Die wichtigsten Punkte
Einen SaaS-Genehmigungsprozess für Drittanbieter-Apps bei KMU-Kunden aufbauen
- Eine SaaS-Genehmigungsrichtlinie hilft MSPs, Anwendungen von Drittanbietern zu bewerten, freizugeben und zu überwachen, bevor sie in Kundenumgebungen ausgerollt werden.
- Checklisten zur SaaS-Bewertung sollten Anbietersicherheit, Compliance-Zertifizierungen, Umgang mit Daten, Lizenzkosten und geschäftliche Auswirkungen prüfen.
- So verschlanken Sie Genehmigungen: Erstellen Sie ein Anfrageformular, leiten Sie die Ergebnisse in ein zentrales System und weisen Sie Rollen und Genehmigende mit festen Reaktionszeiten zu.
- Stufen Sie zu genehmigende Apps mithilfe einer risikobasierten Entscheidungsmatrix als niedriges, mittleres oder hohes Risiko ein, um sie für ein beschleunigtes Verfahren oder weitere Prüfungen zu sortieren.
- Nutzen Sie NinjaOne, um nicht konforme Apps zu kennzeichnen, die Dokumentation zu zentralisieren und Benachrichtigungen für Bewertungszyklen zu automatisieren.
- Prüfen Sie SaaS-Anwendungen quartalsweise oder halbjährlich, damit Nutzung, geschäftlicher Mehrwert, Sicherheitsniveau und Compliance-Zertifizierungen den Anforderungen der Kund:innen entsprechen.
Software-as-a-Service-Anwendungen von Drittanbietern steigern die Produktivität und verschlanken die Arbeitsabläufe in KMU, sodass mehr Arbeit in kürzerer Zeit erledigt wird. Ein etablierter Genehmigungsprozess für SaaS-Apps hilft MSPs dabei, Anwendungen von Drittanbietern zu bewerten, freizugeben und zu überwachen, und senkt so Risiken und Compliance-Probleme.
Einen schnellen visuellen Überblick erhalten Sie in unserem Video-Leitfaden So erstellen Sie eine Genehmigungsrichtlinie für SaaS-Anwendungen von Drittanbietern für KMU-Kunden
Empfohlene Strategien für einen wirksamen SaaS-Bewertungsprozess
Ohne einen etablierten Bewertungsprozess können Beschäftigte eigenständig Anwendungen von Drittanbietern abonnieren. Ungeprüfte SaaS-Abonnements führen zu Sicherheitsrisiken und Compliance-Problemen oder verschwenden Unternehmensressourcen für redundante Dienste.
Eine SaaS-Bewertungs-Checkliste bringt Sicherheit und praktikable Arbeitsabläufe in Einklang und fördert ein gutes IT-Asset-Management bei Kunden. MSPs erhalten damit den nötigen Überblick, um offene Anfragen zu genehmigen oder abzulehnen, ohne Kunden die Möglichkeit zu nehmen, neue Tools auszuprobieren.
📌 Voraussetzungen:
- Zugriff auf Anbieterinformationen und SaaS-Nutzungsprotokolle
- Definierte Governance-Rollen auf Kundenseite
- Vorhandenes PSA- oder Ticketing-System, um Anfragen und Entscheidungen zu dokumentieren
- Optional: PowerShell-Zugriff, um Skripte zur Risikokennzeichnung auszuführen
Schritt 1: Geltungsbereich und Bewertungskriterien des SaaS-Genehmigungsprozesses festlegen
Der Geltungsbereich trennt Apps, die eine Prüfung benötigen, von solchen, die sich bedenkenlos schnell einführen lassen. So kennen die Beschäftigten die Regeln von Anfang an. Die Bewertungskriterien wiederum geben MSPs einen einheitlichen Maßstab, um Anfragen zu beurteilen.
Geltungsbereich und Bewertungskriterien bilden damit das Fundament eines wirksamen SaaS-Genehmigungsprozesses. Gemeinsam schaffen sie ein schlankes, wiederholbares Bewertungsverfahren und helfen KMU, Schatten-IT und verschwendete Ressourcen zu vermeiden.
Beispiel für Geltungsbereich und Bewertungskriterien
Geltungsbereich: Alle SaaS-Apps von Drittanbietern (Standard) oder nur solche, die kritische Kundendaten verarbeiten.
Bewertungskriterien:
- Sicherheitsniveau: Ermitteln Sie, welche Sicherheitsfunktionen ein Anbieter unterstützt, etwa MFA, Verschlüsselung und ausreichende Administrationsrechte (zum Beispiel rollenbasierter Zugriff).
- Compliance-Zertifizierung: Prüfen Sie, ob die betrachtete App über Compliance-Zertifizierungen wie SOC 2 oder ISO 27001 verfügt. Dokumentieren Sie Ihre Ergebnisse und stellen Sie sicher, dass die Compliance-Zusagen des Anbieters zu den Zielen der Kund:innen passen.
- Richtlinien zum Umgang mit Daten: Prüfen Sie die Telemetrie-Anforderungen der App, die Kontrollmöglichkeiten zur Datenaufbewahrung und die Verfahren zur Weitergabe an Dritte.
- Kosten und Lizenzierung: Bewerten Sie das Preismodell sowie die erwarteten Abonnement- oder Gesamtkosten. Legen Sie den voraussichtlichen Verlängerungsrhythmus der App, ihre Nutzungsdauer und die Verantwortung für die Zugriffssteuerung fest, sobald sie in der Produktivumgebung eines Kunden eingebunden ist.
- Geschäftlicher Nutzen und Refinanzierung der Investition: Vergleichen Sie die Funktion der betrachteten SaaS-App mit bestehenden Lizenzen, um Redundanzen zu vermeiden. Erwägen Sie zusätzlich einen kleinen Pilottest, um den möglichen Nutzen einer Drittanbieter-App für Kund:innen zu ermitteln.
Schritt 2: Anfrage- und Prüfprozess für eine schlanke SaaS-Governance aufsetzen
Ein standardisierter Weg für SaaS-App-Anfragen beschleunigt die Genehmigung und schafft gleichzeitig klare Transparenz über die angefragten Anwendungen. So wird außerdem jede Anfrage einheitlich bewertet, was Risiken reduziert und eine effiziente Kostensteuerung für Kund:innen fördert.
Ein standardisiertes Anfrageformular erstellen
Erstellen Sie ein standardisiertes Anfrageformular, das sich in fünf Minuten oder weniger ausfüllen lässt und für alle Beschäftigten zentral zugänglich ist. Erfassen Sie darin nur die Angaben, die Prüfer:innen tatsächlich brauchen, zum Beispiel:
- Name der App
- Geschäftlicher Zweck
- Angaben zum Anbieter
- Vorgesehene Benutzer:innen
- Sensibilität der Daten
- Erforderliche Integrationen
- Lizenzmodell
- Gewünschtes Startdatum
SaaS-Bewertungsanfragen in ein zentrales System leiten
Erfassen Sie neue App-Anfragen in einem zentralen System, etwa in einem Servicekatalog oder einer IT-Self-Service-Software, um den Überblick über Tool-Anfragen zu behalten. Versehen Sie jede Anfrage mit Kundenname, Abteilung und Risikoeinstufung (niedrig, mittel oder hoch).
Apps mit geringem Risiko durchlaufen ein beschleunigtes Verfahren. Anwendungen mit mittlerem und hohem Risiko erfordern die reguläre Prüfung, wobei Letztere zusätzlich eine erweiterte Sicherheits- und Compliance-Prüfung durchlaufen, in die Sicherheit, Compliance und Einkauf eingebunden sind.
Prüfer:innen benennen und Reaktionszeiten festlegen
Benennen Sie für jede Risikoeinstufung Prüfer:innen und legen Sie Reaktionszeiten fest. Apps mit geringem Risiko können beispielsweise von einer Technikerin oder einem Techniker des MSP geprüft werden, mit einer angestrebten Reaktionszeit von einem Arbeitstag. Anwendungen mit mittlerem Risiko prüfen MSP und eine Kundenvertretung gemeinsam, mit Ergebnissen innerhalb von drei Arbeitstagen.
SaaS-Anwendungen mit hohem Risiko erfordern dagegen eine detaillierte Prüfung über den gesamten Bewertungsumfang. Dazu gehören Compliance-Relevanz, Umgang mit Daten, Überschneidungen mit bestehenden Tools und die Auswirkungen auf das Geschäft. Damit der Prozess nicht ins Stocken gerät, führen eine MSP-Leitung und die zuständige Abteilungsleitung auf Kundenseite Prüfungen mit hohem Risiko innerhalb von fünf bis sieben Tagen durch.
💡 Hinweis: Techniker:innen und Leitungen auf MSP-Seite agieren in diesem Prozess als technische Berater:innen. Ihre Aufgabe ist es, zur technischen Eignung, Sicherheit und Implementierung einer App zu beraten.
Schritt 3: Rollen und Genehmigende im SaaS-Bewertungsprozess festlegen
Weisen Sie Rollen und Genehmigende zu, um Verantwortlichkeiten teamübergreifend klar zu benennen und liegengebliebene oder herrenlose Aufgaben zu vermeiden. Klare Zuständigkeiten ermöglichen zudem schnellere Eskalationen, weil Techniker:innen und Kund:innen wissen, wen sie an welcher Stelle des Prüfzyklus ansprechen müssen.
Darüber hinaus entsteht ein lückenloser Prüfpfad für Nachvollziehbarkeit und Compliance, der belegt, dass jede Entscheidung ordnungsgemäß zustande gekommen ist.
Beispiel für Rollenverteilung und Genehmigende im SaaS-Genehmigungsprozess
| Rolle | Definition | Beispielhafte Zuordnung |
| Antragsteller:in | Erkennt ein geschäftliches Problem, das sich mit einer SaaS-App eines Drittanbieters lösen lässt, und informiert den MSP mit einer Anfrage. | Beliebige:r Beschäftigte:r auf Kundenseite |
| Fachliche:r Verantwortliche:r | Prüft über Demos, Testphasen oder Pilottests, ob die SaaS-App zu den Geschäftszielen passt. Legt außerdem fest, wie viele Lizenzplätze für die Implementierung oder die Pilotgruppen nötig sind. | Abteilungsleitung auf Kundenseite |
| Technische:r Prüfer:in | Bewertet, ob SaaS-Anwendungen die Mindestanforderungen an Sicherheit und Compliance der Kund:innen erfüllen. | Techniker:in oder Analyst:in beim MSP |
| Finanzen / Einkauf | Prüft, ob Lizenz-, Verlängerungs- und Kündigungskosten einer App in das Budget der Abteilung passen. | Finanzverantwortliche:r, Leitung oder Führungskraft auf Kundenseite |
| Letztentscheidende:r | Fasst alle Ergebnisse der übrigen Prüfungen zusammen und entscheidet, ob eine App-Anfrage genehmigt oder abgelehnt wird. | Sponsor:in aus der Geschäftsführung oder IT-Manager auf Kundenseite |
💡 Hinweis: MSPs agieren als technische Berater:innen und unterstützen Kund:innen bei Fragen zu Risiko, Sicherheit und Implementierung, während interne Stakeholder die Beschaffung der Tools freigeben.
Schritt 4: Eine risikobasierte Entscheidungsmatrix nutzen
Risikobasierte Matrizen machen sichtbar, wie sicher eine App ist, indem sie Empfehlungen mit den voraussichtlichen Auswirkungen auf Kund:innen verknüpfen. Eine gut definierte Matrix macht aus subjektiven Diskussionen zudem klare, wiederholbare Entscheidungen und beschleunigt so die Bewertung.
MSPs können mit einer einheitlichen Matrix denselben Entscheidungsprozess bei allen Kund:innen anwenden. Das sorgt für eine gleichbleibende Service-Erbringung und einen sauberen Prüfpfad. Halten Sie Risikobewertungen, Entscheidungen und Kontrollen je Kunde fest und bewerten Sie nach Verlängerungen oder Preisänderungen neu.
Beispiel für eine risikobasierte Entscheidungsmatrix im SaaS-Genehmigungsprozess
| Risikostufe | Empfehlung | Erforderliche Kontrollen | Genehmigende und SLA |
| Niedrig | Genehmigung mit Standardkontrollen | Authentifizierungsverfahren durchsetzen (zum Beispiel Single-Sign-On (SSO) oder MFA) und, sofern verfügbar, Rollen nach dem Least-Privilege-Prinzip; App in das SaaS-Inventar aufnehmen. | Analyst:in beim MSP; Rückmeldung nach einem Arbeitstag. |
| Mittel | Genehmigung oder Ablehnung nach Pilottests | Pilottest über 30 bis 60 Tage; riskante App-Funktionen blockieren. | Analyst:in beim MSP und Kundenvertretung; Rückmeldung nach drei Arbeitstagen. |
| Hoch | Ablehnung oder weitere Anbieterbewertungen anfordern | Pilottest über 30 bis 60 Tage; Prüfung der Compliance-Zertifizierungen; Alternativen in Betracht ziehen. | MSP-Leitung und Führungskraft auf Kundenseite; Rückmeldung nach fünf bis sieben Arbeitstagen. |
Schritt 5: Entscheidungen kommunizieren und Compliance der SaaS-Anwendungen sicherstellen
Eine klare und transparente Kommunikation schließt jede Anfrage ab und stellt sicher, dass Genehmigungen oder Ablehnungen die Stakeholder rechtzeitig erreichen. Kommunizieren Sie Entscheidungen verständlich an alle Beteiligten, einschließlich der Begründung und der nächsten Schritte, etwa erforderlicher Compliance-Kontrollen.
Stellen Sie nach der Genehmigung sicher, dass die SaaS-App die nötigen Sicherheitskonfigurationen erhält (zum Beispiel MFA, Rollen nach dem Least-Privilege-Prinzip, Audit-Protokollierung und Einschränkungen). Geben Sie den Zugriff nur für die vorgesehenen Stakeholder frei, stellen Sie Leitlinien für die sichere Nutzung bereit und überwachen Sie regelmäßig ungewöhnliche Zugriffe.
Nehmen Sie die Anwendung in das SaaS-Inventar des Kunden auf, einschließlich der verantwortlichen Personen, der Risikostufe, der eingerichteten Kontrollen, der Lizenzanzahl und der SLAs des Anbieters. Zentralisieren Sie die Lizenzverwaltung ausschließlich bei MSPs, damit die Vergabe und der Entzug von Lizenzen sauber dokumentiert und nicht ad hoc erfolgen.
Schritt 6: SaaS-Bewertungen und Verlängerungen regelmäßig einplanen
Richten Sie eine automatisierte Erinnerung für die Neubewertung von Apps im Hinblick auf Verlängerung oder Abschaffung ein, idealerweise quartalsweise oder halbjährlich. Sehen Sie sich die Nutzungsergebnisse der Anwendung an: Sie liefern konkrete Hinweise darauf, ob die App angepasst, erweitert oder ausgemustert werden sollte.
Damit Kund:innen durchgängig compliant bleiben, sollten Sie bei jeder Neubewertung auch das Sicherheits- und Compliance-Niveau des Anbieters erneut prüfen. Kontrollieren Sie SOC-2-/ISO-Berichte, Auftragsverarbeitungsverträge (AVV) und Änderungen an Berechtigungen, damit die Apps weiterhin zu den Anforderungen der Kund:innen passen.
NinjaOne-Funktionen für Genehmigung und Governance von SaaS-Apps
NinjaOne verschlankt SaaS-Genehmigungsprozesse, indem es Endpunkt-Überwachung, Dokumentation und Echtzeit-Alarmierungen in einer Software mit einheitlicher Benutzeroberfläche zusammenführt. MSPs können so nicht autorisierte Tools zentral erkennen und die Einhaltung regulatorischer Vorgaben bei ihren Kund:innen sicherstellen.
- Umfassende Geräteansicht: Erkennen Sie mögliche Compliance-Verstöße, indem Sie die Daten des App-Inventars auswerten und die tatsächliche Nutzung mit der Liste der freigegebenen Apps abgleichen.
- Dokumentationsverwaltung: Speichern Sie Anfragen zur SaaS-App-Bewertung zentral in den Dokumentationsmodulen von NinjaOne, damit die Informationen für alle Techniker:innen zugänglich und transparent sind.
- Benutzerdefinierte Warnmeldungen: Richten Sie in NinjaOne benutzerdefinierte Warnmeldungen ein, die Techniker:innen automatisiert informieren, wenn Bewertungszeiträume für SaaS-Apps beginnen oder enden. So erfolgen Prüfungen rechtzeitig und nichts gerät aus dem Blick.
Mit einem Genehmigungsprozess für SaaS-Apps die Bewertung verschlanken
Genehmigungsrichtlinien für SaaS-Apps schützen KMU-Kund:innen vor Sicherheitslücken, Compliance-Risiken und redundanter, teurer Software. Definieren Sie zum Start des Genehmigungsprozesses den Geltungsbereich und die Bewertungskriterien und leiten Sie die Ergebnisse anschließend für mehr Transparenz in ein zentrales System.
Weisen Sie Rollen mit klaren Reaktionszeiten zu und setzen Sie, wo immer möglich, Automatisierungs-Tools wie NinjaOne ein, um manuelle Eingriffe zu reduzieren. So können MSPs App-Anfragen konsequent prüfen, ohne innovative Ideen auszubremsen, die die Geschäftsprozesse ihrer Kund:innen verschlanken.
Verwandte Themen:
