Konfigurationen fehlen.

Further reading

Related articles