«Unser Secure Score liegt bei 80 Prozent.» Das klingt beruhigend. Für mich beginnt das Gespräch genau dort: Welche Konten und Geräte sind damit abgedeckt? Welche Ausnahmen gibt es? Und was passiert, wenn eine Schutzregel anschlägt?
Die 80 Prozent sind hier eine frei gewählte Zahl, kein Kundenwert und kein empfohlenes Sicherheitsziel. Sie zeigen das Problem mit einer einzelnen Kennzahl: Wir lesen schnell mehr hinein, als sie aussagt.
Der Microsoft Secure Score macht empfohlene Massnahmen sichtbar und hilft, Fortschritte zu verfolgen. Er berechnet aber keine Wahrscheinlichkeit, mit der dein Unternehmen einen Angriff übersteht. Microsoft weist ausserdem darauf hin, dass die Empfehlungen nicht alle Angriffsflächen abdecken. So beschreibt Microsoft Bedeutung und Grenzen des Secure Score.
Die hilfreichere Frage: Was hat sich tatsächlich verbessert?
Für eine Geschäftsleitung würde ich jede wichtige Sicherheitsmassnahme in einen überprüfbaren Satz übersetzen. Zum Beispiel: «Administrative Zugriffe laufen über die vorgesehenen Konten, die erforderlichen Anmeldemethoden greifen, und Ausnahmen haben einen Verantwortlichen.»
Das ist konkreter als «Der Score ist gestiegen». Es lässt sich auch prüfen: Welche Konten wurden betrachtet? Wie wurde die Wirkung kontrolliert? Wann ist die nächste Überprüfung fällig?
Meine Empfehlung für ein Tenant-Assessment lautet deshalb: Verlange zu einem wichtigen Befund immer die Verbindung aus Risiko, Massnahme und Nachweis. Der Tenant ist dabei eure Microsoft-365-Umgebung mit Benutzern, Diensten und Einstellungen. Ein Export aus einem Portal kann zur Analyse gehören; die Einordnung muss zusätzlich passieren.
Ein hypothetisches Beispiel mit zwei offenen Punkten
Stell dir ein KMU vor, das regelmässig mit externen Projektpartnern arbeitet. Bei einer Prüfung fallen zwei Dinge auf: Alte Gastzugänge haben keine zuständige Person mehr. Gleichzeitig gibt es eine Ausnahme von einer Anmelderegel, deren ursprünglicher Grund unbekannt ist.
Beide Punkte verdienen eine Klärung. Die Reihenfolge würde ich aber nicht allein von den möglichen Score-Punkten abhängig machen. Bei der Ausnahme wollen wir zuerst wissen, welche Konten, Rechte und Anwendungen betroffen sind. Bei den Gästen prüfen wir, auf welche Daten sie noch zugreifen können und ob die Zusammenarbeit weiterläuft.
Eine dokumentierte Ausnahme für einen nachvollziehbaren Geschäftsvorgang ist anders zu behandeln als eine vergessene Ausnahme für ein weitreichend berechtigtes Konto. Die Bezeichnung «Ausnahme vorhanden» allein liefert diese Unterscheidung noch nicht.
Für die Priorisierung würde ich vier Fragen verwenden:
- Was könnte passieren? Beschreibe den möglichen Zugriff oder Ausfall in verständlicher Sprache.
- Was ist betroffen? Benenne relevante Konten, Daten, Geräte oder Arbeitsabläufe.
- Was begrenzt das Risiko bereits? Prüfe vorhandene Schutzmassnahmen, statt nur fehlende Einstellungen zu zählen.
- Wie lässt sich die Lücke kontrolliert schliessen? Kläre Abhängigkeiten, Aufwand und die Auswirkungen einer Änderung.
Das ist kein mathematisches Risikomodell. Es ist ein Vorschlag, wie technische Befunde zu Entscheidungen werden, die auch ausserhalb der IT nachvollziehbar sind.
Härtung braucht eine Abnahme
Assessment und Härtung sind zwei Arbeitsschritte. Das Assessment zeigt und bewertet den Zustand. Bei der Härtung werden die vereinbarten Verbesserungen umgesetzt. Für mich ist eine Massnahme erst sauber abgeschlossen, wenn klar ist, woran wir ihre Wirkung erkennen.
Bei einer Anmelderegel gehören beispielsweise die vorgesehenen Benutzer, betroffenen Anwendungen, Ausnahmen und zulässigen Anmeldewege zur Abnahme. Für Conditional Access empfiehlt Microsoft Tests vor der breiten Aktivierung, die Prüfung möglicher Auswirkungen sowie einen vorbereiteten Notfallzugang. Welche Funktionen eingesetzt werden können, hängt auch von den vorhandenen Lizenzen ab. Microsofts Leitfaden zur Einführung von Conditional Access erklärt diese Voraussetzungen.
Die folgenden Fragen kannst du für die Besprechung einer einzelnen Massnahme übernehmen. Sie sind ein Prüfrahmen, keine Anleitung zum ungeprüften Ändern produktiver Einstellungen.
| Frage | Was dokumentiert sein sollte |
|---|---|
| Welches Problem lösen wir? | Der Befund und seine Bedeutung für euren Betrieb. |
| Für wen gilt die Änderung? | Betroffene Benutzer, Geräte, Anwendungen und begründete Ausnahmen. |
| Was muss nachher funktionieren? | Erlaubte Arbeitsschritte sowie Zugriffe, die verhindert werden sollen. |
| Wie wurde das geprüft? | Testdatum, Prüfumfang, Ergebnis und offene Punkte. |
| Was tun wir bei Problemen? | Zuständigkeit und ein vorbereitetes Vorgehen zur Wiederherstellung des vorgesehenen Zugangs. |
| Wer bleibt verantwortlich? | Eine Person oder Rolle und ein Anlass für die nächste Kontrolle. |
Ein Screenshot mit einem grünen Status kann ein Beleg sein. Er beantwortet aber nicht automatisch alle diese Fragen. Besonders aussagekräftig ist ein Nachweis, der die Konfiguration mit einem konkret geprüften Arbeitsablauf verbindet.
Ausnahmen brauchen ein Ablaufdatum oder einen Prüfanlass
Manche Anwendungen und Arbeitsabläufe lassen sich nicht im ersten Schritt auf die gewünschte Schutzregel umstellen. Dann würde ich die Ausnahme so eng wie nötig halten und ihren Grund festhalten. Dazu gehören eine zuständige Person und eine Entscheidung darüber, wann sie erneut geprüft wird.
Der Prüfanlass kann ein festes Datum sein, die Ablösung einer Anwendung oder das Ende eines Projekts. «Bis auf Weiteres» ohne Verantwortlichen ist dagegen schwer zu betreuen. Niemand weiss später, ob die Ausnahme bewusst beibehalten oder schlicht vergessen wurde.
Das gilt auch für Gastzugänge, besondere Administratorrechte und App-Berechtigungen. Der Aufwand steckt häufig in der Frage, ob der ursprüngliche Bedarf noch besteht. Dafür braucht die IT eine Antwort aus dem Fachbereich.
Gute Konfiguration und Reaktion auf Vorfälle gehören zusammen
Eine gehärtete Umgebung soll unnötige Angriffsmöglichkeiten reduzieren. Zusätzlich braucht es einen Ablauf für den Fall, dass dennoch etwas Auffälliges passiert. Wer untersucht eine Meldung? Wer darf einen Zugriff unterbrechen? Wie werden die betroffenen Mitarbeitenden informiert?
Diese Aufgaben würde ich bei der Übergabe ausdrücklich besprechen. Ein erfolgreich abgeschlossenes Härtungsprojekt beantwortet sie nicht von selbst. Unsere Leistung für Identitäts- und Endpunktschutz mit ITDR und EDR behandelt diese Verbindung aus Schutztechnik, Erkennung und vereinbarten Reaktionswegen.
Für die nächste Besprechung musst du deshalb keinen bestimmten Prozentwert fordern. Lass dir die wichtigsten offenen Risiken, die zuletzt überprüften Massnahmen und die Ausnahmen mit Verantwortlichen zeigen. Dann wird sichtbar, woran ihr arbeiten müsst und welche Verbesserung bereits belegt ist.
Genau dafür verbinden wir Tenant-Assessment und Härtung: vom nachvollziehbaren Befund über die abgestimmte Änderung bis zur Kontrolle des Ergebnisses.
Fachlicher Stand: 10. September 2026.