App Governance macht OAuth-Apps in Entra ID kontrollierbar

In vielen Tenants, die ich mir anschaue, haben sich mit der Zeit Dutzende OAuth-Apps in Entra ID angesammelt, von harmlosen Testintegrationen bis zu kritischen Drittanbieterlösungen. Seit den jüngsten Angriffen über kompromittierte OAuth-Apps bekommt die App Governance für OAuth-Apps wieder deutlich mehr Aufmerksamkeit. Dabei geht es um handfeste Punkte: wer sich dauerhaft Zugriff auf sensible Daten im Tenant verschafft hat, welche Rechte die Apps tatsächlich besitzen, woran man verdächtige Aktivitäten erkennt und wie man Missbrauch unterbindet. Ohne systematische Überwachung rutscht schnell etwas durch, vor allem wenn der User-Consent großzügig gehandhabt wird oder das Admin-Consent-Verfahren nur halbherzig zum Einsatz kommt.

App Governance zeigt, was OAuth-Apps im Tenant tatsächlich tun

App Governance ist ein Zusatzmodul von Microsoft Defender for Cloud Apps (Defender for Cloud Apps Plan 2 oder Microsoft 365 E5), das gezielt OAuth-Apps im Microsoft-Ökosystem überwacht und steuert (Details und Voraussetzungen). Interessant ist vor allem, dass App Governance die tatsächlich genutzten Berechtigungen und das Nutzungsmuster von Apps auswertet, die über Microsoft Graph auf Daten zugreifen – häufig mit sehr mächtigen Delegated oder Application Permissions. Das Dashboard zeigt also nicht bloß, welche Apps existieren. Man sieht auch, wer sie wann verwendet hat, wie viel Traffic darüber lief und auf welche Ressourcen zugegriffen wurde. Bei Service Principals, die seit Monaten niemand mehr nutzt oder die deutlich mehr Rechte als nötig haben, ist das Gold wert, weil sich so „Zombie-Apps“ und Überprivilegierung aufspüren lassen.

Die App-Governance-Ansicht legt Berechtigungen und Nutzung offen

In der App-Governance-Ansicht erkennt man auf einen Blick,

• welche OAuth-Apps registriert sind und von wem,
• welche Berechtigungen sie anfordern und ob diese besonders weitreichend sind (z. B. „Mail.ReadWrite“, „Files.Read.All“),
• wann sie zuletzt auf Daten (z. B. Mails, Dateien) zugegriffen haben,
• ob es ungewöhnliche Aktivitäten oder Datenzugriffe gibt, etwa einen sprunghaften Anstieg des Datentransfers.

Apps, die im Alltag keiner mehr braucht, sollte man entfernen oder ihnen zumindest die Berechtigungen entziehen. Überprivilegierte Apps lassen sich direkt in der Oberfläche auf ein Minimum beschränken oder im Zweifel ganz blockieren. Dank der Integration in Defender XDR tauchen auffällige App-Aktivitäten außerdem in den Incident-Timelines auf, was die forensische Aufarbeitung von Angriffen spürbar erleichtert. Mehr dazu steht in meinem Artikel Midnight Blizzard: Lehren zu OAuth-Apps und Test-Tenants.

Gerade bei selbst gebauten Automatisierungen sehe ich oft, dass Entwickler gern Application Permissions vergeben, weil das „einfacher“ ist. Wer für Service Principals noch Client Secrets nutzt, sollte sich übrigens dringend mit moderneren Alternativen wie Workload Identity Federation beschäftigen (mein Beitrag dazu).

Richtlinien und Threat Detection schlagen bei verdächtigen Apps Alarm

Ein großer Vorteil von App Governance sind die vordefinierten Richtlinien. Sie warnen automatisch, sobald eine neue App mit weitreichenden Rechten im Tenant auftaucht, eine App ungewöhnlich viele Daten abruft oder plötzlich von einem neuen geografischen Standort aus agiert (Überblick über die Richtlinientypen). Eigene Schwellenwerte und gezielte Benachrichtigungen können Administratoren selbst festlegen. Bei typischen Angriffsmustern meldet sich die Threat-Detection-Engine, beispielsweise wenn eine App im Namen vieler User Mails exportieren oder massenhaft OneDrive-Daten kopieren will. Ist eine App als verdächtig oder kompromittiert eingestuft, lässt sie sich im Portal mit wenigen Klicks deaktivieren.

flowchart TD
  AppReg["OAuth-App registriert"] --> Consent["User/Admin Konsent erteilt"]
  Consent --> Graph["Datenzugriff via Graph"]
  Graph --> AppGov["App Governance überwacht Zugriff"]
  AppGov --> Detekt["Richtlinie schlägt an?"]
  Detekt -- "Nein" --> Normal["Normale Nutzung"]
  Detekt -- "Ja" --> Alert["Alarm und Blockierung"]

Abbildung: Lebenszyklus einer OAuth-App und Überwachung durch App Governance

Im Alltag zahlt sich vor allem das Zusammenspiel aus Echtzeitüberwachung, Incident-Integration in Defender XDR und der Möglichkeit aus, sofort zu reagieren. Zur Transparenz kommen auf Wunsch auch automatisierte Gegenmaßnahmen hinzu.

Strenge Consent-Einstellungen halten riskante Apps von vornherein fern

Wie so oft ist Vorbeugen besser als Heilen. Über die User Consent Settings in Entra ID lässt sich die Einwilligung von Nutzern für neue Apps stark einschränken (Doku). In fast allen produktiven Tenants, die ich betreue, ist der direkte User-Consent für Apps abgeschaltet, sobald diese mehr als Basiskontaktinformationen abrufen wollen. Stattdessen läuft alles über den Admin Consent Workflow. Nutzer stellen eine Anfrage, ein Admin prüft die App und gibt sie gezielt frei. Damit sinkt die Wahrscheinlichkeit, dass sich schädliche oder überprivilegierte Apps überhaupt festsetzen. Die Anfragen und die bereits erteilten Consents sollte man trotzdem regelmäßig durchsehen. Nach meiner Erfahrung schleichen sich umso weniger „Schatten-Apps“ ein, je transparenter der Prozess gestaltet ist.

Praxis-Tipp: Apps mit weitreichenden, aber kaum genutzten Berechtigungen findet man im Microsoft Defender-Portal unter Cloud-Apps → App-Governance → Registerkarte „Microsoft Entra ID“. Dort nach der Berechtigungsstufe „Hoch“ filtern und die Angaben zur Datennutzung prüfen. Apps, die viel dürfen, aber kaum Daten bewegen, sind die ersten Kandidaten, um Berechtigungen zurückzunehmen oder die App zu deaktivieren.

Die Lizenzkosten rechnen sich vor allem in großen Organisationen

Kostenlos ist App Governance nicht. Pro überwachtem User braucht man Defender for Cloud Apps Plan 2 oder eine Microsoft-365-E5-Lizenz. In großen Organisationen hat sich das Monitoring schnell bezahlt gemacht, wenn man bedenkt, welche Risiken von unkontrollierten Apps ausgehen können. Kleinere Umgebungen haben zumindest etwas von den User Consent Restrictions und klaren App-Richtlinien, auch ohne die volle Automatisierung und Threat Detection.

Für mich ist App Governance inzwischen ein unverzichtbares Werkzeug, um den „App-Layer“ in Entra ID abzusichern. Lange fehlte genau diese Kombination aus Sichtbarkeit, gezielten Policies und schneller Reaktion, um das Risiko durch OAuth-Apps wirklich in den Griff zu bekommen. Da die Angriffe immer raffinierter werden, gehört das Thema in jedes Security-Konzept.