Shadow IT in Ihrem Microsoft 365 Mandanten aufdecken

Von Mirko Peters · 2026-08-11

Willkommen zurück zum Podcast und zu unserem begleitenden Deep-Dive-Blog! Wenn Sie sich schon einmal gefragt haben, was in Ihrer Microsoft 365-Umgebung unter der Oberfläche tatsächlich passiert, sind Sie nicht allein. Viele Organisationen gehen davon aus, dass alles ordentlich und sicher ist, weil sie in der Cloud arbeiten. Leider gleicht die Realität der modernen Unternehmenszusammenarbeit oft ei

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Willkommen zurück zum Podcast und zu unserem begleitenden Deep-Dive-Blog! Wenn Sie sich schon einmal gefragt haben, was in Ihrer Microsoft 365-Umgebung unter der Oberfläche tatsächlich passiert, sind Sie nicht allein. Viele Organisationen gehen davon aus, dass alles ordentlich und sicher ist, weil sie in der Cloud arbeiten. Leider gleicht die Realität der modernen Unternehmenszusammenarbeit oft einem digitalen Wilden Westen. Mitarbeitende wollen Aufgaben schnell erledigen. Dabei binden sie häufig externe Tools ein, teilen Links weit über den vorgesehenen Kreis hinaus und erteilen Berechtigungen, die sie nicht erteilen sollten. Das führt zu erheblichen Sichtbarkeitslücken und setzt sensible Unternehmensdaten unbekannten Bedrohungen aus.

Heute bauen wir auf unseren letzten Diskussionen über die Absicherung Ihres modernen Arbeitsbereichs auf. Falls Sie die passende Folge noch nicht gehört haben, schauen Sie sich unbedingt Connect Internal Data to Microsoft 365 Copilot Safely an. Dort zeigen wir, wie nicht verwaltete Daten und unsichtbare Drittanbieter-Apps Ihren erfolgreichen KI-Rollout in einen Sicherheitsalptraum verwandeln können. In diesem Beitrag gehen wir Schritt für Schritt ein praxisnahes Vorgehen durch: Wir spüren unbekannte Apps auf, nehmen riskante OAuth-Bereiche ins Visier, kontrollieren von Gästen installierte Konnektoren und etablieren mit Microsoft-eigenen Tools einen sauberen Überprüfungszyklus.

Wie Chaos aussieht

Um ein Problem zu lösen, müssen Sie ihm zuerst ins Auge sehen. Wenn wir Microsoft 365-Mandanten prüfen, finden wir selten ein makelloses Ökosystem. Stattdessen stoßen wir meist auf eine bestimmte Mischung aus digitalem Chaos, das sich über Monate und Jahre organisch ansammelt. So sieht dieses Chaos in der Praxis aus:

• Überraschende Teams-Bots und Power Automate-Konnektoren, die mit persönlichen Diensten verknüpft sind.

• Übermäßig geteilte SharePoint-Links („Jeder kann anzeigen“) und unbekannte externe Gäste.

• Umfassende OAuth-Bereiche (z. B. Alle Postfächer lesen), die von gut gemeinten Benutzern erteilt wurden.

• Verwaiste Apps im Besitz ehemaliger Mitarbeitender, die weiterhin sensible Daten synchronisieren.

Wenn Benutzer ein hilfreiches Kalendertool oder eine Workflow-Automatisierung anbinden, um ihren Arbeitsalltag zu erleichtern, denken sie selten über die dahinterliegenden Sicherheitsimplikationen nach. Sie klicken einfach auf „Akzeptieren“, wenn die Einwilligungsabfrage erscheint. Multiplizieren Sie das mit Hunderten oder Tausenden Mitarbeitenden, und Sie haben eine massive, unsichtbare Angriffsfläche.

🔎 Die Suche: Native Tools, die Shadow IT sichtbar machen

Die gute Nachricht ist: Um dieses Risiko aufzudecken, müssen Sie nicht zwingend teure Plattformen von Drittanbietern kaufen. Microsoft stellt leistungsstarke native Tools bereit, mit denen sich Shadow IT direkt out of the box aufspüren lässt. Dies sind die wichtigsten Werkzeuge für den Einstieg in Ihre Untersuchung:

• Microsoft Defender for Cloud Apps (MCAS) Shadow-IT-Erkennung: Datenverkehr, Risikobewertungen von Apps, Nutzungstrends.

• Entra ID (Azure AD) Anmelde- und Überwachungsprotokolle: wer wann, von wo und für welche Bereiche eine Einwilligung erteilt hat.

• Unternehmensanwendungen → Berechtigungen: administrativ genehmigte und von Benutzern genehmigte Apps auflisten.

• Power Platform Admin Center: nicht verwaltete Power Automate-Konnektoren und Flows.

• SharePoint/OneDrive-Berichte: anonyme Links und Hotspots für externe Freigaben.

Profi-Tipp: Beginnen Sie mit Apps, die mandantenweite Bereiche anfordern (Mail.Read, Files.Read.All, Sites.Read.All, offline_access), und Apps, die von Gästen installiert wurden.

🧱 Grenzen ziehen, ohne Workflows zu brechen

Sobald Sie die Shadow IT in Ihrem Mandanten aufgedeckt haben, ist Ihr erster Impuls vielleicht, eine massive Schaltfläche „Alles blockieren“ zu betätigen. Tun Sie das nicht. Wenn Sie Benutzerworkflows über Nacht vollständig unterbrechen, provozieren Sie eine Verweigerung der Nutzung, und Mitarbeitende finden schlicht raffiniertere, weniger sichtbare Wege, Ihre Kontrollen zu umgehen. Stattdessen sollten Sie intelligente Leitplanken einrichten, die die Organisation schützen und gleichzeitig die Produktivität hochhalten.

• App-Einwilligungsrichtlinien

  • Benutzereinwilligungen standardmäßig blockieren; nur verifizierte Herausgeber und Bereiche mit geringen Auswirkungen zulassen.

  • Anfragen mit höherem Risiko an einen IT-Genehmigungsworkflow (ServiceNow/Power Automate) weiterleiten.

• Bedingter Zugriff für Apps

  • Verlangen Sie MFA, konforme Geräte und vertrauenswürdige Standorte für riskante App-Zugriffe.

  • Blockieren Sie veraltete oder nicht unterstützte Clienttypen und schließen Sie Besprechungsräume/Dienstkonten gezielt aus.

• Power Platform steuern

  • Data-Loss-Prevention-(DLP-)Richtlinien: Trennen Sie Geschäftliche und Nicht-geschäftliche Connectors.

  • Aktivieren Sie lösungsbewusste Flows und beschränken Sie benutzerdefinierte Connectors.

• Schutzmechanismen für die externe Freigabe

  • Standardmäßig Personen in Ihrer Organisation auswählen; für Gastlinks ein Ablaufdatum verlangen; Gäste über ein Sponsoring-Modell anbinden.

🛠️ Ein-Wochen-Sanierungssprint (praktisches Playbook)

Governance auf einmal anzugehen, führt schnell zu Analyse-Paralyse. Gehen Sie deshalb in diesem strukturierten Ein-Wochen-Sanierungssprint vor, um die Sicherheit Ihres Mandanten in den Griff zu bekommen:

Tag 1–2: Erfassung

• Exportieren Sie den MCAS-Shadow-IT-Bericht und die Liste der App-Berechtigungen aus Entra ID.

• Markieren Sie administrativ zugestimmte Apps, mandantenweite Bereiche und Apps, die Gästen gehören.

Tag 3: Eindämmen

• Setzen Sie die Benutzerzustimmung = Deaktiviert (oder nur verifizierte Herausgeber mit geringem Risiko).

• Erstellen Sie eine bedingte Zugriffsrichtlinie (pro App): MFA und konformes Gerät für riskante Bereiche.

Tag 4: Bereinigen

• Widerrufen Sie ungenutzte oder verwaiste Apps, sprechen Sie bei kritischen Flows mit den Eigentümern und migrieren Sie bei Bedarf.

• Verschärfen Sie die externe Freigabe in SharePoint und die Standardwerte für das Ablaufdatum von Links.

Tag 5: Steuern

• Führen Sie einen Anfrage- und Genehmigungsworkflow für neue Apps ein.

• Veröffentlichen Sie einen Katalog erlaubter Apps sowie ein Formular für „Ausnahme beantragen“.

Tag 6–7: Überwachen und kommunizieren

• Aktivieren Sie Anomaliewarnungen (neue risikoreiche Zustimmungen, ungewöhnliche Anmeldungen).

• Verschicken Sie eine freundliche Anleitung „So beantragen Sie eine App“ und listen Sie blockierte Verhaltensweisen samt Alternativen auf.

🧪 Richtlinienvorlagen (Schnellstart)

Damit Sie mit der Konfiguration schnell starten können, finden Sie hier zwei Schnellstart-Richtlinienvorlagen, die Sie heute schon in Ihren Testumgebungen umsetzen können:

• App-Zustimmungsrichtlinie:

  • Erlauben: verifizierte Herausgeber + Bereiche aus der Basisliste (nur openid, profile, email, offline_access).

  • Genehmigung erforderlich: alle Mail.Read*, Files.Read*, Sites.Read*, Chat.Read*, Calendars.ReadWrite und Directory.Read.All.

  • Verweigern: Mail.ReadWrite, Files.ReadWrite.All, full_access_as_app.

• Bedingter Zugriff (pro App):

  • Zielcloud-Apps = riskante OAuth-App.

  • Gewährung = MFA und konformes Gerät; Blockieren bei Anmeldungen mit hohem Risiko / aus unbekannten Ländern.

📊 KPIs, die belegen, dass es funktioniert

Sicherheit ist ein Weg und kein Ziel. Früher oder später wird die Führungsebene wissen wollen, ob sich der Aufwand auszahlt. Verfolgen und berichten Sie Ihren Fortschritt mit diesen Leistungskennzahlen:

• Verhältnis entdeckter Schatten-Apps zu genehmigten/blockierten (Ziel: mehr als 80 % innerhalb von 30 Tagen gelöst).

• Neue benutzerseitig zugestimmte Apps pro Monat (Ziel: nahe null; alle über den Workflow).

• Gewährte risikoreiche Bereiche (Ziel: 0).

• Externe Freigaben mit „Jeder“-Links (Ziel: -90 % innerhalb von 60 Tagen).

• Vorfälle mit Drittanbieter-Apps (Ziel: -40 % gegenüber dem Vorquartal).

🧾 Überprüfungsrhythmus (sauber bleiben)

Ein einmaliges Aufräumen des Mandanten reicht nicht aus. Ohne einen wiederkehrenden Betriebsrhythmus schleicht sich Schatten-IT innerhalb weniger Monate wieder ein. Verankern Sie diese Überprüfungsschleifen in Ihrem regulären IT-Betrieb:

• Monatlich: neue Zustimmungen, risikoreiche Bereiche, verwaiste Eigentümer, Installationen von Gast-Apps.

• Quartalsweise: Abweichungen bei DLP-Richtlinien, Prüfung der Power-Platform-Umgebungen, Bericht zur externen Freigabe.

• Nach organisatorischen Änderungen: Eigentümerschaft der Apps neu zuweisen; Zweck und Bereiche der Apps erneut prüfen.

🧯 Schnelle Fehlerbehebung

Wenn eine Warnung auftaucht oder ein Benutzer auf ein Hindernis stößt, brauchen Sie schnelle Antworten. Halten Sie diese Übersicht für Ihr Helpdesk- und Security-Operations-Team griffbereit:

• „Woher stammt diese App?“ → Entra ID > Unternehmensanwendungen > Überwachungsprotokolle (ConsentGranted).

• „Warum sind Mails plötzlich abgeflossen?“ → Prüfen Sie die App-Bereiche für Mail.* und die Überwachung von MailItemsAccessed.

• „Hat ein Gast ein Tool verbunden?“ → Apps nach Eigentümer = Gast filtern; Zugriff widerrufen und den Weg für die Sponsoranfrage nutzen.

• „Flow greift auf private Dienste zu?“ → DLP-Richtlinie erkennt den Non-Business-Connector; migrieren oder offiziell freigeben.

🧠 Change Management, das Nutzer nicht hassen

Technische Kontrollen sind nur die halbe Miete. Erfolgreiche Sicherheit hängt stark von einer passenden Unternehmenskultur ab. Wenn Sie Ihren Nutzern das Leben schwer machen, werden sie Ihre Kontrollen aktiv umgehen. Gestalten Sie den Wandel reibungslos, indem Sie auf Enablement setzen:

• Veröffentlichen Sie einen App-Katalog (genehmigte Tools und Datengrenzen).

• Bieten Sie sichere Alternativen an, bevor Sie beliebte Apps blockieren.

• Pflegen Sie einen einseitigen Leitfaden für Anfragen (welche Informationen anzugeben sind und welche Reaktionszeit (SLA) zu erwarten ist).

• Feiern Sie „genehmigte Erfolge“ (z. B. den Ersatz eines riskanten Connectors durch einen sicheren, unterstützten Connector).

✅ Das Wichtigste in Kürze für Entscheider

Shadow IT in Microsoft 365 aufzuspüren kann auf den ersten Blick einschüchternd wirken, ist aber mit einem methodischen Vorgehen durchaus lösbar. Behalten Sie diese Kernpunkte im Blick, wenn Sie Ihre Pläne der Geschäftsführung vorstellen:

• Shadow IT ist unvermeidbar; ungesteuertes Risiko ist vermeidbar.

• Nutzen Sie integrierte Microsoft-Werkzeuge für 80 % der Erkennung & Kontrolle.

• Workflow > Verbote: Genehmigungsprozesse halten die Produktivität hoch und senken gleichzeitig das Risiko.

• Verfolgen Sie wenige, aussagekräftige KPIs und zeigen Sie die Risikoreduzierung Quartal für Quartal.

Indem Sie die App-Einwilligungen Ihres Mandanten kontrollieren, externe Freigaben prüfen und klare Governance-Wege etablieren, schützen Sie die sensibelsten Daten Ihres Unternehmens, ohne Innovationen zu bremsen. Wie diese Sicherheitsmaßnahmen mit modernen Produktivitätswerkzeugen wie KI zusammenhängen, erfahren Sie in der vollständigen Folge unter Connect Internal Data to Microsoft 365 Copilot Safely. Bleiben Sie sicher, testen Sie weiter, und wir sehen uns in der nächsten Folge!