Schluss mit Shadow IT: So bändigen Sie nicht verwaltete Konnektoren in Power Platform

Von Mirko Peters · 2026-08-11

Willkommen zurück im Begleit-Blog zum Podcast! Im heutigen Beitrag tauchen wir tief in die Welt der Data Loss Prevention (DLP) in Microsoft Fabric und der Power P…

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Titelbild: Stopping Shadow IT: How to Tame Unmanaged Connectors in Power Platform

Willkommen zurück beim Begleitblog zum Podcast! In diesem Beitrag tauchen wir tief in die Welt des Data Loss Prevention (DLP) über Microsoft Fabric und die Power Platform ein. Wenn Sie befürchten, dass Citizen Developer versehentlich sensible Unternehmensdaten in private Cloud-Speicherdienste übertragen, oder wenn Sie es leid sind, dass Sicherheitsrichtlinien entweder Geschäftsprozesse komplett lahmlegen oder echte Bedrohungen nicht aufhalten, sind Sie hier richtig. Die vollständige Audio-Analyse zu diesem wichtigen Sicherheitsthema finden Sie in der zugehörigen Folge DLP Policies for Microsoft Fabric and Power Platform. Lassen Sie uns gemeinsam erkunden, wie Sie die Datenflüsse Ihres Mandanten unter Kontrolle bringen, ohne Innovationen im Geschäftsbetrieb auszubremsen.

Warum DLP immer noch versagt: die blinden Flecken

Herkömmliche DLP-Werkzeuge wurden für E-Mail und Netzwerkperimeter entwickelt und hinterlassen in Low-Code-Umgebungen massive blinde Flecken. Wenn Organisationen sich ausschließlich auf einfache, standardmäßige Kontrollen verlassen, entstehen unweigerlich mehrere verborgene Lücken:

Einmal einrichten, dann vergessen: Richtlinien sind auf bekannte Konnektoren ausgelegt. Neue Versionen und benutzerdefinierte Konnektoren rutschen ohne gründliche Prüfung an der ersten Überprüfung vorbei.
Shadow IT über Low-Code: Citizen Developer verbinden Apps aus Bequemlichkeit mit privaten OneDrive-, Dropbox- oder Gmail-Konten und schaffen so unsichtbare Datenkanäle außerhalb der IT-Aufsicht.
Umgebungsdrift: Kopien von Produktions- bis hin zu Entwicklungs- und Testumgebungen verschieben sensible Daten aus sicheren Stufen in Bereiche mit schwächeren Schutzmechanismen.
Vermeintliche Sicherheit: Geschäftskonnektoren mit öffentlichen APIs können als Hintertüren für Datenabfluss dienen, wenn sie nicht richtig überwacht werden.
Böses Erwachen beim Audit: Die tatsächlichen Datenpfade stimmen selten mit Ihrem Richtliniendiagramm überein. Echte Datenlecks kommen meist erst ans Licht, nachdem ein Vorfall passiert ist.

Das Labyrinth kartieren: die Wenn-dann-Entscheidungen, die zählen

Um eine robuste Sicherheitslage aufzubauen, müssen Sie verstehen, wie modernes DLP zur Laufzeit dynamisch Entscheidungen trifft. Stellen Sie es sich als einen anspruchsvollen Entscheidungsbaum vor:

Identitäts- und Umgebungsprüfungen

Wenn ein Benutzer eine eingeschränkte Rolle hat und die Umgebung auf Produktion eingestellt ist, wenden Sie einen strikten Richtliniensatz an.
Wenn die Datenbezeichnung als Vertraulich oder Streng vertraulich markiert ist, blockieren Sie sofort alle nicht verwalteten Ziele.

Konnektor-Herkunft

Wenn der Zielkonnektor zu einer privaten oder gesperrten Gruppe gehört (etwa persönliches Dropbox oder Gmail für Verbraucher), blockieren Sie die Aktion.
Handelt es sich um einen benutzerdefinierten Konnektor, der nicht genehmigt oder nicht gekennzeichnet ist, setzen Sie den Ablauf unter Quarantäne, protokollieren das Ereignis, alarmieren die Sicherheitsabteilung und verlangen eine Ausnahmegenehmigung.

Pfadbewusstsein

Wenn die Quelle verwaltet ist (etwa Dataverse, SharePoint oder SQL innerhalb Ihres Mandanten) und das Ziel nicht verwaltet oder unbekannt ist, blockieren Sie den Vorgang und alarmieren.
Wenn Daten umgebungsübergreifend verschoben werden (von Produktion zu Entwicklung/Test) und der Datensatz sensible Felder enthält, maskieren oder schwärzen Sie die Informationen vor dem Export.

Kontextbezogene Drosselung

Steigt die Häufigkeit der Automatisierung sprunghaft an oder überschreitet das Gesamtvolumen die etablierte Basislinie, drosseln Sie den Ablauf und alarmieren die Administratoren wegen eines möglichen Versuchs eines massenhaften Datenabflusses.
Hat ein Benutzer kürzlich die Abteilung oder Berechtigungen gewechselt, verlangen Sie für externe Abläufe eine zusätzliche Genehmigung.

Klassifizierung von Konnektoren: Signal vom Rauschen trennen

Wirksame Governance erfordert, Ihre Integrationen nach Geschäftsprozessen zu gruppieren, statt nur den Anbieternamen zu betrachten. Erwägen Sie eine stufenbasierte Strategie:

Stufe 1 – Zentrale verwaltete Dienste (geringes Risiko, hoher Nutzen)
SharePoint, OneDrive for Business (mandantenbezogen), Microsoft Teams, Dataverse, verwalteter Azure Blob Storage und Microsoft Graph.

Stufe 2 – Partner/genehmigt (mittleres Risiko, kontrolliert)
Vorab geprüfte SaaS-Plattformen für Finanzen, Personalwesen oder Kundensupport. Setzen Sie Mandant-zu-Mandant-Positivlisten, IP-Beschränkungen und kontinuierliche Überwachung durch.

Stufe 3 – Benutzerdefiniert/experimentell (erhöhtes Risiko)
Benutzerdefinierte Konnektoren, Webhooks und Test-SaaS-Werkzeuge. Setzen Sie diese standardmäßig unter Quarantäne, bis sie vollständig geprüft sind, und verlangen Sie umfassende Datenzuordnungen von den Erstellern.

Stufe 4 – Privat/Verbraucher (blockiert)
Private Dropbox, private Google Drive, private Gmail, private OneDrive und öffentliche Pastebins. Blockieren Sie diese konsequent und erläutern Sie den Nutzern die Begründung.

Faustregeln zur Klassifizierung

Verlangen Sie für Konnektoren der Stufe 2 und 3 immer einen klar benannten Verantwortlichen und eine geschäftliche Begründung.
Hinterlegen Sie einen formalen Datenvertrag, der zulässige Vertraulichkeitsbezeichnungen, Volumenobergrenzen, Aufbewahrungsregeln und Widerrufswege festlegt.
Zertifizieren Sie Konnektoren vierteljährlich neu oder wann immer sich ihr Umfang ändert, und lassen Sie Genehmigungen automatisch auslaufen, wenn Nachweise fehlen.

Typische Praxisfälle (und Lösungen)

Schauen wir uns einige typische gefährliche Szenarien an, die Ihnen in Ihrem Mandanten möglicherweise schon heute begegnen, und wie Sie sie beheben:

Gehaltsexport in eine private Dropbox
- Erkennen: Die Zieldomäne steht nicht in der verwalteten Liste, und der Konnektortyp ist privat.
- Blockieren und anleiten: Zeigen Sie eine Meldung direkt im Vorgang an, die die Richtlinie erklärt, und leiten Sie den Nutzer automatisch zu einer sicheren SFTP- oder verwalteten Speichervorlage weiter.
Produktionskopie in einen Entwicklungsarbeitsbereich
- Steuerung: Maskieren Sie personenbezogene Daten (Personally Identifiable Information, PII) mithilfe von Fabric-Pipeline-Regeln. Stellen Sie sicher, dass Entwicklungsumgebungen strengere DLP-Regeln übernehmen und Exporte auf einen verwalteten Blob-Speicher beschränkt sind.
"Harmloser" Geschäftskonnektor mit offener öffentlicher API
- Eindämmen: Verschieben Sie den Konnektor in Stufe 2 mit einer Allowlist für ausgehenden Datenverkehr. Deaktivieren Sie offene Web-Endpunkte und protokollieren Sie alle Ziel-URIs.
Benutzerdefinierter Konnektor-Proof-of-Concept, der in der Produktion verblieben ist
- Governance umsetzen: Erkennen Sie Konnektoren automatisch über Inventurscans. Fehlt einem Konnektor ein Verantwortlicher oder eine aktive Bestätigung, deaktivieren Sie ihn nach einer Schonfrist.

Tests ohne Tränen: schrittweise Einführung

Strenge Datenrichtlinien ohne Strategie einzuführen, führt bei Ihren Fachanwendern zu unnötiger Reibung. Folgen Sie diesem schrittweisen Einführungsplan, um die Sicherheit zu wahren, ohne die Produktivität zu beeinträchtigen:

1) Eine sichere Testumgebung aufbauen

Spiegeln Sie Produktionskonnektoren in Sandbox-Umgebungen und spielen Sie repräsentative Workflows mit synthetischen Daten durch.
Führen Sie Tabletop-Übungen durch, um Datenexporte auf private Endpunkte, umgebungsübergreifende Übertragungen und nicht autorisierte Aufrufe benutzerdefinierter Konnektoren zu simulieren.

2) Pilotbetrieb mit echten Nutzern

Beschränken Sie die erste Einführung auf ein oder zwei kooperative Teams, etwa Finanzen oder Personal. Starten Sie 7 bis 14 Tage im reinen Überwachungsmodus, um die Blockierungen zu erfassen, die ausgelöst worden wären.

3) Mit Leitplanken einführen

Aktivieren Sie harte Blockierungen für private Speicher der Stufe 4 und für unbekannte benutzerdefinierte Konnektoren.
Aktivieren Sie weiche Blockierungen (Ausnahmen sind mit geschäftlicher Begründung möglich) für Grenzfälle der Stufe 2, und eröffnen Sie automatisch Prüftickets, sobald Ausnahmen genutzt werden.

4) Beobachten und nachschärfen

Überwachen Sie Erfolgs- und Fehlerquoten, die Zeit bis zur Lösung und die Rate falsch positiver Treffer. Passen Sie Ihre Regeln im ersten Monat wöchentlich an.
Rollen Sie Richtlinien unternehmensweit aus, sobald Sie Ihre Service Level Objectives erreichen, etwa weniger als 3 % kritische Fehlalarme und null nicht genehmigte Datenabflüsse.

Überwachung und Analysen: worauf Sie achten sollten

Transparenz ist das Fundament guter Governance. Behalten Sie diese zentralen Kennzahlen und Signale in Ihrem Mandanten im Blick:

Abweichungen im Konnektorinventar: Erfassen Sie alle neuen oder geänderten Konnektoren seit Ihrer letzten Überprüfung.
Schwerpunkte des ausgehenden Datenverkehrs: Ermitteln Sie die externen Ziele mit dem größten Datenvolumen außerhalb Ihrer vertrauenswürdigen Mandantendomänen.
Auffällige Berechtigungen: Suchen Sie nach Nutzern, die kurz nach einem Rollenwechsel externe Flows erstellen.
Wirksamkeit der Richtlinien: Vergleichen Sie Blockierungsereignisse mit genehmigten Ausnahmen und achten Sie auf wiederholte Richtlinienverstöße.
MTTD und MTTR: Messen Sie die mittlere Erkennungszeit (Mean Time to Detect) und die mittlere Lösungszeit (Mean Time to Resolve) für DLP-Vorfälle und verfolgen Sie den Anteil der Vorfälle, die automatisch mit geführten Alternativen gelöst werden.

Betriebliche Abfragen, die Sie griffbereit halten sollten:

"Zeige Flows mit verwalteter Quelle und nicht verwaltetem Ziel in den letzten 7 Tagen."
"Liste benutzerdefinierte Konnektoren ohne zugewiesenen Verantwortlichen oder mit einer letzten Überprüfung vor mehr als 90 Tagen auf."
"Zeige die Nutzer mit den meisten blockierten Versuchen und ermittle ihre jeweiligen Geschäftsbereiche."

Playbooks zum Übernehmen

Setzen Sie diese sofort einsetzbaren Reaktionspläne ein, um gängige Sicherheitsereignisse effizient zu behandeln:

A) Ausweichweg für persönlichen Speicher

Bedingung: Die Zieldomäne steht nicht auf der Allowlist, ODER der Konnektor ist als privat klassifiziert.
Aktion: Blockieren Sie die Aktion, zeigen Sie einen Hinweis direkt im Kontext mit Verweis auf den verwalteten Speicher an, protokollieren Sie den Sicherheitsvorfall und benachrichtigen Sie den Eigentümer der Anwendung.

B) Datenabstufung über Umgebungsgrenzen hinweg

Bedingung: Die Vertraulichkeitsbezeichnung des Datensatzes ist größer oder gleich Vertraulich, und die Umgebung wechselt von Produktion zu Dev/Test.
Aktion: Erzwingen Sie Vorlagen für die Datenmaskierung, verlangen Sie eine administrative Genehmigung, gewähren Sie einen zeitlich begrenzten Zugriff und prüfen Sie den Export.

C) Aufnahme benutzerdefinierter Connectors

Bedingung: Ein neuer benutzerdefinierter Connector wird angefordert.
Aktion: Verlangen Sie ein Aufnahmeformular, das die Datenzuordnung, den Eigentümer und den geschäftlichen Zweck erfasst. Weisen Sie dem Connector vorübergehend die Stufe 3 mit strikten Nutzungskontingenten zu. Anschließend ist eine verpflichtende Überprüfung nach 30 Tagen erforderlich, um ihn auf Stufe 2 zu heben oder zu deaktivieren.

D) Anomalie bei hohem Datenvolumen

Bedingung: Der Datenverkehr für eine bestimmte App oder einen bestimmten Benutzer übersteigt das Dreifache der etablierten Basislinie.
Aktion: Begrenzen Sie die Rate der Automatisierung, alarmieren Sie das Security Operations Center und verlangen Sie eine einmalige Genehmigung, um die Ausführung fortzusetzen.

Die wichtigsten Governance-Grundlagen

Langfristiger Erfolg setzt voraus, Ihre Sicherheitskontrollen als lebende Systeme zu betrachten. Etablieren Sie diese grundlegenden Säulen:

Policy as Code: Nutzen Sie wiederverwendbare Vorlagen, eine saubere Versionskontrolle und klare Änderungsprotokolle.
Ausnahmeworkflow: Implementieren Sie einen formalen Prozess für Ausnahmen mit einem festgelegten Ablaufdatum, einem benannten Eigentümer und einem benannten Prüfer.
Vierteljährlicher Connector-Rat: Halten Sie regelmäßige Überprüfungsbesprechungen ab, an denen IT-Administration, Sicherheitsteams und Champions aus den Fachbereichen teilnehmen.
Runbooks: Pflegen Sie klare Betriebsanleitungen für Blockierungsereignisse. Sie beschreiben, wer alarmiert wird, welche Mitteilung Benutzer erhalten und welche genehmigten Alternativen zur Verfügung stehen.

KPIs, die den Erfolg belegen

Um der Geschäftsleitung den Wert Ihres Governance-Programms zu belegen, verfolgen Sie diese Leistungskennzahlen über die Zeit:

Rückgang der nicht verwalteten Ausgangsversuche pro 1.000 Benutzer.
Verbesserung der Zeitspanne von der Erstellung eines Connectors bis zur Klassifizierung und Richtliniezuweisung.
Reduzierung kritischer Fehlalarme, die Geschäftsprozesse unterbrechen.
Anstieg des Prozentsatzes der Flows, die vollständig verwaltete Ziele nutzen.
Sicherstellen, dass 100 % der benutzerdefinierten Connectors aktiven Eigentümern mit aktuellen Bestätigungen zugeordnet sind.

Schnellstart-Checkliste (diese Woche)

Bereit, sofort loszulegen? Erledigen Sie diese Aufgaben in den nächsten fünf Tagen:

Exportieren Sie Ihr aktuelles Connector-Inventar, ordnen Sie die Connectors den Stufen 1 bis 4 zu und identifizieren Sie unbekannte Connectors.
Erstellen Sie Ihre Gruppe für persönliche und Consumer-Blockierung und aktivieren Sie harte Blockierungen zusammen mit hilfreichen Hinweisen für Benutzer.
Aktivieren Sie den reinen Überwachungsmodus für Datenexporte über Umgebungsgrenzen hinweg und werten Sie 14 Tage der erzeugten Signale aus.
Etablieren Sie einen Aufnahmeprozess für benutzerdefinierte Connectors mit verpflichtenden Überprüfungen nach 30 Tagen.
Testen Sie Ihre adaptive Richtlinie zunächst in der Finanzabteilung, messen Sie die Fehlalarmquote und verfeinern Sie Ihre Regeln, bevor Sie sie unternehmensweit ausrollen.

Vorgeschlagene SEO-Elemente

URL-Slug: power-platform-fabric-dlp-hidden-leaks
Meta-Titel: Fabric & Power Platform DLP: Verhindern Sie versteckte Datenabflüsse durch Shadow-Connectors und umgebungsübergreifende Flows
Meta-Beschreibung: Gehen Sie über E-Mail-DLP hinaus. Erfahren Sie, wie Sie reale Datenpfade abbilden, riskante Connectors klassifizieren und adaptive Richtlinien ausrollen, die Datenabflüsse blockieren, ohne Workflows zu unterbrechen.
Keywords: Power Platform DLP, Microsoft Fabric DLP, Data Loss Prevention, Shadow IT, benutzerdefinierte Connectors, umgebungsübergreifende Daten, Governance, Compliance, adaptive Richtlinien

Für wen dieser Beitrag gedacht ist

Dieser Leitfaden richtet sich an Sicherheitsarchitekten, Administratoren von Power Platform und Microsoft Fabric, Compliance-Verantwortliche und Betriebsteams, die starke Sicherheitsleitplanken etablieren müssen, ohne Geschäftsinnovationen zu blockieren.

Vielen Dank, dass Sie unseren Begleitbeitrag zum Podcast gelesen haben! Für noch mehr Expertenwissen und unsere vollständige Diskussion zur Absicherung Ihres Low-Code-Mandanten hören Sie unbedingt die Folge DLP Policies for Microsoft Fabric and Power Platform. Bleiben Sie sicher, bleiben Sie innovativ, und wir sehen uns in der nächsten Folge!