Herausforderung durch SaaS-Sprawl Kontrolle über SaaS-Identitäten und Zugriffswildwuchs übernehmen

Anbieter zum Thema

One Identity GmbH

Fsas Technologies GmbH

FAST LTA GmbH

FTAPI Software GmbH

Die unkontrollierte Nutzung von SaaS-Anwendungen, bekannt als SaaS-Sprawl, stellt Unternehmen vor immense Sicherheits- und Verwaltungs­probleme. Mit hunderten Tools und fragmentierten Zugriffsrechten steigt die Gefahr von Datenlecks und Compliance-Verstößen. Strategien zur Kontrolle sind essenziell.

Die Nutzung von Software-as-a-Service (SaaS)-Anwendungen hat in den letzten Jahren stark zugenommen. Laut einer aktuellen Erhebung verwenden Unternehmen im Durchschnitt 371 verschiedene SaaS-Anwendungen. In großen Firmen steigt diese Zahl auf bis zu 473 Anwendungen, während kleine und mittlere Unternehmen durchschnittlich 253 Tools nutzen. Diese Vielfalt an Anwendungen erschwert es, Sicherheitsrichtlinien konsequent umzusetzen. Jede zusätzliche Anwendung vergrößert die Angriffsfläche und erschwert die Verwaltung.

Ein zentraler Treiber von SaaS-Sprawl ist die simple Verfügbarkeit von Anwendungen. Viele Organisationen verfügen nicht über klar definierte Prozesse für die Evaluierung und Genehmigung neuer Tools. Die Folge: wenig koordinierte Käufe führen zu einer Vielzahl nicht integrierter Anwendungen. Zusätzlich fehlt es nicht selten an geeigneten Schulungen, wodurch Mitarbeiter bestehende Tools nicht effizient nutzen können. Stattdessen weicht man auf meist unzureichende, aber einfacher erscheinende Alternativen aus. Auch unterschiedliche Erwartungen und Richtlinien einzelner Abteilungen tragen dazu bei, dass Anwendungen ohne Rücksprache mit der IT-Abteilung angeschafft werden.

Unkontrollierte SaaS-Nutzung mündet in Schatten-IT, die eines der Hauptprobleme ist. So können Sicherheitsupdates und Zugriffsrechte nicht zentral verwaltet werden, wodurch Schwachstellen entstehen, die Cyberkriminelle ausnutzen können. Dies ist ein erhebliches Risiko für die Datensicherheit und erhöht die Gefahr von Compliance-Verstößen.

Externe Identitäten und das Identitätsmanagement

Was sind die Folgen von immer mehr Identitäten?

Sicherheitsrisiken und die Folgen

Eines der größten Probleme ist die Vergabe von übermäßig weit gefassten Berechtigungen. Diese erlauben es beispielsweise Drittanbieter-Apps über OAuth-Mechanismen auf sensible Unternehmensdaten zuzugreifen. Oftmals übersehen die Nutzer oder Administratoren die Konsequenzen daraus nicht vollständig. Derartige Lücken eröffnen Cyberkriminellen die Möglichkeit, Daten zu exfiltrieren oder Systeme zu kompromittieren.

Ein weiteres kritisches Problem sind sogenannte „Zombie-Konten“. Diese Konten bleiben oft bestehen, nachdem Mitarbeiter das Unternehmen verlassen haben, und bieten Angreifern Zugang zu internen Systemen. Solche Konten bergen nicht nur Sicherheitsrisiken, sondern verursachen auch unnötige Lizenzkosten. Über verbesserte Prozesse zur Deprovisionierung lassen sich hier erhebliche Einsparungen erzielen.

Auch die wachsende Komplexität der SaaS-Landschaft macht Unternehmen anfälliger für gezielte Phishing-Angriffe. Cyberkriminelle nutzen ihre Fähigkeiten, um ihre Anwendungen als „vertrauenswürdige Tools“ auszugeben. So erhalten Angreifer unbemerkt Zugang zu sensiblen Daten. Die fehlende Übersicht über genutzte Anwendungen erschwert es IT-Abteilungen zusätzlich, solche Vorfälle frühzeitig zu erkennen.

244 Prozent mehr digital gefälschte Dokumente

Alle fünf Minuten passiert ein Deepfake-Angriff

SaaS-Sprawl und die Schattenseite von KI-Tools: Shadow-AI als neue Herausforderung

Mit der zunehmenden Verbreitung von KI-gestützten Tools innerhalb von SaaS-Anwendungen entsteht eine neue Dimension des SaaS-Sprawls: Shadow-AI. Ähnlich wie bei der klassischen Schatten-IT werden KI-Anwendungen ohne Wissen oder Genehmigung der IT-Abteilungen eingeführt. Mitarbeiter nutzen KI-Tools, um Aufgaben wie Texterstellung, Datenanalyse oder Automatisierung zu beschleunigen. Das kann zwar kurzfristig die Produktivität steigern, zieht jedoch langfristig Sicherheits- und Compliance-Probleme nach sich.

Die Gefahr von Shadow-AI liegt vor allem in der unkontrollierten Verarbeitung sensibler Unternehmensdaten. Viele dieser Tools greifen auf externe Cloud-Services zurück, deren Sicherheits- und Datenschutzstandards nicht überprüft wurden. Dadurch besteht ein erhöhtes Risiko für Datenlecks oder Verstöße gegen Datenschutzrichtlinien wie der DSGVO. Hinzu kommt, dass KI-Tools durch automatisierte Entscheidungen und Datenverarbeitung unvorhersehbare Sicherheitslücken verursachen, wenn deren Nutzung nicht zentral überwacht wird.

Ein weiteres Problem ist die Fragmentierung: Verschiedene Abteilungen setzen unterschiedliche KI-Lösungen ein, was die Integration in bestehende Systeme und Arbeitsabläufe erschwert. Unternehmen sollten daher Richtlinien entwickeln, die den Einsatz von KI-gestützten Anwendungen regeln. Dazu gehört die Erstellung eines Inventars zugelassener KI-Tools, die Einführung von Governance-Mechanismen und die Sensibilisierung der Mitarbeiter für die Risiken von Shadow-AI. Nur mit klaren Kontrollen lassen sich die Vorteile von KI-Technologien nutzen, ohne die Sicherheit und Integrität von Firmendaten zu gefährden.

Vorsorgemaßnahmen

Identitätsdiebstahl: Diese 7 Tipps schützen Sie besser

Strategien zur Eindämmung von SaaS-Sprawl

Unternehmen sollten zunächst priorisieren, welche Anwendungen besonders kritisch sind. Tools, die sensible, oder geschäftskritische Daten verarbeiten, benötigen ein besonderes Maß an Aufmerksamkeit. Organisationen sollten ihre Ressourcen auf Anwendungen mit hohem Risiko konzentrieren, da ein Sicherheitsvorfall hier besonders gravierende Auswirkungen haben kann.

Ein weiterer Schlüssel liegt in der Zusammenarbeit mit der Finanzabteilung. SaaS-Ausgaben lassen sich oft über Kreditkartenabrechnungen oder Spesenberichte identifizieren. Ein eigener Ausgabenbereich für SaaS-Abonnements schafft Transparenz und trägt dazu bei, Schatten-IT zu minimieren. Unautorisierte Anwendungen und doppelte Lizenzen lassen sich so schneller identifizieren.

Die Einführung von Single Sign-On (SSO) bietet zusätzlichen Komfort. Mit SSO können Mitarbeiter Anwendungen über eine einzige Anmeldung nutzen. Dies reduziert nicht nur die Zahl der Anmeldeinformationen, sondern gibt IT-Abteilungen einen besseren Überblick über die genutzten Identitäten. Ergänzend dazu sollte man HR-Systeme in das Identitätsmanagement integrieren. Automatisierte Deprovisionierungs­prozesse sorgen dafür, dass Zugriffsrechte bei Mitarbeiterwechseln, längerer Abwesenheit oder Kündigungen zeitnah entzogen werden.

SaaS-Sprawl effektiv eindämmen: Strategien zur Sicherung von Identitäten und Zugriffen

SaaS-Sprawl wird nicht nur durch die schiere Verfügbarkeit von SaaS-Anwendungen verursacht. Auch diverse organisatorische und technologische Faktoren spielen eine Rolle. Fachabteilungen wählen oft unterschiedliche Tools für ähnliche Aufgaben, basierend auf ihren spezifischen Anforderungen. Das führt zu überlappenden oder nicht integrierten Anwendungen. Gleichzeitig evaluieren Teams ständig neue SaaS-Angebote, was die Zahl der SaaS-Tools mit aktiven Benutzerkonten insgesamt erhöht.

Auch Anbieter treiben den Wildwuchs voran, indem sie ihre eigenen, verschiedenen SaaS- Anwendungen in ihre Plattformen einbinden - und damit in die Geschäftsprozesse des Kunden. Um diese Herausforderungen zu bewältigen, empfiehlt sich der Einsatz von Cloud Access Security Brokers (CASBs), die unsichere Anwendungen identifizieren und verwalten können. Darüber hinaus sollte die Authentifizierung durch Multi-Faktor-Authentifizierung (MFA) und adaptive Mechanismen ergänzt werden, um unautorisierte Zugriffe zu erschweren. Spezielle Maßnahmen wie automatisierte Offboarding-Prozesse und kontinuierliche Mitarbeiterschulungen stärken die Sicherheitskultur und senken die mit Schatten-AI verbundenen Risiken nachhaltig.

Cyber-Attacken einen Riegel vorschieben

Die Vorteile von IAM in Zahlen

Die Bedeutung einer starken Sicherheitskultur

Neben technischen Maßnahmen ist die Etablierung einer tragfähigen Sicherheitskultur entscheidend. Regelmäßige Schulungen und Sensibilisierungsmaßnahmen stärken das Bewusstsein der Mitarbeiter für Risiken wie Phishing und unsichere Anwendungen. Simulierte Angriffe helfen, Schwachstellen zu identifizieren und gezielt anzusprechen. Eine klare Kommunikation von Sicherheitsrichtlinien fördert deren Einhaltung und reduziert die Zahl menschlicher Fehler.

Über den Autor: Patrick Hunter ist Sales Engineering Senior Director, EMEA bei One Identity.

(ID:50306866)