Shadow-IT-Mandanten in Microsoft Entra ID finden und prüfen

Von Mirko Peters · 2026-10-25

Erfahren Sie, wie Sie vergessene Shadow-IT-Mandanten in Microsoft Entra ID mithilfe automatisierter Erkennungssignale und Governance-Strategien für mehrere Mandanten aufspüren und prüfen.

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Erfahren Sie, wie Sie vergessene Shadow-IT-Mandanten in Microsoft Entra ID, die Ihre Organisation unbeabsichtigt angelegt hat, identifizieren, nachverfolgen und absichern. Dieser Leitfaden behandelt die automatisierten Erkennungssignale, die Analyse verbundener Mandanten und die Governance-Schritte, mit denen Sie nicht verwaltete Cloud-Umgebungen erfassen und unter zentrale Kontrolle bringen.

Das Wichtigste in Kürze

• Organisationen sammeln durch Fusionen, Tochtergesellschaften, Testumgebungen und Shadow IT in Fachabteilungen häufig mehrere Microsoft Entra-Mandanten an.
• Nicht verwaltete Mandanten außerhalb der zentralen IT-Aufsicht schaffen kritische Sicherheitslücken und Compliance-Risiken.
• Microsoft Entra nutzt Business-to-Business-Aktivitäten, mehrinstanzfähige App-Registrierungen und gemeinsam genutzte Abrechnungskonten, um verbundene Mandanten automatisch sichtbar zu machen.
• Formale Governance-Beziehungen ermöglichen es übergeordneten Organisationen, getrennte Mandanten abzusichern, ohne sofort komplexe Migrationen erzwingen zu müssen.
• Die Konfigurationsüberwachung stellt sicher, dass Ihre Umgebung mit mehreren Mandanten über mehr als 200 Ressourcentypen hinweg die Sicherheits-Baselines einhält.

Das versteckte Risiko von Shadow-IT-Mandanten

In fast jeder großen Microsoft 365-Umgebung lauert ein Risiko, über das bei üblichen Sicherheitsprüfungen selten gesprochen wird. Unternehmen gehen oft davon aus, dass ihre Cloud-Landschaft sauber von einem einzigen Verzeichnis abgegrenzt ist. Tatsächlich besitzen Organisationen oft unbemerkt mehrere Microsoft Entra-Mandanten, ohne dass dies jemals geplant wurde. Wenn Fachabteilungen, einzelne Mitarbeitende oder externe Projektteams mit einer Firmenkreditkarte schnell einen Piloten, eine Produktdemo oder eine Testumgebung aufsetzen, entsteht ein neuer Mandant.

Microsoft stuft diese isolierten Umgebungen als Shadow-IT-Mandanten ein, weil die zentrale IT sie nicht verwaltet und oft gar nicht weiß, dass sie existieren. Während Sicherheitsteams Millionen investieren, um die Haustür gegen externe Angreifer, gestohlene Passwörter und raffinierte Phishing-Kampagnen zu verteidigen, kann ein Seiteneingang offenstehen, etwa über einen vergessenen Testmandanten, der vor zwei Jahren angelegt wurde. Ein Angreifer muss keine stark überwachten Abwehrmechanismen überwinden, wenn ein ungepatchter, unbeobachteter Shadow-Mandant ohne jede administrative Aufsicht im Hintergrund läuft.

Die Gefahr ist nicht nur theoretisch. Ein Mandant, den niemand verwaltet, lässt sich leicht falsch konfigurieren, wodurch vertrauliche Unternehmensdaten unbefugten Dritten offenliegen können. Da diese Umgebungen außerhalb der üblichen Bereitstellungs- und Prüfprozesse liegen, tauchen sie in Ihren vierteljährlichen Zugriffsüberprüfungen nie auf. Fragt ein externer Prüfer, wer auf bestimmte Unternehmensdateien zugreifen kann, reicht ein Achselzucken den regulatorischen Anforderungen nicht. Sie können nur absichern, was Sie sehen, und im Moment ist Ihr Asset-Inventar wahrscheinlich unvollständig.

Wie Microsoft Entra vergessene Mandanten aufdeckt

Glücklicherweise stellt Microsoft integrierte Mechanismen bereit, um diese verborgenen Umgebungen aufzuspüren. Dafür werden Verbindungssignale analysiert, die Ihr Ökosystem die ganze Zeit erzeugt hat. Diese Funktion setzt auf das Erkennen verbundener Mandanten, anstatt Administratoren zu zwingen, eine unmögliche Liste aller digitalen Ressourcen zusammenzustellen, die Mitarbeitende jemals registriert haben.

Business-to-Business-Aktivitätssignale

Das erste wichtige Signal für die Erkennung von Mandanten ist die Geschäftskommunikation mit externen Partnern (Business-to-Business, B2B). Microsoft Entra erfasst laufend Gastanmeldungen, Registrierungen externer Gäste und administrative Zugriffe, die zwischen Ihrem primären Verzeichnis und externen Umgebungen hin- und hergehen. Wenn Benutzer in Ihrer Organisation aktiv mit einem unbekannten Mandanten zusammenarbeiten, wird diese Verbindung als messbare Beziehung erfasst.

Registrierungen von Multi-Tenant-Anwendungen

Moderne Cloud-Architekturen stützen sich stark auf Anwendungen, die Organisationsgrenzen überschreiten. Das zweite Erkennungssignal erfasst Multi-Tenant-App-Registrierungen. Dazu gehören benutzerdefinierte oder kommerzielle Anwendungen, die in Ihrem primären Mandanten registriert sind und auf externe Verzeichnisse zugreifen, sowie Drittanbieter-Apps aus externen Mandanten, die aktive Berechtigungen und API-Token in Ihrer eigenen Umgebung besitzen. Diese programmatischen Verbindungen hinterlassen eine klare Prüfspur.

Gemeinsame Abrechnungskonten

Vielleicht ist die Abrechnung der überraschendste Erkennungsweg. Zwei getrennte Microsoft Entra-Mandanten können strukturell miteinander verbunden sein, allein aufgrund eines gemeinsamen Azure-Abrechnungskontos oder einer gemeinsamen Enterprise-Agreement-Struktur. Dafür muss niemand eine Einladung senden, und kein Benutzer muss sich manuell über Grenzen hinweg anmelden. Wenn ein nicht verwalteter Mandant Azure-Dienste über Ihr Unternehmensabrechnungsprofil bezahlt oder umgekehrt, ist die Verbindung für das Governance-Framework sofort sichtbar.

Nicht verwaltete Mandanten unter zentrale Governance bringen

Sobald die Erkennung eine Liste zusammenhängender Mandanten liefert, müssen Administratoren entscheiden, welche Umgebungen sie behalten, welche sie außer Betrieb nehmen und wie sie die verbleibenden verwalten. Statt ein störendes, mehrjähriges Mandantenmigrationsprojekt durchzuführen, können Organisationen eine formale Governance-Beziehung einrichten.

Eine Governance-Beziehung ist eine gerichtete Verknüpfung, bei der ein übergeordneter Mandant die Governance übernimmt und der untergeordnete Mandant verwaltet wird. Entscheidend ist: Dies ist keine vollständige technische Zusammenführung. Der verwaltete Mandant behält seine eigenen Benutzer, Daten und lokalen Workloads. Die Einrichtung erfolgt in einem sicheren Drei-Schritte-Verfahren:

• Der Mandant, der verwaltet werden soll, sendet dem übergeordneten Mandanten eine administrative Einladung.
• Der übergeordnete Mandant antwortet mit einer Anfrage, die eine bestimmte Richtlinienvorlage enthält, in der die zulässigen administrativen Berechtigungen festgelegt sind.
• Der untergeordnete Mandant prüft und akzeptiert die Richtlinienvorlage, wodurch die sichere Verwaltungsverbindung aktiv wird.

Diese Struktur ermöglicht es IT-Administratoren, mehrere Umgebungen über eine zentrale Oberfläche mit Konten des übergeordneten Mandanten zu verwalten. Sie beseitigt das Sicherheitsproblem, getrennte, nicht verbundene Administratoranmeldeinformationen für Dutzende einzelner Mandantenportale pflegen zu müssen.

Überwachung und Absicherung Ihres Multi-Tenant-Ökosystems

Erkennung und Governance-Beziehungen sind nur der Anfang. Damit Schatten-IT nicht wieder in Ihre Organisation gelangt, müssen Sie eine aktive Konfigurationsüberwachung und sichere Kontrollen für die Erstellung implementieren.

Mit der Konfigurationsüberwachung können Administratoren eine Baseline der erwarteten Einstellungen definieren und laufend eine Momentaufnahme Ihrer tatsächlichen Cloud-Umgebung erstellen. Ein automatisierter Monitor vergleicht beide alle sechs Stunden über mehr als 200 Ressourcentypen hinweg, unter anderem in Microsoft Entra, Microsoft Intune, Exchange Online, Microsoft Teams, Microsoft Purview und Microsoft Defender. Tritt eine Abweichung auf, werden die Sicherheitsteams sofort benachrichtigt.

Zusätzlich ermöglichen sichere Kontrollen für die Mandantenerstellung, bereits im Vorfeld festzulegen, wer überhaupt einen neuen Microsoft Entra-Mandanten anlegen darf. Jeder neu genehmigte Mandant kann bei seiner Erstellung automatisch in eine Governance-Beziehung eingebunden werden. So wird verhindert, dass eine neue Cloud-Umgebung ihren Lebenszyklus völlig unverwaltet beginnt.

Fazit

Nicht verwaltete Schatten-IT-Mandanten stellen eine stille Bedrohung für die Unternehmenssicherheit, den Datenschutz und die Compliance dar. Mit den integrierten Erkennungssignalen von Microsoft Entra, formalen Governance-Beziehungen und einer kontinuierlichen Konfigurationsüberwachung können IT-Verantwortliche endlich vollständige Transparenz über die weitverzweigte Cloud-Landschaft ihrer Organisation gewinnen. Um dieses Thema zu vertiefen und Experteneinblicke in die moderne Cloud-Administration zu erhalten, hören Sie sich die vollständige Folge des M365 FM Podcasts an.

Häufige Fragen

Was ist ein Schatten-IT-Mandant in Microsoft Entra?

Ein Shadow-IT-Mandant ist eine nicht verwaltete Microsoft Entra-Umgebung, die von Mitarbeitenden, Abteilungen oder Projektteams ohne Wissen oder Aufsicht der zentralen IT angelegt wurde. Diese Umgebungen laufen häufig als Testlast, Pilotprojekte oder Demos außerhalb der Sicherheitsbasislinien des Unternehmens.

Wie erkennt Microsoft Entra unbekannte Mandanten?

Microsoft Entra erkennt zusammenhängende Mandanten, indem es bestehende Verbindungssignale auswertet. Dazu gehören Aktivitäten von Gastbenutzern in Business-to-Business-Szenarien, Berechtigungen für mandantenübergreifende Anwendungen sowie gemeinsam genutzte Abrechnungskonten oder Enterprise-Agreements.

Erfordert eine Governance-Beziehung eine vollständige Mandantenmigration?

Nein. Eine Governance-Beziehung schafft eine sichere, gerichtete Verwaltungsverbindung zwischen einem übergeordneten Mandanten und einem untergeordneten Mandanten. Sie müssen dafür weder Benutzer, Postfächer noch Daten in ein einziges Verzeichnis migrieren.

Wie oft prüft die Konfigurationsüberwachung die Mandanteneinstellungen?

Die Konfigurationsüberwachung vergleicht Ihre tatsächliche Cloud-Umgebung automatisch alle sechs Stunden mit Ihren definierten Richtlinienbasislinien, und zwar über Hunderte von Ressourcentypen hinweg.