Ihr M365 Secure Score zeigt 78 %. Erfüllt Ihr Tenant damit den CIS-Benchmark? Warum beides auseinanderliegen kann und was beim Audit zählt.

Marcel Rieger

Managing Director, Cyber Risk

'Wir liegen bei 78 % Secure Score': Diese Zahl beruhigt viele IT-Leiter. Sie sollte es nicht. Der Microsoft Secure Score und der CIS-Benchmark messen Unterschiedliches. Secure Score zeigt, wie viele der von Microsoft empfohlenen Maßnahmen umgesetzt sind, gewichtet nach Microsofts Punkteschema. Ein CIS-Check prüft jede Einstellung gegen eine veröffentlichte Empfehlung. Ein hoher Secure Score bedeutet deshalb nicht automatisch, dass Ihr Tenant den CIS-Benchmark erfüllt.

Wie kommt diese Lücke zustande?

• Secure Score vergibt die vollen Punkte auch für Maßnahmen, die Sie als 'durch Drittanbieter gelöst' oder 'durch alternative Maßnahme gelöst' markieren. Ob das stimmt, kann Microsoft nicht sehen. Ein CIS-Check prüft die tatsächliche Einstellung.
• Secure Score gewichtet die Maßnahmen nach Microsofts eigenem Punkteschema, CIS bewertet jede Empfehlung einzeln als erfüllt oder nicht erfüllt.
• Secure Score ist ein bewegliches Ziel: Microsoft ändert die Maximal-Punktzahl regelmäßig.
• CIS hat klare Profile (Level 1 und Level 2) und versionierte Benchmarks mit fester Versionsnummer.

Welcher Score zählt beim Audit?

Weder ISO 27001 noch NIS2 schreiben einen bestimmten Score vor. Gefragt sind nachvollziehbare Maßnahmen und Belege, für die Konfiguration etwa nach ISO 27001 Anhang A 8.9 (Konfigurationsmanagement). Ein CIS-Report eignet sich dafür gut: Er bezieht sich auf einen veröffentlichten, versionierten Benchmark eines vom Hersteller unabhängigen Herausgebers und dokumentiert je Empfehlung Prüfschritt und Ergebnis. Der Secure Score ist dagegen ein Prozentwert nach Microsofts eigener Gewichtung, den Sie über die Statusangaben zum Teil selbst beeinflussen.

Was Sie tun sollten

Beide Scores im Blick behalten, aber wissen, was sie bedeuten: Secure Score für das tägliche Operations-Reporting, CIS-Benchmark für Audits und strategische Sicherheits-Reviews.

Unser Cloud Security Check liefert Ihnen den vollständigen CIS-Status plus eine Differenzanalyse zum aktuellen Secure Score. Sie sehen, wo die Lücke real ist und welche Maßnahmen den größten Hebel haben.