Die wichtigsten Punkte
- Shadow IT in Microsoft 365 verstehen: Nicht freigegebene Apps und Dienste können sensible Daten offenlegen und in Ihrer gesamten Umgebung Compliance-Risiken verursachen.
- Defender for Cloud Apps nutzen: Die Sicherheitsplattform von Microsoft erkennt nicht autorisierte Cloud-Nutzung, indem sie Netzwerkprotokolle, Benutzerverhalten und App-Datenverkehr analysiert.
- Cloud Discovery einrichten: Fortlaufende Überwachung und der Upload von Protokollen machen nicht verwaltete Cloud-Apps sichtbar und helfen IT-Teams, Risiken in Echtzeit zu verfolgen.
- Cloud App Security einsetzen: Fortschrittliche Analytics und maschinelles Lernen markieren ungewöhnliche Aktivitäten und decken besonders riskante Anwendungen auf.
- Benutzer:innen schulen und Richtlinien durchsetzen: Regelmäßige Trainings, bedingter Zugriff und Maßnahmen zur App-Steuerung verringern Shadow-IT-Vorfälle.
Shadow-IT-Anwendungen laufen außerhalb der unternehmensweiten Kontrolle und sorgen in Microsoft-365-Umgebungen für Sicherheitslücken und Compliance-Risiken. Microsoft Defender for Cloud Apps und Cloud App Security bringen Erkennungsfunktionen mit, um nicht autorisierte Cloud-Dienste aufzuspüren. Diese Tools analysieren Netzwerkverkehr, Benutzerverhalten und Nutzungsmuster von Anwendungen und machen so verborgene Shadow-IT-Installationen im gesamten Unternehmensnetzwerk sichtbar.
Erste Schritte zur Erkennung von Shadow IT
Was Sie nicht sehen, können Sie nicht verwalten. Immer mehr Beschäftigte nutzen Cloud-Anwendungen ohne Zustimmung oder Aufsicht der IT-Abteilung, und damit steigt in modernen Unternehmen das Risiko von Datenverlusten und Compliance-Lücken. Strategien zur Erkennung von Shadow IT verbinden automatisierte Überwachungstools mit Richtlinien-Frameworks, um nicht autorisierte Anwendungen zu identifizieren, bevor Sicherheitsschwachstellen entstehen.
Was ist Shadow IT in Microsoft 365?
Shadow IT umfasst sämtliche Cloud-Anwendungen, Dienste oder Software, die Beschäftigte ohne formale Zustimmung oder Kenntnis der IT-Abteilung einsetzen. Diese nicht autorisierten Anwendungen greifen häufig auf Daten und Systeme von Microsoft 365 zu und schaffen so potenzielle Sicherheitsschwachstellen und Compliance-Verstöße. Oft entdecken Sie Shadow-IT-Anwendungen erst nach einem Sicherheitsvorfall oder bei routinemäßigen Audits Ihrer Cloud-Infrastruktur.
Welche Risiken bergen nicht verwaltete Cloud-Apps?
Ohne geeignete Sicherheitskontrollen oder Richtlinien zur Data Governance können nicht verwaltete Cloud-Anwendungen sensible Unternehmensdaten schnell an externe Systeme weitergeben. Solche Anwendungen umgehen häufig etablierte Sicherheitsprotokolle und verstoßen damit womöglich gegen branchenspezifische Compliance-Anforderungen und unternehmensinterne Datenschutzstandards. Genau deshalb erzeugt Shadow IT blinde Flecken in der Sicherheitsüberwachung: Datenflüsse lassen sich kaum nachvollziehen und auf Sicherheitsvorfälle lässt sich nur schwer wirksam reagieren.
So erkennen Sie Shadow IT mit integrierten Tools
Microsoft 365 stellt mehrere integrierte Tools bereit, mit denen Sie nicht autorisierte Cloud-Anwendungen im gesamten Unternehmensnetzwerk aufspüren. Dazu müssen Sie die Telemetriedaten aus Microsoft Entra, Microsoft Defender und Microsoft Cloud App Security zusammenführen, um nicht autorisierte App-Nutzung und riskante Zugriffsmuster sichtbar zu machen.
Gehen Sie bei der Arbeit mit den nativen Sicherheitstools von Microsoft so vor:
- Rufen Sie das Portal von Microsoft Defender for Cloud Apps über Ihr Microsoft 365 Admin Center auf.
- Wechseln Sie zum Dashboard „Cloud Discovery“, um die automatisiert erkannten Anwendungen einzusehen.
- Konfigurieren Sie den Upload von Netzwerkprotokollen, um auch den lokalen Datenverkehr besser erfassen zu können.
- Prüfen Sie die Liste der gefundenen Anwendungen auf nicht autorisierte oder besonders riskante Cloud-Dienste.
- Richten Sie automatisierte Alarmierungen für neu entdeckte Anwendungen ein, die Ihren Risikokriterien entsprechen.
- Exportieren Sie die Erkennungsdaten für detaillierte Auswertungen und die Berichterstattung an Stakeholder.
Shadow IT mit Defender for Cloud Apps aufspüren
Microsoft Defender for Cloud Apps ist die zentrale Plattform, um Shadow IT in Microsoft-365-Umgebungen umfassend zu erkennen und zu verwalten. Die Plattform kombiniert mehrere Erkennungsmethoden, darunter die Analyse des Netzwerkverkehrs, API-Verbindungen und die Überwachung des Benutzerverhaltens, und sorgt so für vollständige Transparenz.
Cloud Discovery einrichten
Für die Konfiguration von Cloud Discovery sind bestimmte Netzwerkeinstellungen und Datenquellen-Anbindungen nötig, damit der Datenverkehr zuverlässig überwacht wird. Sie müssen die kontinuierliche Protokollierung aktivieren und Cloud Discovery mit SIEM und Endpunkt-Telemetrie verbinden, um Aktivitäten zu korrelieren und Anomalien zu erkennen.
Best Practices für die Implementierung von Cloud Discovery:
- Richten Sie die automatisierte Protokollerfassung ein, indem Sie den Log Collector von Microsoft Defender for Cloud Apps in Ihrer Netzwerkinfrastruktur installieren.
- Laden Sie Firewall- und Proxy-Protokolle manuell über die Einstellungsseite von Cloud Discovery im Administrationsportal hoch.
- Aktivieren Sie fortlaufende Berichte, um Nutzungsmuster von Anwendungen dauerhaft zu überwachen und neue Shadow-IT-Installationen zu erkennen.
- Legen Sie Discovery-Richtlinien fest, die Anwendungen automatisiert nach Risikostufe und Compliance-Anforderungen kategorisieren.
- Konfigurieren Sie Snapshot-Berichte, um einzelne Netzwerksegmente oder Benutzergruppen regelmäßig zu analysieren.
Die Funktionen von Microsoft Cloud App Security im Überblick
Microsoft Cloud App Security bietet fortschrittliche Funktionen zur Bedrohungserkennung, die weit über die reine App-Erkennung hinausgehen und auch Verhaltensanalysen umfassen. Die Plattform überwacht Benutzeraktivitäten in allen angebundenen Anwendungen und erkennt verdächtige Muster, die auf Sicherheitsbedrohungen oder Richtlinienverstöße hindeuten können. Zur Shadow-IT-Erkennung in Microsoft Cloud App Security gehören Algorithmen für maschinelles Lernen, die sich an die Nutzungsmuster Ihres Unternehmens anpassen und auffälliges Verhalten automatisiert markieren.
Daten aus Cloud Discovery zu Shadow IT auswerten
Die Auswertung der Cloud-Discovery-Daten erfordert eine systematische Prüfung von Nutzungsmustern, Risikobewertungen und Kennzahlen zum Benutzerverhalten, um mögliche Sicherheitsbedrohungen zu erkennen. Cloud Discovery für Shadow IT in Microsoft Defender for Cloud Apps liefert detaillierte Analytics, darunter Anwendungskategorien, Nutzungsquoten und Datenübertragungsvolumen. Dank umfangreicher Filteroptionen können sich Sicherheitsteams gezielt auf besonders riskante Anwendungen oder einzelne Benutzergruppen konzentrieren, die sofortige Aufmerksamkeit erfordern.
Vorfälle untersuchen und darauf reagieren
Bei der Untersuchung von Vorfällen müssen mehrere Microsoft-Sicherheitstools zusammenspielen, damit Sie umfassende Informationen zu Shadow-IT-Funden erhalten. Sicherheitsteams brauchen klare Abläufe, um neu entdeckte Anwendungen zu bewerten und passende Reaktionen festzulegen. Die wirksamsten Programme zur Shadow-IT-Erkennung umfassen vordefinierte Prozesse für die Reaktion auf Vorfälle, die Sicherheitsanforderungen und Geschäftskontinuität in Einklang bringen.
Vorfälle in Microsoft Defender XDR prüfen
Microsoft Defender XDR bündelt Sicherheitsalarmierungen aus verschiedenen Quellen, darunter auch Funde aus Cloud App Security, in einer einheitlichen Oberfläche für das Vorfallmanagement. Die Plattform setzt Shadow-IT-Funde mit anderen Sicherheitsereignissen in Beziehung und liefert so den vollständigen Kontext für die Untersuchung. Über das integrierte Dashboard verfolgen Sie den gesamten zeitlichen Verlauf der App-Nutzung, der Benutzeraktivitäten und möglicher Auswirkungen auf die Sicherheit.
Microsoft Graph Security API nutzen
Die Microsoft Graph Security API ermöglicht es, Daten zur Shadow-IT-Erkennung automatisiert in bestehende SIEM-Systeme einzubinden. Die API bietet programmatischen Zugriff auf die Funde von Cloud App Security, sodass Unternehmen eigene Workflows und automatisierte Reaktionsprozesse aufbauen können. Außerdem lassen sich spezialisierte Dashboards und Berichtstools erstellen, die Shadow-IT-Daten mit weiteren Sicherheitskennzahlen des Unternehmens verknüpfen.
Richtlinien zur Softwareeinschränkung anwenden
Richtlinien zur Softwareeinschränkung sorgen dafür, dass der Einsatz nicht autorisierter Anwendungen nach der Entdeckung von Shadow IT unterbunden wird. Zugleich können Sie riskante Software schnell blockieren und Listen freigegebener Anwendungen durchsetzen.
So setzen Sie Richtlinien zur Anwendungssteuerung um:
- Erstellen Sie Richtlinien für bedingten Zugriff, die den Zugang zu entdeckten Hochrisiko-Anwendungen blockieren.
- Konfigurieren Sie in Defender for Cloud Apps Richtlinien zur Anwendungssteuerung, um die Datenfreigabe zu überwachen und einzuschränken.
- Führen Sie Richtlinien zur Gerätekonformität ein, die die Installation nicht autorisierter Software auf Unternehmensgeräten verhindern.
- Richten Sie Benutzerrisiko-Richtlinien ein, die automatisiert auf verdächtige Nutzungsmuster von Anwendungen reagieren.
- Stellen Sie Richtlinien zur Anwendungs-Governance bereit, die für neue Anfragen nach Cloud-Diensten einen Freigabeprozess vorschreiben.
Ihre Strategie zur Shadow-IT-Erkennung stärken
Damit die Erkennung von Shadow IT langfristig wirkt, müssen Sie Ihre Überwachungsfunktionen und Schulungsprogramme laufend weiterentwickeln. Prüfen und aktualisieren Sie Ihre Erkennungsrichtlinien regelmäßig, um auf veränderte Anforderungen an Anwendungen und neue Sicherheitsbedrohungen zu reagieren.
Die Erkennung von Cloud-Apps automatisieren
Automatisierte Erkennungsprozesse senken den manuellen Aufwand für die laufende Überwachung von Shadow IT und verbessern gleichzeitig Erkennungsgenauigkeit und Reaktionszeiten. Microsoft Defender for Cloud Apps unterstützt geplante Discovery-Scans, automatisierte Risikobewertungen und richtlinienbasierte Reaktionen, die ohne ständiges Eingreifen der Administration ablaufen. Zu den weiterführenden Automatisierungsfunktionen zählen Algorithmen für maschinelles Lernen, die aus den Nutzungsmustern im Unternehmen lernen und die Erkennungsgenauigkeit mit der Zeit steigern.
Benutzer:innen über Risiken und Richtlinien aufklären
Schulungsprogramme für Benutzer:innen sind entscheidend, um Shadow IT einzudämmen: Sie helfen Beschäftigten, Sicherheitsrisiken und freigegebene Alternativen zu verstehen. Gute Schulungen erläutern, welche geschäftlichen Folgen die nicht autorisierte Nutzung von Cloud-Anwendungen hat, und benennen klare Wege, um neue Cloud-Dienste zu beantragen. Wer regelmäßig über die vorhandenen Möglichkeiten zur Shadow-IT-Erkennung informiert, zeigt das Sicherheitsengagement des Unternehmens und fördert die freiwillige Einhaltung der geltenden Richtlinien.
Bereit, Ihren IT-Betrieb grundlegend zu verändern?
Schluss mit dem Jonglieren zwischen mehreren Tools und reaktivem Krisenmanagement: Mit der einheitlichen Plattform für Endpunkt-Management von NinjaOne überwachen, verwalten und schützen Sie alle Ihre Geräte über ein einziges Dashboard. Sie automatisieren Routineaufgaben, spielen Patches reibungslos ein und leisten Remote-Support, ohne die Endbenutzer:innen zu stören. So erhalten Sie die Kontrolle und Transparenz, die moderne IT verlangt. Jetzt kostenlos testen.
Quick-Start-Guide
Die Lösung NinjaOne SaaS-Backup bietet einige Funktionen, um Shadow IT in Microsoft 365 zu erkennen und zu verwalten:
1. Autodiscover-Funktion: NinjaOne erkennt und identifiziert M365-Konten sowie Unterprodukte innerhalb eines Tenants automatisiert. Das kann nicht autorisierte oder unbekannte Dienste sichtbar machen.
2. Einblicke in die Benutzerverwaltung:
, Die Plattform ermöglicht es, Benutzerkonten, Abteilungen und Lizenzen nachzuverfolgen.
, Sie sehen, welche Konten aktiv oder inaktiv sind und welche über bestimmte Lizenzen verfügen.
3. Berichterstattung und Transparenz:
, Das Partner-Portal bietet Dashboards, die den Schutzumfang und die Nutzung der Lizenzplätze anzeigen.
, Sie sehen die Gesamtzahl der Konten und erkennen möglicherweise nicht verwaltete oder nicht abgedeckte Dienste.
4. Backup- und Compliance-Überwachung:
, Beim Backup von M365-Konten prüft NinjaOne, ob gültige Lizenzen und ein Zugriff auf Exchange Online vorliegen.
, Dabei kann Shadow IT auffallen, weil nicht autorisierte oder nicht lizenzierte Konten sichtbar werden.
NinjaOne schafft zwar ein gewisses Maß an Transparenz, für eine umfassende Erkennung von Shadow IT in Microsoft 365 empfehlen wir jedoch ergänzend:
, Microsoft Defender for Cloud Apps
, Überwachung von Azure Active Directory
, regelmäßige Lizenz- und Zugriffsaudits
