Shadow IT aufspüren: Wie Microsoft Defender for Cloud Apps und Entra ID unkontrollierte Drittanbieter-Clouds sichtbar machen

Shadow IT erkennen, also Cloud-Dienste finden, von denen in deinem Unternehmen weder IT noch Security etwas wissen, klappt ohne die richtigen Werkzeuge gar nicht. In der Praxis wertest du dafür den ausgehenden Netzwerkverkehr und die OAuth-Berechtigungen in Microsoft 365 systematisch aus. Dafür sind Microsoft Defender for Cloud Apps und Entra ID gebaut. Wer beide Werkzeuge richtig kombiniert, sieht innerhalb weniger Tage, welche von Mitarbeitern genutzten SaaS-Dienste tatsächlich ein Risiko darstellen.

Der Fall Iris Ohyama: blinde Flecken bei Drittanbieter-Clouds

Ein aktueller Fall aus Japan zeigt, wie real das Risiko unkontrollierter Drittanbieter-Clouds ist. Der Haushaltswaren-Hersteller Iris Ohyama musste im Oktober 2026 bekanntgeben, dass personenbezogene Daten von rund 7,7 Millionen Kunden seines Online-Shops Iris Plaza offengelegt wurden. Ursache war die Kompromittierung eines externen Cloud-Dienstes, den der Shop für die Datenhaltung genutzt hat. Die eigene Infrastruktur wurde nicht angegriffen.

Das Unternehmen entdeckte eine verdächtige Datei im externen Cloud-Speicher, schaltete Iris Plaza sowie angeschlossene Systeme wie die Haushaltsgeräte-Abo-Plattform sofort ab und informierte am 29. Oktober die japanische Datenschutzbehörde und die Polizei. Betroffen waren Namen, Adressen, Telefonnummern, E-Mail-Adressen, Geschlecht, Geburtsdaten und bei aktiven Konten verschlüsselte Passwörter. Kreditkartendaten lagen laut Unternehmensangaben nicht in dem betroffenen Dienst, ein Lösegeld wurde bislang nicht gefordert.

Dieses Muster findet sich auch in vielen Microsoft-365-Umgebungen: Getroffen wurde ein Drittanbieter-Dienst, der aus Sicht der IT-Abteilung am Rand des Radars lief, und nicht die zentral verwaltete Infrastruktur. Wie du im Ernstfall strukturiert reagierst, beschreibt unser Incident Response Plan für Sysadmins. Mit Shadow IT erkennen solltest du deshalb anfangen, bevor ein Vorfall wie dieser in den Nachrichten steht.

Warum Shadow IT trotz Entra ID und Intune weiter existiert

Viele Admins gehen davon aus, dass sich das Thema mit Entra ID, Conditional Access und Intune erledigt hat. Das stimmt nur teilweise. Mitarbeiter registrieren sich mit der Firmen-E-Mail-Adresse bei Online-Tools, ohne dass ein Gerät verwaltet oder eine App im Unternehmensportal freigegeben wird. Der Login läuft über den Browser, das Gerät bleibt unmanaged, und die IT erfährt erst davon, wenn etwas schiefläuft.

Ein zweiter Grund liegt in OAuth-Consent-Flows. Erlaubt ein Nutzer einer Drittanbieter-App Zugriff auf sein Microsoft-365-Konto, entsteht eine Vertrauensbeziehung, die an klassischen Endpoint- oder MDM-Kontrollen vorbeiläuft. Selbst eine gut gepflegte Intune-Umgebung erkennt solche Freigaben nicht automatisch, weil sie auf Identitätsebene stattfinden und nicht auf Geräteebene.

Drittens schlägt Tempo oft den offiziellen Prozess. Ein Fachbereich braucht schnell ein Tool für Umfragen, Dateiaustausch oder Projektmanagement, und der Beschaffungsweg dauert aus seiner Sicht zu lange. Deshalb bleibt Shadow IT erkennen eine Daueraufgabe, auch wenn Entra ID und Intune bereits im Einsatz sind. Die Technik macht das Problem sichtbar, verhindert es aber nicht allein.

Welche Risiken bringen unkontrollierte Cloud-Dienste wirklich?

Nicht jede nicht genehmigte App ist gleich gefährlich. Diese Kategorien von Schatten-Cloud-Nutzung kommen in der Praxis am häufigsten vor, jeweils mit dem typischen Risiko:

Mit dieser Einordnung kannst du Maßnahmen priorisieren und beim Shadow IT erkennen die Risiken gestaffelt abarbeiten, statt alles auf einmal anzugehen.

Mit welcher Software lässt sich Shadow IT erkennen?

In einer Microsoft-Umgebung ist Microsoft Defender for Cloud Apps das Werkzeug, mit dem sich Shadow IT erkennen lässt. Der integrierte Cloud-App-Katalog bewertet tausende SaaS-Anwendungen anhand zahlreicher Risikofaktoren, darunter Zertifizierungen, Datenstandort und bekannte Sicherheitsvorfälle des Anbieters.

Für die Discovery gibt es zwei Wege: Entweder du lädst Logdateien deiner Firewall oder deines Proxys manuell im Microsoft Defender Portal unter Cloud Apps > Cloud Discovery > Schnappschussbericht erstellen hoch, oder du richtest einen kontinuierlichen Log-Collector ein, der die Daten automatisch einspeist. Nach wenigen Minuten zeigt das Dashboard unter Cloud Apps > Cloud Discovery > Dashboard, welche Apps wie oft genutzt werden und welchen Risk Score sie jeweils haben.

Jede erkannte Anwendung bekommt eine Bewertung von 1 bis 10. In der Detailansicht siehst du, warum eine App schlecht abschneidet, etwa wegen fehlender Verschlüsselung im Ruhezustand oder weil kein Incident-Response-Verfahren veröffentlicht ist. Diesen Einblick hast du nicht, solange du Shadow IT erkennen nur über Stichproben oder Mitarbeiterbefragungen versuchst. Details zu den Funktionen findest du in der offiziellen Dokumentation zu Microsoft Defender for Cloud Apps.

Entra ID App Governance: Riskante OAuth-Freigaben zurücknehmen

Cloud Discovery zeigt, welche Dienste im Netzwerkverkehr auftauchen. Entra ID beantwortet die andere Frage: Welche Drittanbieter-Apps haben sich bereits über OAuth Zugriff auf Postfächer, OneDrive oder Teams-Daten geholt? Im Entra Admin Center findest du das unter Identität > Anwendungen > Unternehmensanwendungen, gefiltert nach erteilten Berechtigungen.

App Governance, eine Erweiterung von Defender for Cloud Apps, markiert zusätzlich automatisch OAuth-Apps, die übermäßige Berechtigungen wie Mail.ReadWrite oder Files.ReadWrite.All angefordert haben, auch wenn nur wenige Nutzer sie freigegeben haben. Riskante Freigaben widerrufst du direkt aus der Übersicht, ohne dass der betroffene Nutzer sein Passwort ändern muss.

Damit ergänzt Entra ID das Bild, das Cloud Discovery beim Shadow IT erkennen liefert. Eine einmal erteilte Zustimmung bleibt bestehen, bis sie aktiv entzogen wird, auch nach einem Mitarbeiterwechsel. Wer OAuth-App-Berechtigungen ignoriert, lässt diesen Zugang trotz guter Discovery-Daten offen.

Conditional Access als zweite Verteidigungslinie

Neben der Erkennung musst du auch durchsetzen können, was mit nicht verwalteten Apps passiert. Conditional-Access-Richtlinien lassen sich im Entra Admin Center unter Schutz > Conditional Access > Richtlinien so konfigurieren, dass sie nicht sanktionierte Cloud-Apps blockieren oder nur mit Einschränkungen zulassen.

Conditional Access App Control ist eine Sitzungssteuerung, die den Datenverkehr als Reverse-Proxy durch Defender for Cloud Apps leitet. Damit steuerst du granular, was erlaubt ist: Downloads blockieren, Uploads verhindern, Copy-Paste einschränken oder von nicht verwalteten Geräten nur Lesezugriff erlauben. Relevant wird das vor allem, wenn ein Mitarbeiter von einem privaten Gerät auf eine als riskant eingestufte App zugreifen will.

Mit Conditional Access führt Shadow IT erkennen zu echten Konsequenzen und endet nicht bei Berichten. Die Session-Kontrollen passen gut zu Maßnahmen gegen Session-Token-Diebstahl, weil beide verhindern, dass ein gestohlenes Token oder eine kompromittierte Sitzung unbegrenzt nutzbar bleibt. Bei Fernwartungszugängen und Zero Trust gilt dasselbe Prinzip: Vertrauen wird bei jeder Sitzung neu geprüft und nie dauerhaft gewährt.

Braucht es einen Vendor-Risk-Prozess für neue Cloud-Dienste?

Ohne einen klaren Prozess für neue Cloud-Anfragen taucht trotz aller Technik morgen der nächste nicht genehmigte Dienst auf. Ein praktikabler Vendor-Risk-Assessment-Prozess braucht wenig Bürokratie, aber ein paar feste Prüfpunkte, bevor ein Fachbereich grünes Licht bekommt:

• Wo werden die Daten gespeichert und verarbeitet?
• Gibt es einen Auftragsverarbeitungsvertrag nach DSGVO?
• Wie reagiert der Anbieter bei einem Vorfall und welche Meldefristen gelten vertraglich?
• Unterstützt der Dienst SSO über Entra ID oder bleibt er ein isoliertes Login?
• Fällt der Anbieter unter NIS2 und welche Nachweise kann er liefern?

Der letzte Punkt wird wichtiger, weil auch SaaS-, IaaS- und PaaS-Anbieter zunehmend unter regulatorische Anforderungen fallen. Details dazu findest du im Artikel zu NIS2 und Cloud-Diensten. Ein Vendor-Risk-Prozess ergänzt das technische Shadow IT erkennen um die organisatorische Seite und senkt spürbar, wie viele neue Schatten-Dienste überhaupt entstehen.

Schritt für Schritt: Shadow IT erkennen in 30 Tagen

Mit einem realistischen Zeitplan wird das Thema kein Projekt ohne Ende. Vier Wochen reichen für einen ersten belastbaren Überblick und erste Durchsetzungsmaßnahmen:

• Woche 1: Log-Collector für Defender for Cloud Apps einrichten und erste Cloud-Discovery-Berichte aus Firewall- oder Proxy-Logs erzeugen.
• Woche 2: Risk Scores im App-Katalog sichten, die meistgenutzten Anwendungen markieren und als sanktioniert, geduldet oder blockiert einstufen.
• Woche 3: OAuth-App-Berechtigungen in Entra ID prüfen, riskante Freigaben mit weitreichenden Scopes identifizieren und schrittweise widerrufen.
• Woche 4: Conditional-Access-Richtlinien für nicht sanktionierte Apps aktivieren, zunächst im Report-Only-Modus, anschließend im Enforcement.

Danach hast du eine belastbare Grundlage, um Shadow IT erkennen als festen monatlichen Kontrollpunkt zu etablieren.

Was das in der Praxis heißt

In kleinen IT-Umgebungen mit wenigen hundert Nutzern steigst du am besten über die Cloud-Discovery-Funktion ein, die in vielen Microsoft-365-Lizenzen bereits über Defender for Endpoint enthalten ist. Für einen ersten Überblick über genutzte SaaS-Dienste brauchst du keine volle Defender-for-Cloud-Apps-Lizenz, ein manueller Log-Upload reicht für den Start völlig aus.

In großen Umgebungen mit mehreren tausend Nutzern und vielen Fachbereichen führt an einem dauerhaften Log-Collector, automatisierter App Governance und durchgesetzten Conditional-Access-Richtlinien kein Weg vorbei. Dort zahlt sich zudem der organisatorische Vendor-Risk-Prozess aus, weil er verhindert, dass jede Woche neue Schatten-Dienste entstehen, während die IT noch mit den alten beschäftigt ist.

In beiden Fällen ist Shadow IT erkennen ein wiederkehrender Kontrollzyklus. Jeder neue Cloud-Dienst, jede neue OAuth-App und jeder neue Mitarbeiter verändert die Angriffsfläche, deshalb gehört die kontinuierliche Sichtbarkeit über Drittanbieter-Clouds fest in jede Zero-Trust-Strategie. Mehr zum konkreten Vorfall liest du im Originalbericht von BleepingComputer.