In vielen Tenants, die ich betreue, bleibt der Blick auf Sicherheitsrisiken Stückwerk. Geräte, Identitäten und Cloud-Ressourcen werden zwar irgendwo überwacht, aber kaum jemand betrachtet sie im Zusammenhang. Genau hier setzt Security Exposure Management im Microsoft-Defender-Portal an. Seit dem Frühjahr 2024 steht die Funktion als Public Preview bereit, auf der Ignite im November hat Microsoft die allgemeine Verfügbarkeit angekündigt. Sie zeigt Schwachstellen, Angriffswege und kritische Assets in einer gemeinsamen Ansicht. Mich interessiert dabei vor allem, dass das Werkzeug mehr Transparenz schafft und zugleich hilft, sich auf das Wichtige zu beschränken. An beidem fehlt es im Alltag meistens.

Security Exposure Management führt verstreute Risikodaten zusammen

Security Exposure Management ist ein neues Modul im Microsoft-Defender-Portal. Es fasst Risiken und Angriffsflächen aus mehreren Blickwinkeln zusammen, nämlich von Endpunkten, Benutzerkonten, Cloud-Diensten und Anwendungen. Im Mittelpunkt stehen kritische Assets wie Domänencontroller, Entra-Connect-Server oder Globale Administrator*innen, also die Komponenten, auf die es Angreifer häufig zuerst abgesehen haben. Microsoft beschreibt das Konzept ausführlich in der Dokumentation. Ungepatchte Systeme, zu weit gefasste Rechte oder eine fehlende Segmentierung betrachtet das Exposure Management nicht isoliert, sondern ordnet sie in einen größeren Zusammenhang ein.

Welche Lizenz nötig ist, hängt von den eingesetzten Defender- und Security-Workloads ab. Microsoft schaltet das Modul schrittweise für die Mandanten frei. Wer Defender for Endpoint, Defender for Identity oder Microsoft Defender XDR einsetzt, findet den neuen Bereich vermutlich schon in der Navigation des Portals. Für einzelne Funktionen wie die Angriffspfade („Attack Paths“) sind in der Regel Defender for Identity und Entra ID P2 erforderlich.

Die Klassifizierung kritischer Assets kommt vor allem anderen

In Projekten erlebe ich immer wieder, wie schwer es fällt, die kritischen Systeme sauber zu benennen. Security Exposure Management führt einen ganz nebenbei an diese Aufgabe heran. Im Bereich „Critical Asset Management“ legt man fest, welche Hosts, Benutzer*innen und Anwendungen besonders schützenswert sind. Microsoft hat dazu eine nützliche Übersicht veröffentlicht. Neben den bekannten Kandidaten wie Domänencontrollern, Entra Connect und PKI gehören auch lokale Service Accounts, Break-Glass-Konten und zentrale Cloud-Anwendungen auf die Liste. Diese Arbeit ist kein Selbstzweck. Angriffswege und Choke Points kann das System erst dann richtig berechnen und gewichten, wenn es weiß, welche Assets kritisch sind.

Praktischer Tipp: Legt zuerst die wichtigsten Asset-Kategorien an, selbst wenn die vollständige Klassifizierung erst später folgt. Ein paar relevante Einträge bringen mehr als lückenhafte Listen, und das Exposure Management liefert so schnell brauchbare Ergebnisse.

Angriffspfade zeigen Schwachstellen in ihrem Zusammenhang

Im Zentrum des Moduls steht die Analyse der Angriffspfade (Attack Paths). Sie macht sichtbar, über welche Wege ein Angreifer von einem gewöhnlichen Benutzerkonto zu hochprivilegierten Zielen gelangen könnte. Außerdem zeigt sie die sogenannten „Choke Points“, also Engstellen, die besonders schützenswert oder besonders riskant sind. Die Darstellung erinnert an Graphdatenbanken und bewahrt einen in der Praxis davor, sich in Einzelmaßnahmen zu verlieren. Konzept und Begriffe erklärt Microsoft gut verständlich in der offiziellen Dokumentation.

Das folgende Flussdiagramm zeigt ein einfaches Beispiel. Der Weg führt von einem kompromittierten Benutzerkonto über einen Server, auf dem das Konto lokale Adminrechte hat, bis zum Domänencontroller. Solche Angriffspfade sind ein Klassiker und werden schnell gefährlich, wenn Berechtigungen zu großzügig vergeben sind.

flowchart TD
  user["Benutzerkonto"] --> server["Server (lokaler Admin)"]
  server --> dc["Domänencontroller"]
  dc --> ga["Globaler Admin"]

Abbildung: Vereinfachter Angriffspfad von einem Benutzerkonto zu privilegierten Assets.

An solchen Grafiken erkennt man schnell, welche technischen Maßnahmen oder Zugriffsmodelle man überdenken sollte. Im Portal lassen sich die kritischsten Pfade gezielt aufrufen und bis auf die einzelnen Knoten herunterbrechen.

Über Advanced Hunting lässt sich der Exposure Graph direkt abfragen

Praktisch ist auch, dass man den sogenannten Exposure Graph direkt in Microsoft Defender über „Advanced Hunting“ abfragen kann. Voraussetzung sind mindestens die Rolle Security Reader in Defender for Endpoint und freigeschaltete Datenquellen. Dann stehen die Tabellen ExposureGraphNodes und ExposureGraphEdges für gezielte Suchen bereit. Damit findet man Abhängigkeiten, wiederkehrende Choke Points oder Systeme, die besonders exponiert sind. Alle als kritisch eingestuften Assets listet beispielsweise diese einfache KQL-Abfrage auf:

ExposureGraphNodes 
| where NodeCriticalAsset == true

Die Abfrage läuft im Defender-Portal unter „Hunting → Advanced Hunting“ und setzt mindestens Defender for Endpoint Plan 2 voraus. Mit etwas KQL-Kenntnis baut man daraus auch eigene Übersichten, Reports oder Alerts.

Der Einstieg gelingt am besten in kleinen Schritten

Teams, die bisher vor allem mit einzelnen Tools oder Reports gearbeitet haben, kommen mit Security Exposure Management ein gutes Stück weiter. Ich rate dazu, zunächst die wichtigsten Assets zu klassifizieren und sich danach die fünf gravierendsten Angriffspfade im eigenen Tenant vorzunehmen. Anschließend lohnt ein Abgleich mit den bestehenden Maßnahmen und Richtlinien, etwa mit den Conditional-Access-Richtlinien, die ich im Beitrag zu bewährten Conditional-Access-Richtlinien in Entra ID beschrieben habe.

Die größte Hürde ist meiner Erfahrung nach nicht das Werkzeug, sondern der ehrliche Blick auf die eigene Risikolage. Wer sich darauf einlässt, kann spätere Vorhaben gezielter angehen, ob es um Zero Trust, die Absicherung von Copilot oder Incident Response geht. Das Exposure Management verlangt klare Prioritäten und sorgt so dafür, dass man das Wesentliche nicht aus den Augen verliert.