Microsoft verbindet neue Bedrohungsbeispiele im Security Blog vom 17. September 2026 mit Secure Now in Microsoft Security Exposure Management. Der Kern: Identitäten, Endpunkte, Cloud-Ressourcen, Anwendungen und KI-Systeme sollten nicht getrennt bewertet werden, weil Angriffe laut Microsoft genau zwischen diesen Flächen wechseln. Für Unternehmen mit 10 bis 250 Arbeitsplätzen ist das relevant, weil kleine Teams selten Zeit für große Risiko-Workshops haben. Sie brauchen eine sortierte Liste: Welche Schwachstelle betrifft kritische Systeme, welche Empfehlung reduziert mehrere Angriffspfade, und welche Änderung sollte diese Woche zuerst umgesetzt werden? Der Ansatz passt besonders dann, wenn vorhandene Microsoft-365-Signale bereits genutzt werden, aber eine klare Reihenfolge für die Umsetzung fehlt.
Was Microsoft am 17. September 2026 einordnet
Der Blogbeitrag beschreibt, dass KI die Arbeitsumgebung für Cybersecurity verändert: Angreifer testen mehr Wege, passen Techniken schneller an und bewegen sich über digitale Umgebungen hinweg. Die ausgenutzten Schwächen bleiben vertraut, darunter zu weit gefasste Berechtigungen, ungeschützte Authentifizierungsabläufe, ungepatchte Systeme, offen erreichbare Ausführungspfade und Lücken zwischen Kontrollen. Microsoft nennt Secure Now innerhalb von Security Exposure Management als Ort, an dem aktuelle Bedrohungen mit fokussierten Initiativen und empfohlenen Kontrollen zusammengeführt werden.
- Secure Now wurde laut Microsoft im Mai 2026 in Microsoft Security Exposure Management eingeführt.
- Die Anleitung soll helfen, die Sicherheitsgrundlagen für KI-Einführung zu stärken.
- Empfehlungen konzentrieren sich auf Bereiche, in denen autonome Angriffe besonders große Exponierung erzeugen können.
Welche Signale zusammenlaufen
Microsoft Learn beschreibt Security Exposure Management als Lösung für eine einheitliche Sicht auf Endpunkte, Cloud-Ressourcen und externe Angriffsflächen. Mit der Defender-for-Cloud-Integration im Defender-Portal fließen laut Dokumentation Signale aus Azure, AWS und GCP neben lokalen Signalen in einen Exposure Graph. Für Microsoft Defender-Umgebungen ist wichtig, dass Empfehlungen nicht nur einzelne Geräte betreffen, sondern auch Identitäten, Cloud-Assets, SaaS und Datenbereiche. Dadurch wird sichtbar, ob eine Maßnahme nur ein Symptom entschärft oder einen Angriffspfad zu kritischen Systemen unterbricht.
Warum das für KMU praktisch zählt
In kleineren Organisationen entstehen Risiken oft an Schnittstellen: ein altes Administratorkonto, ein unvollständig verwaltetes Gerät, ein exponierter Cloud-Dienst oder eine Anwendung, die mehr Rechte hat als nötig. Microsoft nennt als aktuelle Beispiele Agenten-Grenzen, device-code phishing in legitimen Anmeldeflüssen und Support-Impersonation über Teams. Das passt zu typischen KMU-Lagen: viele Microsoft-365-Funktionen sind vorhanden, aber Zuständigkeit, Priorisierung und Nachverfolgung bleiben knapp. Security Exposure Management ersetzt keine Strategieentscheidung und keine Lizenzberatung. Es kann aber helfen, technische Arbeit in prüfbare Sicherheitsinitiativen zu schneiden.
Fristen, Datenalter und Grenzen
Für Secure Now nennt Microsoft keine Abschaltfrist. Es gibt aber konkrete Betriebswerte aus Microsoft Learn, die für die Planung zählen: Unterstützte Microsoft-Produktdaten werden derzeit innerhalb von 72 Stunden nach Entstehung in den Enterprise Exposure Graph und darauf aufbauende Erfahrungen übernommen. Microsoft speichert im Graph beziehungsweise in Security Exposure Management mindestens 14 Tage Daten und behält nur den jeweils letzten Snapshot aus Microsoft-Produkten. Wer daraus Maßnahmen ableitet, sollte also nicht mit Echtzeitvollständigkeit rechnen, sondern die ersten Ergebnisse als Arbeitsliste prüfen und später gegen Defender-Portal, Microsoft Entra ID und Cloud-Konfigurationen abgleichen.
Welche nächsten Schritte sinnvoll sind
- Secure Now im Defender-Portal öffnen und die dort genannten aktuellen Bedrohungen den eigenen Identitäts-, Endpunkt- und Cloud-Flächen zuordnen.
- In Exposure Insights die Initiativen mit 14-Tage-Trend, Zielwert, betroffenen kritischen Assets und zugehörigen Empfehlungen prüfen.
- Kritische Assets nachschärfen: Domänencontroller, privilegierte Rollen, Dateiserver, Datenbanken und geschäftskritische Cloud-Ressourcen müssen richtig markiert sein.
- Attack Paths nach Einstiegspunkt, Ziel, Kritikalität und Choke Points gruppieren, damit eine Maßnahme möglichst mehrere Wege reduziert.
- Empfehlungen zuerst im Prüfmodus dokumentieren und erst danach Änderungen wie Conditional-Access-Regeln, Patching oder Einschränkungen von Remote-Support-Tools umsetzen.
Offizielle Microsoft-Quellen
- Microsoft Security Blog: From guidance to action
- Microsoft Learn: What is Microsoft Security Exposure Management?
- Microsoft Learn: Exposure insights overview
- Microsoft Learn: Review security initiatives
- Microsoft Learn: Work with attack paths
Ob Secure Now, Exposure Insights und Angriffspfade zu Ihrer Umgebung passen und welche Maßnahmen zuerst kommen sollten, prüfen wir im Rahmen eines Microsoft Security Assessments – sprechen Sie uns an.
Was bedeutet das für Ihre Umgebung?
Ordnen Sie das Thema im Kontext Ihrer Microsoft-365-Umgebung ein und legen Sie einen sinnvollen nächsten Schritt fest.
Sie sprechen direkt mit Sebastian Kerssen – seit 2014 im Microsoft-Umfeld, mit persönlicher Beratung und direktem Ansprechpartner.
