App-Zustimmung in Microsoft 365 richtig steuern

Die meisten riskanten Apps in einem Tenant landen dort nicht durch einen Angriff, sondern durch einen Klick: Ein Nutzer meldet sich bei einem Dienst an und bestätigt „Zugriff zulassen". Wer die Zustimmung steuert, verhindert das Problem an der Wurzel.

Das Standardverhalten ist das Risiko

In vielen Tenants dürfen normale Benutzer Apps selbst Berechtigungen erteilen. Das ist bequem – und gefährlich, weil so weitreichende Zugriffe ohne jede Prüfung entstehen.

Nutzer-Zustimmung einschränken

Unter Entra → Unternehmensanwendungen → Zustimmung und Berechtigungen lässt sich festlegen, wofür Nutzer überhaupt zustimmen dürfen – etwa nur für Apps verifizierter Herausgeber und nur für risikoarme Berechtigungen. Alles andere wird blockiert.

Admin-Consent-Workflow aktivieren

Statt App-Anfragen komplett zu blockieren, kannst du einen Genehmigungsprozess einrichten: Der Nutzer fordert die App an, ein Administrator prüft und genehmigt. So bleibt die Produktivität erhalten, ohne die Kontrolle abzugeben.

Bestehende Zustimmungen aufräumen

Das Einschränken neuer Zustimmungen wirkt nicht rückwirkend. Prüfe deshalb die bereits erteilten Berechtigungen und entferne Apps, die ungenutzt, unbekannt oder überberechtigt sind. Wie das geht, zeigt unser Leitfaden zu OAuth-Apps.

Mit TenantSecure

Richtlinien verhindern Neuzugänge – TenantSecure zeigt dir laufend, was tatsächlich an Zugriffen besteht: jede App, jede Berechtigung, nach Risiko bewertet, über alle Mandanten hinweg.