Wie Sie sehen, welche Apps Zugriff auf Ihr Microsoft 365 haben

Sie können jede App mit Zugriff auf Ihren Microsoft-365-Tenant im Microsoft Entra Admin Center einsehen, unter Identity → Applications → Enterprise applications → All applications. Wählen Sie eine App aus und öffnen Sie deren Registerkarte Permissions, um genau zu sehen, auf welche Microsoft-Graph-Daten sie zugreifen kann – aufgeteilt in Berechtigungen, die von den Administratoren Ihrer Organisation genehmigt wurden, und Berechtigungen, die einzelne Benutzer für sich selbst genehmigt haben.

Diese Anleitung behandelt diesen Weg vollständig, den Unterschied zwischen Admin- und Benutzereinwilligung, der häufig für Verwirrung sorgt, sowie das, was eine App-für-App-Überprüfung Ihnen nicht verraten kann.

Wo finde ich die Liste der Apps mit Zugriff in Entra?

1. Melden Sie sich bei entra.microsoft.com mit einem Konto an, das mindestens die Rolle Cloud Application Administrator oder Application Administrator besitzt.
2. Gehen Sie zu Identity → Applications → Enterprise applications → All applications.
3. Wählen Sie die zu überprüfende App aus und öffnen Sie dann Permissions.

Dies listet jede Anwendung auf, die Ihrem Tenant durch Benutzer- oder Admin-Einwilligung hinzugefügt wurde – einschließlich KI-Assistenten, Meeting-Bots und Produktivitätserweiterungen, die sich über die Identitätsplattform von Microsoft verbinden, neben branchenspezifischen Fachanwendungen. Die Liste umfasst sowohl Microsoft-eigene Apps als auch Registrierungen von Drittanbietern – es lohnt sich also, über die bekannten Namen hinaus zu scrollen, um zu sehen, was sich sonst noch im Lauf der Zeit unauffällig an Berechtigungen angesammelt hat.

Was ist der Unterschied zwischen Admin-Einwilligung und Benutzer-Einwilligung?

Die Registerkarte Permissions gliedert sich in zwei Bereiche:

• Admin-Einwilligung (Admin consent) – Berechtigungen, die ein Administrator für die gesamte Organisation erteilt hat. Diese gelten für jeden Benutzer, den die Erteilung abdeckt, nicht nur für die Person, die zufällig darauf geklickt hat.
• Benutzer-Einwilligung (User consent) – Berechtigungen, die eine einzelne Person für sich selbst genehmigt hat, jeweils eine Person nach der anderen, ohne Beteiligung eines Administrators (sofern die Einwilligungseinstellungen Ihres Tenants dies zulassen).

Die Auswahl einer aufgeführten Berechtigung öffnet einen Bereich Permission Details, der genau beschreibt, was diese Berechtigung erlaubt.

Wie widerrufe ich den Zugriff einer App?

Für eine Erteilung per Admin-Einwilligung: Öffnen Sie die Berechtigung in der Liste, wählen Sie das …-Steuerelement daneben aus und wählen Sie Revoke permission – dies funktioniert direkt im Portal.

Für eine Erteilung per Benutzer-Einwilligung gibt es im Portal keine Schaltfläche zum Widerrufen. Um sie zurückzunehmen, ist ein Microsoft-Graph-API-Aufruf erforderlich (DELETE /oAuth2PermissionGrants/{id} für delegierte Berechtigungen bzw. der entsprechende appRoleAssignments-Aufruf für Anwendungsberechtigungen) oder das passende PowerShell-Cmdlet, ausgeführt von einer Person mit der Rolle Cloud Application Administrator. Der Widerruf einer Erteilung hindert denselben Benutzer außerdem nicht daran, beim nächsten Mal, wenn die App danach fragt, erneut einzuwilligen – um das zu unterbinden, muss die Einwilligungsrichtlinie des Tenants separat geändert werden, unter Enterprise apps → Consent and permissions → User consent settings.

Was passiert, wenn ein Benutzer auf eine Berechtigung stößt, die er sich nicht selbst erteilen kann?

Wenn ein Tenant die Benutzereinwilligung einschränkt, stößt eine Person, die versucht, sich bei einer App anzumelden, die eine Berechtigung oberhalb dieser Grenze anfordert, auf eine Sperre statt auf eine Erteilung. Ein Global Administrator kann den Admin-Consent-Workflow unter Enterprise apps → Consent and permissions → Admin consent settings aktivieren, wodurch diese Person stattdessen eine Anfrage senden kann: Sie geht per E-Mail an die als Prüfer festgelegten Benutzer, Gruppen oder Rollen, die sie über ihre Registerkarte My Pending genehmigen, blockieren oder ablehnen können. Nur ein Global Administrator kann eine Anfrage für Microsoft-Graph-Anwendungsberechtigungen genehmigen – als Prüfer benannt zu werden, überträgt dieses Recht nicht automatisch mit. Jede Anfrage läuft außerdem nach einer konfigurierbaren Anzahl von Tagen ab, sodass eine ungeprüfte Anfrage nicht unbegrenzt offen bleibt.

Was, wenn meine Organisation sich über mehrere Microsoft-365-Tenants oder ein Partnerverzeichnis erstreckt?

Eine Überprüfung innerhalb eines Tenants zeigt nur diesen einen Tenant. Wenn Ihre Organisation über mehr als ein Microsoft-365-Verzeichnis hinweg arbeitet – etwa eine Muttergesellschaft und ein übernommenes Tochterunternehmen, oder das eigene Verzeichnis eines Partners – muss dieselbe Vorgehensweise für jedes einzeln durchgeführt werden, angemeldet mit der jeweils passenden Rolle. Auf einen einzigen Tenant ausgelegte Werkzeuge versagen in dem Moment, in dem ein zweites Verzeichnis ins Bild kommt – jedes Tool, das mehr als einen Tenant abdecken soll, muss daher die Einwilligung aus dem jeweils eigenen Verzeichnis jeder Organisation unterstützen, nicht nur aus dem, für das es ursprünglich eingerichtet wurde.

Was kann Ihnen eine App-für-App-Überprüfung nicht verraten, und wie beantwortet 8200.dev das?

Wenn Sie die Enterprise Applications Stück für Stück durchgehen, erfahren Sie, worauf jede App *zugreifen darf*. Es zeigt Ihnen nicht, welche Apps tatsächlich das größte Risiko darstellen, markiert nicht, welche Berechtigungen veraltet sind, und bleibt nicht statisch, während Sie die Liste durcharbeiten – eine neue Einwilligung kann eintreffen, während Sie noch die vorherige prüfen. Der Microsoft-365-Konnektor von 8200.dev liest Sites, Dateien, Directory, App-Registrierungen, Benutzer, Sicherheitsrichtlinien des Tenants, MFA-Registrierungsberichte, Audit-Protokolle, Rollenzuweisungen und delegierte Berechtigungserteilungen – alles über schreibgeschützte Graph-Scopes – und verwandelt sie in ein fortlaufend aktualisiertes, risikobewertetes Inventar statt in eine Liste, die Sie manuell erneut öffnen müssen. Derselbe schreibgeschützte Zugriff führt zusätzlich zum App-Inventar eine tenantweite Konfigurationsprüfung durch: Status von Security Defaults und Conditional-Access-Richtlinien, App-Consent-Richtlinie und Einstellungen zur externen Zusammenarbeit – sodass eine überberechtigte App und eine gelockerte Tenant-Richtlinie, die ihr den Zugang ermöglicht hat, gemeinsam statt in zwei voneinander getrennten Überprüfungen sichtbar werden. Er verbindet sich auf dieselbe Weise mit dem jeweils eigenen Microsoft-Work- oder -School-Verzeichnis jeder Organisation, sodass eine Gruppe, die sich über mehr als einen Tenant erstreckt, keine separate Einrichtung für jeden Einzelnen benötigt. Jeder hier verwendete Scope ist schreibgeschützt: Nichts ändert eine Berechtigung oder eine Richtlinie, sofern die Organisation nicht separat zustimmt, eine bestimmte Aktion zu automatisieren.

Die vollständige Konnektorliste zeigt, wie sich das neben Google Workspace, Slack und GitHub einfügt.