Das Chaos aufdecken: So finden Sie Shadow IT in Microsoft 365

Von Mirko Peters · 2026-08-11

Willkommen zurück zum Podcast und zu unserem laufenden Deep Dive, wie Sie Ihre Umgebungen sicher, gut verwaltbar und in Bestform halten. Wenn Sie einen Micr…

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Titelbild: Uncovering the Chaos: How to Find Shadow IT in Microsoft 365

Willkommen zurück zum Podcast und zu unserer fortlaufenden Reihe darüber, wie Sie Ihre Umgebungen sicher, gut verwaltbar und mit optimaler Leistung betreiben. Wenn Sie einen Microsoft 365-Mandanten verwalten, wissen Sie bereits, dass absolute Kontrolle ein bewegliches Ziel ist. Egal wie streng Ihre Sicherheitsbasislinien sind, Benutzer finden Wege, Lücken zu überbrücken, ihre täglichen Abläufe zu optimieren und Drittanbieter-Tools einzubinden. Diese Findigkeit der Benutzer steigert zwar die Produktivität, schafft aber gleichzeitig eine erhebliche Risikoquelle: Shadow IT. Um dieses Thema zu vertiefen und eine lebhafte Diskussion darüber zu hören, wie Sie das Durcheinander in Ihrem Mandanten in den Griff bekommen, hören Sie sich unbedingt unsere passende Episode Detect Shadow IT in Microsoft 365 an.

In diesem begleitenden Blogbeitrag führen wir dieses Gespräch weiter. Wir zeigen Ihnen eine umfassende Strategie, mit der Sie unbekannte Anwendungen, riskante OAuth-Berechtigungen und unverwaltete Konnektoren aufspüren, die sich offen sichtbar verstecken. Mit nativen Microsoft-Tools können Sie Ihren Ansatz von reaktiver Panik zu proaktiver Governance umstellen, ohne die Produktivität Ihrer Organisation zum Erliegen zu bringen.

So sieht das Chaos aus

Bevor Sie das Problem beheben können, müssen Sie wissen, wonach Sie suchen. Shadow IT in Microsoft 365 sieht selten aus wie ein böswilliger Hacker, der die Haustür aufbricht. Stattdessen wirkt sie wie Bequemlichkeit. Etwa wenn ein Marketingteam schnell ein Automatisierungstool einrichtet oder eine Führungskraft einer neuen, attraktiven Kalender-App weitreichende Berechtigungen erteilt.

Typische Erscheinungsformen des Chaos im Mandanten sind:

Unerwartete Teams-Bots und Power Automate-Konnektoren, die mit privaten Diensten verbunden sind.
Übermäßig freigegebene SharePoint-Links (Jeder mit dem Link kann anzeigen) und unbekannte externe Gäste, die noch lange nach Projektende Zugriff haben.
Weitreichende OAuth-Bereiche, etwa wenn Anwendungen die Berechtigung „Alle Postfächer lesen“ erhalten. Gut gemeinte Mitarbeitende genehmigen diese, weil sie lediglich eine Kalender-Synchronisierung zum Laufen bringen wollten.
Verwaisте Apps, deren frühere Eigentümer das Unternehmen verlassen haben und die weiterhin unbemerkt sensible Unternehmensdaten synchronisieren.

Die Suche: Native Tools, die Shadow IT sichtbar machen

Sie brauchen keine teuren Drittanbieter-Suiten, um Transparenz über Ihren Mandanten zu gewinnen. Microsoft stellt eine leistungsstarke Auswahl nativer Diagnose- und Sicherheitsfunktionen bereit, die in Ihrer Lizenzstufe wahrscheinlich bereits enthalten sind. Entscheidend ist zu wissen, wo Sie suchen und was Sie abfragen müssen.

Microsoft Defender for Cloud Apps (MCAS) Shadow IT discovery: Analysieren Sie Datenverkehrsmuster, App-Risikobewertungen und Nutzungstrends in Ihrem gesamten Netzwerk.
Entra ID (Azure AD) Anmelde- & Überwachungsprotokolle: Finden Sie heraus, wer einer Anwendung zugestimmt hat, wann, von wwo aus und für welche genauen Bereiche.
Unternehmensanwendungen > Berechtigungen: Erfassen Sie alle derzeit aktiven Anwendungen in Ihrem Mandanten, sowohl administrativ als auch vom Benutzer genehmigte.
Power Platform Admin Center: Entdecken Sie unverwaltete Power Automate-Konnektoren und nicht autorisierte automatisierte Flows.
SharePoint/OneDrive-Berichte: Identifizieren Sie anonyme Links und Hotspots externer Freigaben, bevor sie zu Datenlecks werden.

Pro-Tipp: Beginnen Sie Ihre Untersuchung mit Anwendungen, die mandantenweite Bereiche anfordern, etwa Mail.Read, Files.Read.All, Sites.Read.All und offline_access, sowie mit allen Anwendungen, die von externen Gästen installiert wurden.

Klare Grenzen ziehen (ohne Arbeitsabläufe zu unterbrechen)

Sobald Sie das Ausmaß des Problems erkennen, möchten Sie vielleicht jeden Schalter auf „Blockieren“ stellen und den Mandanten vollständig absperren. Widerstehen Sie diesem Impuls. Wenn Sie eine zu hohe Mauer errichten, suchen Benutzer einfach nach Umgehungswegen, und das Shadow-IT-Problem verlagert sich noch tiefer in den Untergrund. Stattdessen sollten Sie intelligente betriebliche Grenzen setzen.

App-Zustimmungsrichtlinien (App Consent Policies): Blockieren Sie die Zustimmung durch Benutzer standardmäßig, erlauben Sie aber Ausnahmen für verifizierte Herausgeber mit Bereichen geringer Auswirkung. Leiten Sie risikoreichere Anfragen direkt in einen IT-Genehmigungsworkflow über ServiceNow oder Power Automate.
Bedingter Zugriff für Apps (Conditional Access for Apps): Verlangen Sie Multi-Faktor-Authentifizierung, konforme Geräte und vertrauenswürdige Standorte für jeden riskanten App-Zugriff. Blockieren Sie veraltete oder nicht unterstützte Clienttypen und schließen Sie Besprechungsräume und Dienstkonten dabei gezielt aus.
Power Platform steuern: Implementieren Sie Richtlinien für Datenverlustprävention (Data Loss Prevention, DLP), um Business- und Non-Business-Konnektoren konsequent zu trennen. Aktivieren Sie lösungsbewusste Flows und beschränken Sie das Erstellen benutzerdefinierter Konnektoren.
Leitplanken für die externe Freigabe: Stellen Sie als Standard für Freigabelinks „Personen in Ihrer Organisation“ ein, verlangen Sie verpflichtende Ablaufdaten für Gastlinks und setzen Sie ein strenges Sponsor-Modell für externe Gäste durch.

Ein einwöchiger Sprint zur Bereinigung (praxisnahes Playbook)

Das Aufräumen Ihres Mandanten muss kein mehrjähriges IT-Transformationsprojekt sein. Mit einem strukturierten, phasenweisen Bereinigungssprint können Sie das Risiko in nur fünf bis sieben Tagen deutlich senken.

Tag 1–2: Erfassung

Exportieren Sie Ihren MCAS-Shadow-IT-Bericht und den Export der Anwendungsberechtigungen in Entra ID.
Markieren Sie alle Apps mit Administratorzustimmung, mandantenweite Bereiche (Scopes) und Anwendungen im Besitz von Gastbenutzern.

Tag 3: Eindämmen

Deaktivieren Sie die Zustimmung durch Benutzer (oder beschränken Sie sie strikt auf verifizierte Herausgeber mit risikoarmen Bereichen).
Erstellen Sie appbezogene Conditional-Access-Richtlinien, die MFA und konforme Geräte für riskante Bereiche erzwingen.

Tag 4: Bereinigen

Widerrufen Sie ungenutzte oder verwaiste Apps. Kontaktieren Sie bei kritischen Flows die ursprünglichen Besitzer und migrieren Sie diese bei Bedarf auf Dienstkonten.
Verschärfen Sie die Standardeinstellungen für die externe Freigabe in SharePoint und die Ablaufzeiten für Links.

Tag 5: Governance

Rollen Sie Ihren automatisierten Anfrage- und Genehmigungsworkflow für neue Anwendungen aus.
Veröffentlichen Sie einen Katalog zugelassener Apps zusammen mit einem klaren Formular „Ausnahme beantragen“.

Tag 6–7: Überwachen und kommunizieren

Aktivieren Sie Warnmeldungen zu Anomalien bei neuen Zustimmungen mit hohem Risiko und ungewöhnlichem Anmeldeverhalten.
Senden Sie Ihrer Organisation eine freundliche Anleitung „So beantragen Sie eine App“, in der blockierte Verhaltensweisen klar den genehmigten Alternativen gegenübergestellt werden.

Richtlinienvorlagen (Schnellstart)

Damit Sie mit der Konfiguration schnell beginnen können, finden Sie hier zwei Schnellstart-Richtlinienvorlagen, die Sie noch heute in Ihrer Microsoft 365-Umgebung umsetzen können.

Richtlinie für App-Zustimmung:
- Zulassen: Verifizierter Herausgeber mit Bereichen aus einer strengen Basisliste (nur openid, profile, email und offline_access).
- Genehmigung erforderlich: Anfragen für Mail.Read*, Files.Read*, Sites.Read*, Chat.Read*, Calendars.ReadWrite oder Directory.Read.All.
- Generell ablehnen: Mail.ReadWrite, Files.ReadWrite.All und full_access_as_app.
Conditional Access (appbezogen):
- Zielen Sie mit den Cloud-Apps auf riskante OAuth-Anwendungen ab.
- Gewähren Sie den Zugriff nur, wenn MFA und ein konformes Gerät vorhanden sind. Blockieren Sie den Zugriff vollständig bei Anmeldungen mit hohem Risiko oder aus unbekannten Ländern.

KPIs, die den Erfolg belegen

Sicherheitsteams lieben Kennzahlen, doch die Führungsebene will Belege dafür, dass sich der Aufwand auszahlt. Verwenden Sie diese Leistungskennzahlen, um Ihren Fortschritt zu verfolgen und die tatsächliche Risikoreduzierung nachzuweisen:

Verhältnis von entdeckten Shadow-Apps zu genehmigten oder blockierten Apps (Ziel: mehr als 80 % innerhalb von 30 Tagen bearbeitet).
Neue, von Benutzern zugestimmte Apps pro Monat (Ziel: nahe null, wobei alle neuen Apps über den offiziellen Workflow laufen).
Gewährte Bereiche mit hohem Risiko (Ziel: absolut null).
Externe Freigabelinks, die auf „Jeder“ eingestellt sind (Ziel: eine Reduzierung um 90 % innerhalb von 60 Tagen).
Sicherheitsvorfälle, die direkt auf Drittanbieter-Apps zurückzuführen sind (Ziel: eine Reduzierung um 40 % gegenüber dem Vorquartal).

Prüfrhythmus (sauber bleiben)

Das Erkennen und Bereinigen von Shadow IT ist kein einmaliges Projekt, sondern eine laufende Hygienepraxis. Richten Sie einen regelmäßigen Prüfrhythmus ein, damit Ihr Mandant nicht wieder im Chaos versinkt.

Monatlich: Prüfen Sie neue Zustimmungen, kontrollieren Sie Bereiche mit hohem Risiko, auditieren Sie verwaiste Besitzer und überprüfen Sie die Installation von Apps durch Gäste.
Quartalsweise: Prüfen Sie Abweichungen bei DLP-Richtlinien, auditieren Sie Power Platform-Umgebungen und werten Sie die Berichte zur externen Freigabe aus.
Nach organisatorischen Änderungen: Weisen Sie Appbesitz zeitnah neu zu und validieren Sie Anwendungszwecke und Bereiche erneut, wenn Mitarbeitende das Unternehmen verlassen oder ihre Rolle wechseln.

Schnelle Fehlerbehebung im Überblick

Wenn etwas ausfällt oder eine Sicherheitswarnung ausgelöst wird, brauchen Sie schnell Antworten. Halten Sie diese Übersicht zur Fehlerbehebung für Ihr Helpdesk- und Security-Operations-Team griffbereit:

„Woher stammt diese App?“ Prüfen Sie in Entra ID > Unternehmensanwendungen > Überwachungsprotokolle die Ereignisse ConsentGranted.
„Warum sind Mails plötzlich abgeflossen?“ Prüfen Sie die Anwendungsbereiche für Mail.* und sehen Sie die Überwachungsprotokolle auf MailItemsAccessed-Ereignisse durch.
„Hat ein externer Gast eine nicht genehmigte Anwendung angebunden?“ Filtern Sie Ihre Unternehmensapps nach Besitzer = Guest, widerrufen Sie die Anwendung und richten Sie einen Weg für Sponsoranfragen ein.
„Greift ein Power Automate-Flow auf private Dienste zu?“ Suchen Sie nach Verstößen gegen die DLP-Richtlinie, die nicht geschäftliche Konnektoren erfassen, und migrieren Sie diese Flows auf genehmigte geschäftliche Alternativen.

Change Management, das Anwender akzeptieren

Der Erfolg Ihres Governance-Programms für Shadow IT hängt fast vollständig davon ab, wie Ihre Anwender es wahrnehmen. Wenn Sie sich wie die „Sicherheitspolizei“ verhalten, sinkt die Akzeptanz stark und die Umgehungslösungen nehmen zu. Setzen Sie deshalb auf nutzerzentrierte Unterstützung.

Veröffentlichen Sie einen leicht zugänglichen App-Katalog, der genehmigte Tools und deren Datengrenzen hervorhebt.
Bieten Sie sichere, unterstützte Alternativen an, bevor Sie beliebte Anwendungen der Anwender blockieren.
Halten Sie Ihre Anleitung für Anfragen einfach. Eine einzige Seite, die beschreibt, welche Informationen anzugeben sind und welches SLA Sie erwarten, bringt viel.
Würdigen Sie erfolgreiche genehmigte Lösungen öffentlich, etwa wenn ein riskanter Shadow-IT-Konnektor erfolgreich durch einen sicheren, offiziell unterstützten Geschäftsprozess ersetzt wurde.

Das Wichtigste in Kürze für die Führungsebene

Wenn Sie diese Strategien in Ihr Team tragen oder der Geschäftsleitung vorstellen, behalten Sie diese vier Kernaussagen im Blick:

Shadow IT lässt sich nicht vollständig vermeiden, ungesteuertes Organisationsrisiko dagegen schon.
Sie können 80 % Ihrer Erkennung und Kontrolle mit den integrierten Microsoft-Werkzeugen abdecken, die Sie wahrscheinlich bereits besitzen.
Workflows schlagen Verbote immer: Intelligente Genehmigungsprozesse halten die Produktivität hoch und senken gleichzeitig das Risiko.
Verfolgen Sie einige aussagekräftige KPIs, um Ihrer Geschäftsleitung quartalsweise den Rückgang des Risikos klar zu belegen.

Vielen Dank, dass Sie gelesen und den Podcast eingeschaltet haben. Vergessen Sie nicht, sich die vollständige Folge Detect Shadow IT in Microsoft 365 anzuhören, für eine noch ausführlichere Audio-Erklärung dieser Maßnahmen. Bleiben Sie sicher, halten Sie Ihre Mandanten sauber, und wir sehen uns in der nächsten Folge!