Technische Einordnung

Microsoft Entra ID unterscheidet zwischen delegierten Berechtigungen, die im Namen eines Benutzers gewährt werden, und Anwendungsberechtigungen, die direkt einer Anwendung zugewiesen sind. Beide Berechtigungstypen können Risiken bergen, wenn sie unnötig oder übermäßig weitreichend sind. Die offizielle Dokumentation beschreibt, wie Sie diese Berechtigungen im Microsoft Entra Admin Center einsehen und bei Bedarf widerrufen können.

Zusätzlich lassen sich App-Zustimmungsrichtlinien konfigurieren, um zu steuern, welche Apps Benutzer oder Administratoren zustimmen dürfen. Diese Richtlinien können über Microsoft Graph oder PowerShell verwaltet werden und ermöglichen eine gezielte Steuerung des Zustimmungsverhaltens im Mandanten.

Typisches Praxisszenario

Ein mittelständisches Unternehmen stellt fest, dass mehrere Anwendungen im Mandanten weitreichende delegierte Berechtigungen besitzen, die nicht mehr benötigt werden. Die IT-Leitung möchte systematisch prüfen, welche Apps welche Berechtigungen haben, und unnötige Zustimmungen zurückziehen, um das Risiko zu minimieren.

Parallel dazu soll verhindert werden, dass Benutzer künftig beliebig Apps Zustimmungen erteilen können. Die IT-Abteilung möchte daher App-Zustimmungsrichtlinien einführen, um nur geprüften Anwendungen und bestimmten Berechtigungen zuzustimmen.

Technische Umsetzungsschritte

  1. Melden Sie sich im Microsoft Entra Admin Center mindestens mit der Rolle Cloud-Anwendungsadministrator oder Anwendungsadministrator an, um Berechtigungen einsehen und widerrufen zu können.
  2. Navigieren Sie zu Entra ID > Enterprise-Apps > Alle Anwendungen und wählen Sie eine Anwendung aus, um unter der Registerkarte Berechtigungen (Permissions) die für den Mandanten erteilten Berechtigungen einzusehen. Die Registerkarte Administratoreinwilligung zeigt Berechtigungen, die von Administratoren für die gesamte Organisation erteilt wurden. Die Registerkarte Benutzerzustimmung zeigt Berechtigungen, die einzelnen Benutzern oder Gruppen erteilt wurden.
  3. Um eine spezifische Berechtigung zu widerrufen, wählen Sie die Berechtigung unter der Registerkarte Administratoreinwilligung aus und klicken Sie auf ‚Widerrufen‘.
  4. Berechtigungen, die über Benutzerzustimmung erteilt wurden, können nicht im Portal widerrufen werden. Nutzen Sie hierfür Microsoft Graph-API oder PowerShell. Delegierte Berechtigungen (Benutzer- und Administratoreinwilligung) werden über den Endpunkt /oauth2PermissionGrants verwaltet, Anwendungsberechtigungen (App-Rollen) über /appRoleAssignments. Nicht alle Berechtigungstypen lassen sich über diese Endpunkte entfernen; beachten Sie die jeweilige Dokumentation.
  5. Erstellen oder passen Sie App-Zustimmungsrichtlinien an, um zu definieren, welche Apps oder Herausgeber zustimmen dürfen. Verwenden Sie dazu Microsoft Graph oder PowerShell mit der Berechtigung Policy.ReadWrite.PermissionGrant.
  6. App-Zustimmungsrichtlinien können mandantenweit oder für bestimmte Benutzergruppen oder Herausgeber gelten. Zugewiesen wird eine solche Richtlinie bestimmten Benutzern oder Gruppen über benutzerdefinierte Rollen; alternativ lässt sich eine Standard-Zustimmungsrichtlinie für alle Endbenutzer der Organisation festlegen.
  7. Überprüfen Sie regelmäßig die Aktivitätsprotokolle im Microsoft Entra Admin Center, um zu erkennen, welche Berechtigungen erteilt oder widerrufen wurden, und identifizieren Sie potenziell riskante Zustimmungen.
  8. Dokumentieren Sie alle Schritte und Widerrufe, um Transparenz zu schaffen und bei Audits nachweisen zu können, welche Maßnahmen ergriffen wurden.

Was im Microsoft-365-Tenant geprüft werden sollte

  • Überprüfen Sie, ob Benutzerzustimmung für Apps aktiviert ist, um zu erkennen, ob Benutzer eigenständig Zustimmungen erteilen können.
  • Stellen Sie sicher, dass die Rollen Cloud-Anwendungsadministrator oder Anwendungsadministrator korrekt vergeben sind, damit Berechtigungen im Portal widerrufen werden können.
  • Ermitteln Sie vorhandene App-Zustimmungsrichtlinien im Mandanten über Microsoft Graph oder PowerShell, um den aktuellen Steuerungsrahmen zu verstehen.
  • Prüfen Sie die Aktivitätsprotokolle auf erteilte und widerrufene Berechtigungen, um ungewollte Zustimmungen zu identifizieren.
  • Kontrollieren Sie, ob Anwendungen mit delegierten Berechtigungen tatsächlich eine Benutzeranmeldung erfordern und ob diese Berechtigungen noch gerechtfertigt sind.

Typische Fehler und Anti-Patterns

  • Es wird nur die Administratoreinwilligung überprüft, während Benutzerzustimmungen unkontrolliert bleiben, obwohl diese über Graph oder PowerShell widerrufbar sind.
  • App-Zustimmungsrichtlinien werden nicht eingesetzt, sodass Benutzer weiterhin beliebigen Apps Zustimmungen erteilen können, was das Risiko erhöht.
  • Richtlinien werden geändert, ohne die aktuelle authorizationPolicy vorher zu prüfen, wodurch unbeabsichtigt Entwicklerrechte entzogen werden können.
  • Aktivitätsprotokolle werden nicht genutzt, sodass Änderungen an Berechtigungen nicht nachvollziehbar sind und Risiken unentdeckt bleiben.
  • Delegierte und Anwendungsberechtigungen werden nicht unterschieden, wodurch falsche Maßnahmen getroffen werden können.

Praxis-Checkliste für Entscheider

  1. Identifizieren Sie zuerst, ob Benutzerzustimmung aktiviert ist, um den Umfang der Kontrolle zu bestimmen und Risiken zu priorisieren.
  2. Ermitteln Sie vorhandene App-Zustimmungsrichtlinien, um zu entscheiden, ob Standardrichtlinien angepasst oder neue erstellt werden müssen.
  3. Priorisieren Sie Anwendungen mit weitreichenden delegierten oder Anwendungsberechtigungen, die nicht mehr benötigt werden, und widerrufen Sie diese zuerst.
  4. Setzen Sie App-Zustimmungsrichtlinien um, um zukünftige Zustimmungen zu steuern und nur geprüften Apps Zugriff zu gewähren.
  5. Nutzen Sie Aktivitätsprotokolle regelmäßig, um die Wirksamkeit Ihrer Maßnahmen zu überprüfen und Anpassungen vorzunehmen.
  6. Dokumentieren Sie alle Entscheidungen, Widerrufe und Richtlinienänderungen, um Transparenz und Nachvollziehbarkeit sicherzustellen.

Rollen und Verantwortlichkeiten

Die Rolle Cloud-Anwendungsadministrator oder Anwendungsadministrator ist erforderlich, um im Microsoft Entra Admin Center Berechtigungen einzusehen und Administratoreinwilligungen zu widerrufen. Diese Rollen ermöglichen den direkten Zugriff auf die Registerkarte Administratoreinwilligung.

Für die Verwaltung von App-Zustimmungsrichtlinien benötigen Sie laut Microsoft die Verzeichnisrolle „Administrator für privilegierte Rollen“ oder eine benutzerdefinierte Verzeichnisrolle mit den dafür erforderlichen Berechtigungen; programmatisch genügt die entsprechende Microsoft-Graph-App-Rolle. Nicht jede benutzerdefinierte Rolle verfügt automatisch über diese Berechtigung.

Business-Nutzen

Durch systematische Prüfung und Widerruf überflüssiger Berechtigungen reduzieren Sie das Risiko von Datenzugriffen durch nicht mehr benötigte oder potenziell unsichere Anwendungen. Dies stärkt die Compliance und schützt Unternehmensdaten.

App-Zustimmungsrichtlinien ermöglichen eine gezielte Steuerung, welche Anwendungen und Berechtigungen zugelassen werden. Das schafft Transparenz und Kontrolle, insbesondere in Umgebungen mit vielen Drittanbieter-Apps.

Betriebsmodell nach der Einführung

Nach der Einführung sollten regelmäßige Reviews etabliert werden, bei denen Berechtigungen und Zustimmungen anhand der Aktivitätsprotokolle überprüft und bei Bedarf widerrufen werden.

App-Zustimmungsrichtlinien sollten kontinuierlich gepflegt werden, etwa durch Anpassung bei neuen Anwendungen oder geänderten Anforderungen, und Verantwortlichkeiten klar definiert sein.

Messbare Signale für Fortschritt

Ein messbarer Fortschritt zeigt sich durch eine abnehmende Anzahl von Anwendungen mit weitreichenden delegierten oder Anwendungsberechtigungen, die nicht mehr genutzt werden.

Ein weiterer Indikator ist die Reduktion der Zustimmungen durch Endbenutzer, insbesondere für risikoreiche Berechtigungen, dank wirksamer App-Zustimmungsrichtlinien.

Priorisierung: Was zuerst?

Beginnen Sie mit der Analyse der aktiv genutzten Anwendungen mit hohen Berechtigungen, da diese das größte Risiko darstellen und schnellstmöglich überprüft werden sollten.

Im nächsten Schritt implementieren Sie App-Zustimmungsrichtlinien, um zukünftige Risiken zu begrenzen und nur geprüften Anwendungen Zustimmungen zu erlauben.

Einordnung durch Azuric

Im Assessment prüft Azuric Consulting zunächst, ob Benutzerzustimmung aktiviert ist und welche Rollen im Mandanten vorhanden sind, um die aktuelle Kontrolllage zu verstehen.

Anschließend bewertet Azuric die vorhandenen App-Zustimmungsrichtlinien und Berechtigungen, identifiziert Risiken und empfiehlt gezielte Maßnahmen zur Widerrufung und Richtlinienimplementierung.

Quellen

Dieser Beitrag ist eine eigene Azuric-Einordnung. Die folgenden Quellen wurden zur fachlichen Grundlage herangezogen.