Secure Score und CIS-Benchmark: Warum die Werte auseinanderliegen und wie Sie beide sinnvoll nutzen

Edouard Jacques

Managing Director, Cyber Culture

Viele IT-Leitungen berichten der Geschäftsführung den Microsoft Secure Score. Er steht ohnehin im Defender-Portal, lässt sich als Trend darstellen und steigt, wenn das Team arbeitet. Bei der ersten Prüfung gegen den CIS-Benchmark kommt dann oft ein deutlich schlechteres Bild heraus. Das ist kein Widerspruch: Beide Werte messen etwas anderes. Nach diesem Artikel wissen Sie, wie die Zahlen zustande kommen, wofür Sie welche nutzen und wie Sie beide zu einer Konfigurationsbaseline verbinden, die auch in einem ISO-27001-Audit trägt.

Wie der Secure Score entsteht

Der Secure Score ist Microsofts eigene Liste empfohlener Maßnahmen, zu finden im Defender-Portal unter Secure Score. Jede Empfehlung bringt höchstens zehn Punkte. Die meisten werden ganz oder gar nicht vergeben, manche anteilig: Sind 50 von 100 Nutzern mit MFA geschützt, gibt es die Hälfte der Punkte. Der Prozentwert ist das Verhältnis der erreichten zu den möglichen Punkten. Die Empfehlungen sind in vier Gruppen sortiert: Identität, Geräte, Apps und Daten.

Drei Details sind für die Interpretation wichtig. Erstens zeigt Microsoft für jedes lizenzierte Produkt die vollständige Liste der Empfehlungen, unabhängig von der Lizenzstufe. Was Ihre Lizenz nicht hergibt, bleibt als offene Punktzahl stehen; die Ansicht "Current license score" zeigt, was mit Ihren Lizenzen überhaupt erreichbar ist. Zweitens hängt die Punktzahl auch am Status, den Ihr Team setzt. "Risk accepted" bringt keine Punkte, "Resolved through third party" und "Resolved through alternate mitigation" bringen die vollen Punkte, obwohl Microsoft laut eigener Dokumentation dann keinen Einblick hat, ob die Maßnahme wirklich umgesetzt ist. Microsoft empfiehlt diesen Weg sogar selbst: Wer die Sicherheitsstandards von Entra ID (Security Defaults) nutzt, soll die Empfehlungen zu Anmelde- und Benutzerrisikorichtlinien als alternativ gelöst markieren. Drittens ändert sich die Liste laufend, weil Microsoft Empfehlungen ergänzt und anpasst. Der Score von heute ist nicht direkt mit dem von vor einem Jahr vergleichbar.

Microsoft selbst formuliert die Grenze deutlich: Der Score sei kein absolutes Maß dafür, wie wahrscheinlich ein Angriff erfolgreich ist, sondern zeige, in welchem Umfang Sie die empfohlenen Kontrollen nutzen (Microsoft Learn: Microsoft Secure Score).

Was der CIS-Benchmark anders macht

Der CIS Microsoft 365 Foundations Benchmark stammt vom Center for Internet Security, einer gemeinnützigen Organisation, und entsteht in einem Konsensverfahren mit Sicherheitsfachleuten aus aller Welt. Aktuell ist Version 7.0.0 vom Mai 2026. Sie deckt Defender, Purview, Entra ID, Exchange Online, SharePoint und OneDrive, Teams, Intune und Microsoft Fabric ab.

Jede Empfehlung beschreibt die Sollkonfiguration, begründet sie, nennt die Auswirkungen auf Nutzer und enthält eine Prüfanleitung und eine Anleitung zur Umsetzung. Zwei Profile helfen bei der Auswahl: Level 1 ist die Grundhärtung, die den Betrieb kaum einschränkt, Level 2 geht weiter und kann Funktionen beschneiden. Eine Version bleibt unverändert, bis die nächste erscheint. Den Benchmark gibt es für die nicht kommerzielle Nutzung kostenlos als PDF bei CIS.

Einen Score liefert der Benchmark selbst nicht. Prozentwerte entstehen erst durch Prüfwerkzeuge, die bestandene Empfehlungen zählen.

Warum sich die beiden Zahlen nicht vergleichen lassen

Wenn ein Tenant im Secure Score bei 75 Prozent liegt und in einer CIS-Prüfung bei 45 Prozent, beschreiben beide Werte denselben Tenant, aber nicht dasselbe. Der Umfang unterscheidet sich: Der Secure Score enthält Geräteempfehlungen aus Defender for Endpoint und Empfehlungen für angebundene Fremdanwendungen wie Salesforce oder Zoom. Der CIS-Benchmark für Microsoft 365 prüft dagegen nicht die Schwachstellen einzelner Windows-Geräte, dafür gibt es eigene CIS-Benchmarks. Umgekehrt enthält er Bereiche, für die der Secure Score keine Empfehlungen kennt, etwa Microsoft Fabric.

Auch die Gewichtung ist eine andere. Im Secure Score bringt eine Empfehlung bis zu zehn Punkte, nach Microsofts Gewichtung. Eine CIS-Quote zählt meist jede Empfehlung gleich, egal ob es um die MFA-Pflicht für Administratoren geht oder um einen Hinweistext. Dazu kommt der Status-Effekt: Ein Secure Score kann steigen, ohne dass sich an der Konfiguration etwas ändert.

Aussagekräftig ist deshalb nicht die Differenz der Prozentwerte, sondern die Liste der einzelnen Abweichungen.

Was ein Auditor tatsächlich sehen will

ISO 27001:2022 verlangt in Anhang A 8.9 (Konfigurationsmanagement), dass Konfigurationen einschließlich der Sicherheitskonfigurationen festgelegt, dokumentiert, umgesetzt, überwacht und überprüft werden. Die NIS2-Richtlinie fordert in Artikel 21 Absatz 2 unter anderem Verfahren, mit denen Sie die Wirksamkeit Ihrer Sicherheitsmaßnahmen bewerten. Keine der beiden Vorgaben schreibt den Secure Score oder den CIS-Benchmark vor.

In der Prüfung zählen deshalb andere Fragen: Welche Sollkonfiguration gilt für Ihren Tenant, und wo ist sie freigegeben? Wie stellen Sie Abweichungen fest, und wie oft? Wer hat Ausnahmen genehmigt, mit welcher Begründung und bis wann? Eine Prozentzahl beantwortet keine dieser Fragen. Ein Satz wie "Wir härten nach CIS Microsoft 365 Foundations 7.0.0, Profil Level 1, mit fünf dokumentierten Abweichungen, zuletzt geprüft im September" beantwortet alle drei. Genau dafür eignet sich der CIS-Benchmark: Er liefert ein versioniertes, herstellerunabhängiges Soll mit Prüfanleitung je Punkt.

So verbinden Sie beide in der Praxis

1. Baseline festlegen. Wählen Sie die aktuelle CIS-Version und Level 1 als Mindeststandard, ergänzt um ausgewählte Level-2-Punkte, etwa für Administratorkonten. Lassen Sie die Baseline vom Informationssicherheitsbeauftragten oder der Geschäftsführung freigeben.
2. Ist-Stand erheben, mit Datum und Werkzeug. Für die meisten Prüfpunkte genügt ein Lesezugriff mit der Rolle Global Reader. Open-Source-Werkzeuge wie Maester prüfen viele Punkte automatisiert; einige Einstellungen müssen Sie trotzdem von Hand im Admin Center nachsehen.
3. Jede Abweichung entscheiden: beheben, mit Verantwortlichem und Frist, oder bewusst akzeptieren, mit Begründung und Ablaufdatum. Typisch sind Level-2-Empfehlungen, die einen Geschäftsprozess blockieren würden.
4. Den Secure Score auf diese Entscheidungen abstimmen. Setzen Sie "Risk accepted" nur für Punkte, die auch in Ihrer Abweichungsliste stehen, und "Resolved through third party" nur, wenn Sie den Nachweis für das Drittprodukt haben. Dann erzählen beide Werte dieselbe Geschichte.
5. Den Secure Score als Frühwarnung nutzen. Ein plötzlicher Rückgang zeigt oft eine Konfigurationsänderung, die niemand angekündigt hat. Umgesetzte Maßnahmen erscheinen laut Microsoft nach 24 bis 48 Stunden im Score.
6. Wiederholen: mindestens jährlich und bei jeder neuen CIS-Hauptversion. Version 7.0.0 brachte nach Angaben von CIS 22 neue Empfehlungen und 12 weitere, die aus dem Azure-Benchmark übernommen wurden (CIS Benchmarks June 2026 Update).

Der Aufwand für die erste Runde hängt vor allem an Schritt 3. Die technische Erhebung ist in wenigen Tagen erledigt. Die Entscheidungen über Abweichungen brauchen Gespräche mit Fachbereichen und dauern im Mittelstand eher Wochen.

Was die Geschäftsführung berichtet bekommen sollte

Statt eines Prozentwerts eignen sich drei Angaben: die Zahl offener Abweichungen von der Baseline nach Kritikalität, deren Entwicklung seit dem letzten Bericht und die Liste akzeptierter Risiken mit Ablaufdatum. Der Secure Score kann als zusätzliche Trendlinie daneben stehen. So sieht die Geschäftsführung, wo Entscheidungen von ihr gebraucht werden, und nicht nur, ob eine Zahl steigt.

Der erste Schritt in Ihrem Unternehmen

Öffnen Sie im Secure Score die empfohlenen Aktionen und filtern Sie nach den Status "Risk accepted", "Resolved through third party" und "Resolved through alternate mitigation". Wenn niemand mehr sagen kann, wer diese Status gesetzt hat und warum, fehlt Ihnen die dokumentierte Baseline. Den Ist-Stand gegen den aktuellen CIS-Benchmark erhebt unser Cloud Security Check, inklusive Abgleich mit dem Secure Score. Eine kurze Gegenüberstellung der beiden Werte finden Sie auch unter Security Score und CIS-Benchmark: die Lücke, und was der Secure Score im Einzelnen aussagt, beschreibt M365 Security Score: was er bedeutet. Wenn die Baseline Teil eines ISMS werden soll, hilft der Blick auf ISO 27001 Implementierung und Zertifizierung.