Microsoft 365 App-Governance
Hunderte Apps können Ihren Mandanten lesen. 30-50 davon hat niemand mehr.
Jede OAuth-Zustimmung, die ein Mitarbeiter geklickt hat, jedes Add-In und jede Herstellerintegration ist ein dauerhaftes Zugangsrecht auf Ihre Daten - ohne Ablauf und ohne Prüfung. In einem typischen Mandanten finden wir Hunderte davon, Dutzende mit mandantenweitem Lesezugriff auf Dateien oder E-Mails und 30-50, die seit einem Jahr niemand benutzt hat. 1Security listet jede einzelne, zeigt, wie sie an Daten kommt und wer sie hereingelassen hat, und stellt den Entzug hinter ein Prüffenster.
- 6Zugriffskanäle, über die eine App an Daten kommt - mandantenweit, delegiert mit Admin-Zustimmung, Benutzerzustimmung, lizenzgesteuert, explizite Erteilung, keiner
- 5App-Typen in einer Liste - Unternehmensanwendungen, App-Registrierungen, Add-Ins, KI-Agenten, verwaltete Identitäten
- 30-50zugestimmte Apps ohne einen aktiven Benutzer in einem typischen Mandanten, mit allen Berechtigungen
Das Problem
Apps kommen über einen Zustimmungsbildschirm herein. Niemand lässt sie je wieder hinaus.
Die Integration, die jedes Postfach im Unternehmen liest, stand nie auf einer Bestellung.
Ein OAuth-Zustimmungsbildschirm ist eine Kaufentscheidung von demjenigen, der gerade davor sitzt, in etwa zwei Sekunden, um eine Aufgabe freizubekommen. Was dabei entsteht, ist ein dauerhaftes Zugangsrecht, das weiterläuft, wenn das Projekt endet, der Anbieter gewechselt wird und der Mitarbeiter, der geklickt hat, gegangen ist. Es gibt keine Verlängerung, keine Prüfung und kein Ablaufdatum.
Gefährlich ist nicht der Name der App, sondern wie sie an Daten kommt. Eine mandantenweite Anwendungsberechtigung wie Files.Read.All oder Mail.Read liest für alle, ohne angemeldeten Benutzer. Eine Benutzerzustimmung liest für eine Person - und das ist zugleich die exakte Form eines OAuth-Phishing-Angriffs. In einer einfachen Anwendungsliste sehen beide gleich aus. In der Wirkung haben sie nichts gemein - deshalb klassifiziert 1Security den Kanal in jeder Zeile.
Prüfungen, die nur Drittanbieter-Integrationen betrachten, übergehen zudem Microsoft-eigene Dienste wie Forms, Lists oder Approvals, die ebenfalls echte Berechtigungen halten. 1Security listet beides, klassifiziert den Kanal jeder App, zählt, worauf sie tatsächlich zugreifen kann, und hält fest, welcher Administrator sie hereingelassen hat.
Was Sie bekommen
Jede App mit dem, was sie tatsächlich erreicht
Öffnen Sie Apps und sortieren Sie nach erreichbaren Dateien oder Benutzern, statt das Risiko am Logo zu raten.
Zugriffskanal in der Zeile
Mandantenweit, delegiert mit Admin-Zustimmung, Benutzerzustimmung, lizenzgesteuert, explizite Erteilung oder keiner. Die Spalte, die eine App-Liste zu einer Risikoliste macht, und der erste Filter jeder Prüfung.
Reichweite in Dateien, Benutzern und E-Mail
Wie viele Dateien und Benutzer jede App erreichen kann, externe Benutzer getrennt ausgewiesen, plus ihre Berechtigungsstufe für Dateien, Benutzerdaten und E-Mail. Eine App mit Mail.Read und 40.000 Dateien dahinter sieht nicht mehr wie ein Kalender-Widget aus.
Sensible Daten in der Reichweite
Vertraulichkeitsbezeichnungen und Zahl der vertraulichen Informationen pro App - Kartennummern, Ausweise, Gesundheitsdaten - damit aus "diese App liest Dateien" wird: "diese App liest 3.100 Dateien mit personenbezogenen Daten".
Wer zugestimmt hat, und wann
Der erste Administrator, der die App genehmigt hat, und das Verbindungsdatum, in der Zeile gespeichert. Zwei Jahre später, wenn dieser Admin gegangen ist und die App noch E-Mails liest, ist das der einzige Beleg.
Herausgeberüberprüfung
Verifiziert oder nicht, neben der erteilten Berechtigungsfamilie. Nicht verifiziert plus Benutzerzustimmung plus E-Mail-Berechtigungen ist ein Filter, den Sie nach Zeitplan laufen lassen, nicht nach einem Vorfall.
Untätige Apps
Verwaisungsindikatoren: keine Benutzer, keine Aktivität seit einem Monat oder einem Jahr. Typischerweise 30-50 Apps in einem mittleren Mandanten, alle mit ihren Berechtigungen. Auswählen und den Entzug hinter dem Prüffenster einstellen.
Wie tief es geht
Drei Filter, die die Apps finden, deren Entzug sich lohnt
Filter umfassen App-Typ, Zugriffskanal, Graph-Berechtigungsfamilie (Dateien, Websites, E-Mail, Chat, Verzeichnis, Überwachungsprotokolle), Herausgeberüberprüfung, Reichweite in sensible Daten, Verwaisungsindikatoren und Sicherheitswarnungen.
Die OAuth-Phishing-Triage: Benutzerzustimmung + nicht verifizierter Herausgeber + Datei- oder E-Mail-Berechtigungen. Genau mit diesem Muster machen Angreifer aus einem unachtsamen Klick dauerhaften Postfachzugriff. In den meisten Mandanten hat die Liste unter 20 Zeilen, ändert sich langsam und kostet zehn Minuten im Monat.
Überberechtigt und untätig: mandantenweiter Kanal + keine Aktivität im letzten Jahr. Maximale Berechtigung, null Nutzung, und kein Verantwortlicher, der widerspricht - der beste Ort, um eine Zustimmungsbereinigung zu beginnen. Am ersten Tag finden sich üblicherweise 10-30 solcher Apps.
Der Blick vor der Genehmigung: Bevor Sie eine ausstehende Zustimmungsanfrage erteilen, suchen Sie die App hier. Ist sie bereits vorhanden, sehen Sie ihre aktuelle Reichweite und etwaige Sicherheitswarnungen - die Genehmigung fällt auf Basis von Zahlen, nicht eines Anbieternamens.
In der Praxis
Eine Zustimmungsbereinigung, die tatsächlich fertig wird
Bereinigungen bleiben stecken, wenn jede App gleich riskant aussieht. Die Rangfolge ist es, die eine zu Ende bringt.
- 01
Zählen, was da ist
Öffnen Sie Apps. Die vollständige Liste erscheint, typischerweise Hunderte Zeilen, einschließlich Add-Ins, verwalteter Identitäten, Microsoft-eigener Dienste und der KI-Tools, die Mitarbeiter selbst verbunden haben.
- 02
Nach Kanal trennen
Filtern Sie auf mandantenweit: Das sind Entscheidungen, die ein Admin getroffen hat. Dann auf Benutzerzustimmung: Das sind Entscheidungen, die niemand getroffen hat. Beide bekommen eine eigene Prüfung.
- 03
Nach Reichweite sortieren
Sortieren Sie nach erreichbaren Dateien, dann nach sensiblen Informationen. Die obersten zehn Zeilen halten meist den Großteil der Exposition des Mandanten - eine sehr kurze Warteschlange.
- 04
Zuerst die untätigen entziehen
Filtern Sie auf keine Aktivität seit einem Jahr, alles auswählen, Entzug einstellen. Vorschläge warten standardmäßig 72 Stunden, Verantwortliche können bestätigen, und jede ausgeführte Aktion landet in Aktionen.
Was 1Security hinzufügt
Von einer Liste der Anwendungen zu einer Liste der Folgen
Eine Anwendungsliste nennt die Apps. 1Security ergänzt, was sie erreichen, wer sie hereingelassen hat und ob sie noch jemand nutzt.
- Wie jede App an Daten kommt, klassifiziert in sechs Zugriffskanäle
- Die Zahl der Dateien und Benutzer, auf die eine App zugreifen kann, externe Benutzer getrennt
- Vertrauliche Informationen und Bezeichnungen in der Reichweite jeder App
- Welcher Administrator zugestimmt hat und wann - auch nach dessen Ausscheiden
- Herausgeberüberprüfung neben der erteilten Berechtigungsfamilie
- Apps ohne Aktivität seit einem Monat oder Jahr, die weiterhin volle Berechtigungen halten
- Microsoft-eigene Dienstprinzipale neben Drittanbieter-Integrationen enthalten
- Sicherheitswarnungen an einer Anwendung, und Entzug hinter einem Prüffenster
Skalierung
Hunderte Apps sind normal. Ihre Prüfung nicht.
Die Zahl ist nie die Überraschung. Die Überraschung ist, wie viele mandantenweite Berechtigungen halten, die vor Jahren aus einem Grund erteilt wurden, den niemand mehr rekonstruieren kann - und wie wenige davon noch jemand nutzt. Das Inventar aktualisiert sich etwa alle zehn Minuten; eine heute Morgen zugestimmte App steht am Nachmittag auf der Liste.
- 100everbundene Apps in einem typischen mittleren Mandanten
- 10 Minbis eine neu zugestimmte App im Inventar erscheint
- 0Schreibberechtigungen nötig für das gesamte Bild - die Basisverbindung ist schreibgeschützt
Verwandt
Wo das hineinpasst
Apps sind eine Art nichtmenschlicher Identität. KI-Agenten sind eine andere - und in Mandanten, die mit Copilot Studio bauen, übertreffen sie die klassischen Integrationen bereits zahlenmäßig. Beide erben ihre Reichweite aus denselben Dateiberechtigungen darunter.
KI-Agenten-Inventar
Copilot-, Entra- und Foundry-Agenten in einer Liste, mit den Websites und Dateien, die jeder tatsächlich lesen kann.
Agenten ansehen →Mandanten-Inventar
Jede Website, jedes OneDrive, jeder Benutzer, Gast, jede Gruppe, App, jeder Agent, jedes Gerät und jede Lizenz in einem Live-Inventar - Apps eingeschlossen.
Inventar ansehen →Dateiberechtigungen
Was "diese App kann Dateien lesen" als konkrete Dokumentliste bedeutet - und wer sie sonst noch öffnen kann.
Dateien ansehen →
FAQ
Fragen, die Teams zuerst stellen
Deckt das auch Apps ab, denen Benutzer selbst zugestimmt haben?
Das ist der Kernpunkt. Benutzerzustimmung ist einer der sechs Zugriffskanäle und zugleich der Schatten-IT-Kanal; ein Filter isoliert ihn, und er lässt sich als eigene Population prüfen - typischerweise Dutzende Apps, die niemand in der IT genehmigt hat.
Sind Microsoft-eigene Apps enthalten?
Ja. Wer nur Drittanbieter-Integrationen filtert, blendet eingebaute Dienste wie Forms, Lists und Approvals aus, die echte Berechtigungen halten. Das Inventar umfasst beides und lässt Sie anschließend filtern.
Was heißt "mandantenweit" konkret?
Von einem Administrator erteilte Anwendungsberechtigungen, mit denen die App Daten aller liest, ohne dass ein Benutzer angemeldet ist - Files.Read.All, Mail.Read und dergleichen. Es ist der Kanal mit dem höchsten Einsatz, weil nichts an einer einzelnen Benutzersitzung ihn begrenzt.
Kann ich einer App von hier aus die Zustimmung entziehen, und ist das sicher?
Ja, sobald das Schreibmodul aktiviert ist. Der Entzug wird als Vorschlag hinter einem Prüffenster eingestellt - standardmäßig 72 Stunden - und in Aktionen protokolliert, mit dem, der ihn freigegeben hat. Bis dahin ist die Basisverbindung schreibgeschützt, und jede Kandidatenliste zeigt trotzdem ihre Live-Zahl.
Brauchen wir E5 oder Defender for Cloud Apps?
Nein. Inventar, Zugriffskanäle, Reichweitenzahlen und Verwaisungsindikatoren laufen mit Standard-Lizenzen für Microsoft 365 über die schreibgeschützte Verbindung, ohne zu installierenden Agenten.
Listen Sie die Apps, die niemand registriert hat.
Verbinden Sie schreibgeschützt, und das App-Inventar baut sich noch am selben Tag von selbst auf - einschließlich der Hunderte, die über einen Zustimmungsbildschirm hereinkamen, und der 30-50, die niemand mehr nutzt.
Oder vertrauen Sie weiter dem Zustimmungsbildschirm.