Riskante OAuth-Apps in Microsoft 365 finden

Jede App, der ein Benutzer einmal Zugriff auf Microsoft 365 gewährt, behält diesen Zugriff – oft über Monate, unabhängig von Passwortwechseln und teils sogar an der Multi-Faktor-Authentifizierung vorbei. Genau das macht Drittanbieter-Apps zu einem unterschätzten Einfallstor. Dieser Leitfaden zeigt, wie du sie findest, bewertest und im Ernstfall entfernst.

Was sind Drittanbieter-Apps (OAuth-Apps)?

Wenn ein Benutzer sich mit seinem Microsoft-Konto bei einem externen Dienst anmeldet oder einer App „Zugriff erlauben" klickt, entsteht eine OAuth-Berechtigung. Die App erhält ein Token und darf – je nach erteilten Berechtigungen (Scopes) – auf Postfächer, Dateien, Kalender oder das Verzeichnis zugreifen. Diese Apps tauchen im Entra Admin Center als Unternehmensanwendungen (Enterprise Applications) auf.

Warum OAuth-Apps ein echtes Risiko sind

• Consent-Phishing: Angreifer bauen seriös aussehende Apps und verleiten Nutzer dazu, weitreichende Berechtigungen zu erteilen – ganz ohne Passwortdiebstahl.
• Persistenz: Ein einmal erteiltes Token bleibt gültig, auch wenn das Passwort geändert wird. Viele Tokens überstehen sogar MFA.
• Zu breite Scopes: Berechtigungen wie Mail.ReadWrite oder Files.ReadWrite.All geben Zugriff auf weit mehr, als die App eigentlich braucht.
• Unsichtbarkeit: Ohne aktives Monitoring weiß kaum jemand, welche Apps in einem Tenant tatsächlich Zugriff haben.

So findest du alle Apps mit Zugriff

Es gibt drei gängige Wege:

• Entra Admin Center: Unter Identität → Anwendungen → Unternehmensanwendungen siehst du alle registrierten Apps samt erteilter Berechtigungen und Zustimmungen.
• PowerShell / Microsoft Graph: Über das Microsoft-Graph-SDK lassen sich Service Principals und ihre oauth2PermissionGrants auslesen – mächtig, aber aufwendig und fehleranfällig bei vielen Mandanten.
• Automatisiert: Ein Tool, das den Tenant kontinuierlich scannt und jede App nach Risiko bewertet – ohne dass du Skripte pflegen musst.

Welche Berechtigungen besonders kritisch sind

Nicht jede App ist gefährlich. Hellhörig werden solltest du besonders bei Apps mit diesen Scopes:

• Mail.Read / Mail.ReadWrite – voller Postfachzugriff
• Files.ReadWrite.All / Sites.ReadWrite.All – Zugriff auf OneDrive und SharePoint
• Directory.ReadWrite.All – Änderungen am Verzeichnis (Benutzer, Gruppen)
• full_access_as_app – uneingeschränkter App-Zugriff auf alle Postfächer

Zusätzlich verdächtig: Apps, die seit Monaten ungenutzt sind, von unbekannten Herausgebern stammen oder von einzelnen Nutzern statt von einem Admin freigegeben wurden.

Riskante App gefunden – was tun?

• Zustimmung widerrufen: Die erteilten Berechtigungen der App entziehen.
• Tokens/Sitzungen widerrufen: Bestehende Zugriffstokens ungültig machen, damit der Zugriff sofort endet.
• App blockieren: Die Anmeldung für die App deaktivieren, damit keine neue Zustimmung erteilt werden kann.
• Vorfall prüfen: Anmelde-Logs und neu erstellte Postfachregeln auf Missbrauch kontrollieren.

Dauerhaft im Griff behalten

Einmalige Aufräumaktionen reichen nicht – neue Apps kommen ständig hinzu. Wirksam sind: einen Admin-Consent-Workflow aktivieren, die Nutzer-Zustimmung einschränken, und neue Apps sowie verdächtige Anmeldungen laufend überwachen.

Mit TenantSecure automatisiert

Genau dafür haben wir TenantSecure gebaut: Es erfasst jede Drittanbieter-App über alle deine Mandanten hinweg, bewertet sie automatisch nach Risiko und lässt dich Zugriff, Sitzungen und Regeln auf einen Klick widerrufen – ohne PowerShell, ohne Tenant-Hopping. Verdächtige Anmeldungen und neue Weiterleitungsregeln meldet es alle 5 Minuten.