In vielen Tenants, die ich betreue, taucht der Identity Secure Score vor allem in Berichten auf. Verbessert wird damit kaum etwas. Dabei eignen sich gerade die Microsoft-Entra-Empfehlungen, die direkt im Entra Admin Center unter „Identität → Übersicht → Empfehlungen“ erscheinen, sehr gut als fortlaufende Arbeitsliste für IT und Security. Man muss sie allerdings richtig lesen und regelmäßig damit arbeiten.

Die Empfehlungen lohnen einen regelmäßigen und gezielten Blick

Viele Admins entdecken die Empfehlungen eher zufällig. Es lohnt sich aber, gezielt und in festen Abständen ins Entra Admin Center zu schauen. Die Übersicht sortiert die Empfehlungen in knappe Kategorien, etwa „Veraltete Authentifizierungsmethoden entfernen“, „Ungenutzte Anwendungen bereinigen“ oder „Ablaufende Anmeldeinformationen erneuern“. Zu jedem Punkt gibt es Details und eine Einschätzung der Risikoauswirkung. Besonders praktisch finde ich den Link, über den sich die Maßnahme sofort umsetzen lässt. Mit der Statusanzeige (aktiv, erledigt, verworfen, verschoben) dokumentiert das Team seinen Fortschritt, auch wenn manches warten muss. Häufig stoße ich auf Empfehlungen zu altbekannten Themen, zum Beispiel zum Umstieg von veralteten MFA-Methoden wie Telefonanruf oder SMS auf FIDO2 oder die Authenticator-App. Für privilegierte Konten bleibt dieser Punkt besonders wichtig.

Im Alltag tauchen immer wieder dieselben Empfehlungen auf

Wer genauer hinschaut, merkt schnell, wie praxisnah die Empfehlungen sind. Diese Punkte sehe ich besonders oft:

  • Prüfung und Entfernung ungenutzter App-Registrierungen
  • Erneuerung bald ablaufender geheimer Schlüssel und Zertifikate
  • Migration alter MFA-Methoden und -Richtlinien
  • Schutz von Admin-Konten durch phishingresistente MFA
  • Aktivierung von Conditional-Access-Policies für sensible Anwendungen

Viele dieser Aufgaben führen direkt in andere Bereiche des Entra Admin Centers oder in benachbarte Portale wie Microsoft Defender oder Intune. Der Identity Secure Score baut auf diesen Empfehlungen auf und bildet ab, welche Maßnahmen bereits umgesetzt sind. Wirklich nützlich wird er aber erst, wenn die Arbeit damit zur festen Gewohnheit wird.

Mein Tipp aus der Praxis: Gehen Sie die Empfehlungen einmal im Monat gemeinsam im Admin-Team durch, passen Sie den Status an und planen Sie einzelne Aufgaben gleich fest ein. Dann bleibt nichts lange liegen, und man sieht schnell, wo Maßnahmen mit größerer Wirkung noch ungenutzt herumliegen.

Vier Statuswerte halten die Nachverfolgung übersichtlich

Die Statusfunktion ist keine Kosmetik. Gerade in größeren Teams behält man damit den Überblick. „Aktiv“ heißt, dass die Maßnahme noch offen ist. „Erledigt“ setzt das System meist von selbst, sobald Microsoft die Umsetzung prüfen kann, etwa wenn eine App gelöscht wurde oder sich ein Admin nur noch mit starker MFA anmeldet. „Verworfen“ passt, wenn eine Empfehlung schlicht nicht zum eigenen Szenario gehört, zum Beispiel bei einer App, die selten genutzt wird, aber geschäftskritisch ist. „Verschoben“ verwende ich gern für Themen, die zwar erkannt sind, aber erst nach einem Audit oder zum Quartalswechsel angegangen werden sollen. Im Portal lässt sich all das sauber filtern und dokumentieren.

Identity Secure Score und Microsoft Secure Score messen Unterschiedliches

Ich werde oft gefragt, welcher Score denn nun „der richtige“ sei. Der Identity Secure Score im Entra Admin Center beschränkt sich auf Identitätsthemen wie Authentifizierung, App-Registrierungen, Credentials und Conditional Access. Der Microsoft Secure Score im Defender-Portal reicht weiter und umfasst auch M365-Apps, Endpunkte und Geräte, Compliance und Cloud-Apps. Überschneidungen gibt es dabei reichlich. Ich nutze beide Werte als Orientierung, laufe aber nicht dogmatisch jedem einzelnen Punkt hinterher. Wichtiger ist, zu verstehen, warum eine Empfehlung überhaupt entsteht (etwa weil zu viele App-Geheimnisse ablaufen) und was sie für die eigene Umgebung bedeutet. Wie die Empfehlungen zustande kommen, erklärt Microsoft gut verständlich in der Dokumentation zu den Empfehlungen in Microsoft Entra ID.

Microsoft Graph liefert die Empfehlungen auch automatisiert

In größeren Umgebungen will man die offenen Empfehlungen oft automatisch auswerten oder gleich Workflows daran knüpfen. Mit ausreichender Berechtigung (Rolle: Global Reader oder Security Reader) klappt das über die Microsoft Graph API. Dieser Request ruft alle Empfehlungen ab:

GET https://graph.microsoft.com/beta/identityProtection/identitySecureScore/recommendations

Dafür braucht man eine App-Registrierung mit der Berechtigung Directory.Read.All. Die API steckt zwar noch im Beta-Status, läuft in produktiven Tenants aber zuverlässig. Für automatisierte Dashboards oder Erinnerungsmails ist sie ideal.

Eine monatliche Routine hält die Grundlagen im Blick

In fast jedem Projekt mache ich dieselbe Beobachtung. Identitätsrisiken kommen selten mit einem großen Knall, sie wachsen über Monate unbemerkt an. Neue App-Integrationen, vergessene Testkonten oder alte MFA-Methoden, die nie aufgeräumt wurden, reichen dafür schon aus. Wer die Empfehlungen und den Identity Secure Score mindestens einmal im Monat prüft, bleibt handlungsfähig und muss im Ernstfall nicht hektisch reagieren. Auf die Zahl selbst kommt es dabei weniger an als darauf, kritische Empfehlungen („Protect privileged accounts with phishing-resistant MFA!“) konsequent abzuarbeiten.

Das folgende Diagramm zeigt, wie Empfehlungen, Status und Umsetzung in der Praxis ineinandergreifen:

flowchart TD
    Finden["Empfehlungen finden"] --> Bewerten["Bewerten (Impact, Relevanz)"]
    Bewerten --> Status["Status setzen (aktiv, erledigt, verworfen, verschoben)"]
    Status --> Abarbeiten["Maßnahmen umsetzen"]
    Abarbeiten --> Prüfen["Umsetzung prüfen"]
    Prüfen --> Finden

Abbildung: Empfehlungskreislauf für den Identity Secure Score in Entra ID.

Mehr zum Identitätsschutz in der Praxis finden Sie in meinem Beitrag zu praxistauglichen Conditional-Access-Policies. Wenn es um Credentials und App-Integrationen geht, hilft der Artikel zu Workload Identities und Managed Identities weiter.

Der Identity Secure Score dient als Kompass für die tägliche Arbeit

Der Identity Secure Score ist kein Selbstzweck. Ich verstehe ihn als Kompass für den Arbeitsalltag. Wer die Empfehlungen regelmäßig sichtet, vernünftig priorisiert, den Status pflegt und dabei die Grundlagen nicht vergisst, macht aus einer bloßen Kennzahl echte Sicherheit. Mit einem festen monatlichen Rhythmus gehen einem die wichtigsten Schritte nicht mehr durch die Lappen. Es muss nicht alles erledigt sein, solange man beständig das Richtige tut.