Microsoft 365: App-Zugriffe und Zustimmungen prüfen
Welche Apps haben Zugriff auf Ihre Microsoft-365-Daten? So finden Sie erteilte Zustimmungen und angebundene Anwendungen in Entra ID, bewerten sie und behalten dauerhaft den Überblick.
- Jede Anmeldung per Microsoft-Konto bei einem Fremddienst erzeugt eine Zustimmung — der Dienst erhält damit Rechte auf Unternehmensdaten.
- Ob Mitarbeitende solche Zustimmungen selbst erteilen dürfen, ist eine Einstellung in Entra ID, die viele Unternehmen nie bewusst gesetzt haben.
- Der Überblick entsteht über die registrierten Anwendungen, die erteilten Zustimmungen und die Zuweisungen — drei Listen, die zusammen das Bild ergeben.
- Eine Zustimmung zu entziehen ist technisch trivial und organisatorisch heikel: Dahinter hängt oft ein Arbeitsablauf, den niemand angemeldet hat.
- Verbieten ist selten die richtige Antwort — sichtbar machen, bewerten und freigeben führt zu weniger Schatten-IT als eine Sperre.
Ein Mitarbeiter braucht ein Werkzeug zum Zusammenfassen von Besprechungen. Er findet einen Dienst, klickt „Mit Microsoft anmelden”, bestätigt eine Abfrage und ist in dreißig Sekunden produktiv. Aus seiner Sicht: vorbildlich pragmatisch. Technisch betrachtet hat gerade ein unbekannter Anbieter Rechte auf Kalender und Dateien Ihres Unternehmens bekommen.
Das ist kein Fehlverhalten, sondern die Voreinstellung. Microsoft erlaubt Nutzern standardmäßig, Anwendungen für bestimmte Berechtigungen selbst zuzustimmen — und die wenigsten Unternehmen haben diese Einstellung je bewusst betrachtet.
Was bei einer Zustimmung tatsächlich passiert
Eine Zustimmung ist die Erlaubnis, die eine Person einer Anwendung erteilt, in ihrem Namen auf Daten zuzugreifen. Sie gilt weiter, bis jemand sie widerruft — unabhängig davon, ob die Person das Werkzeug noch nutzt oder überhaupt noch im Unternehmen ist.
Microsoft beschreibt in der Dokumentation zur Konfiguration der Benutzerzustimmung, wie sich das eingrenzen lässt: von „alles erlaubt” über „nur geprüfte Herausgeber und geringe Berechtigungen” bis „nur durch Administratoren”. Die mittlere Stufe ist für die meisten Mittelständler der sinnvolle Kompromiss.
Die drei Listen, die zusammen das Bild ergeben
Für einen belastbaren Überblick reicht eine Liste nicht. Sie brauchen drei:
- Registrierte Anwendungen. Alles, was im Verzeichnis als Anwendung existiert — inklusive der Dienste, die über einen einzigen Klick hineingekommen sind.
- Erteilte Zustimmungen. Wer hat welchem Dienst welche Rechte gegeben? Hier finden Sie die selbst freigeschalteten Werkzeuge, die in keiner Beschaffung auftauchen.
- Zuweisungen. Wer nutzt eine Anwendung tatsächlich, und mit welchen Rollen?
Erst zusammen beantworten sie die Frage, die zählt: Welche Dienste haben Zugriff, wer hat ihn erteilt, und wird er noch gebraucht?
Bewerten statt sofort abschalten
Beim ersten Durchgang finden die meisten Unternehmen mehr, als sie erwartet haben. Drei Merkmale helfen beim Sortieren:
| Merkmal | Bedeutung |
|---|---|
| Weitreichende Berechtigung | Zugriff auf alle Postfächer oder Dateien statt nur auf die des Nutzers |
| Unbekannter Anbieter | Kein verifizierter Herausgeber, keine Anschrift, kein Vertrag |
| Keine Nutzung | Seit Monaten keine Anmeldung — der klarste Fall zum Entziehen |
Riskant ist vor allem die Kombination aus hoher Berechtigung und fehlender Nutzung. Umgekehrt gilt: Ein viel genutzter Dienst mit geringen Rechten ist selten das dringendste Problem — auch wenn er nie freigegeben wurde.
Warum Verbieten selten funktioniert
Die naheliegende Reaktion — Zustimmungen komplett sperren — verschiebt das Problem meist nur. Wer ein Werkzeug braucht und es dienstlich nicht bekommt, nutzt es mit privatem Konto auf privatem Gerät. Dann ist der Zugriff nicht mehr sichtbar, nicht mehr protokolliert und nicht mehr steuerbar.
Wirksamer ist ein Dreiklang: sichtbar machen, schnell bewerten, offiziell freigeben. Wenn eine Anfrage in einem Tag beantwortet ist statt in drei Wochen, sinkt der Anreiz erheblich, an der IT vorbeizugehen. Warum Schatten-IT entsteht und wie Self-Service sie eindämmt, behandelt der Beitrag zur Schatten-IT im Mittelstand; die technische Basis dafür ist ein Self-Service-Portal, in dem eine Anfrage zwei Klicks kostet.
Dauerhaft sichtbar statt einmal aufgeräumt
Eine Aufräumaktion ist eine Momentaufnahme. Vier Wochen später gibt es neue Dienste, und niemand merkt es — es sei denn, jemand schaut regelmäßig nach.
Im kjello-Portal läuft diese Erfassung täglich. Gefundene Anwendungen landen in derselben Übersicht wie die bewusst eingeführten und tragen eine Herkunfts-Kennzeichnung: über kjello angelegt, bei der Erfassung entdeckt oder von Hand eingetragen. Entzogen wird dabei nichts automatisch — ein Werkzeug, das eigenständig Zugänge schließt, legt irgendwann den falschen still. Gemeldet wird alles. Wie das im Detail arbeitet, steht im Hilfe-Center unter Verwaiste Konten & Schatten-IT.
Damit aus der Sichtbarkeit auch eine Entscheidung wird, gehören die Funde in die regelmäßige Prüfung der Zugriffsrechte — dort entscheidet je Zeile ein Mensch, ob ein Zugang bleibt.
Was Sie diese Woche tun können
- Zustimmungseinstellung prüfen. Steht sie auf „alles erlaubt”, ist die mittlere Stufe fast immer die bessere Wahl.
- Anwendungen mit weitreichenden Rechten durchgehen. Es sind meist weniger als zwanzig; die Liste ist an einem Vormittag bewertet.
- Ungenutztes entziehen. Keine Anmeldung seit 90 Tagen plus hohe Berechtigung: entziehen und die betroffene Person kurz informieren.
- Wiedervorlage setzen. Entweder als Termin im Kalender oder — verlässlicher — als automatische Erfassung, die Neues von selbst meldet.
Der zugehörige organisatorische Rahmen ist die Übersicht über alle Anwendungen und Konten. Ohne sie prüfen Sie den Teil Ihrer IT, den Microsoft kennt — und keinen einzigen der Fachanwendungen, die daneben laufen.
In kjello ist die Übersicht Teil des Portals (29 €/User/Monat, Preise); Nachweis und regelmäßige Prüfung gehören zum Security-Paket mit zusätzlich 10 €/User/Monat. Betrieben wird beides von hagel IT — inklusive der unangenehmen Aufgabe, nachzufassen, wenn eine Entscheidung liegen bleibt.
Geschrieben von
Jens Hagel
Gründer & Geschäftsführer
Jens Hagel gründete 2004 das Systemhaus hinter kjello und betreut mit seinem Team über 150 mittelständische Unternehmen. Er schreibt über das, was er in echten Firmen erlebt – praxisnah, ehrlich und ohne Fachchinesisch.
Häufige Fragen
Wie sehe ich, welche Apps Zugriff auf unser Microsoft 365 haben?
Was ist eine Benutzer-Zustimmung in Microsoft 365?
Sollte man Benutzer-Zustimmungen komplett verbieten?
Wie erkenne ich riskante App-Zugriffe?
Was passiert, wenn ich eine App-Zustimmung entziehe?
Wie behalte ich dauerhaft den Überblick über App-Zugriffe?
Sichtbarkeit statt Verbote
kjello erfasst täglich, welche Anwendungen und Konten es in Ihrem Tenant gibt — inklusive der Dienste, die niemand angemeldet hat.
