Auf den Punkt: Organisationen verlieren die Kontrolle über Berechtigungen, Konfigurationen und Integrationen in SaaS-Plattformen, weil ihnen die notwendige Sichtbarkeit und Monitoring-Werkzeuge fehlen.
Sicherheitsteams haben keine Transparenz über die meisten SaaS-Anwendungen in ihrer Infrastruktur, obwohl diese geschäftskritische Daten enthalten. Das Problem liegt nicht an Fahrlässigkeit, sondern an Werkzeugen, die für diese Art der Überwachung nie entwickelt wurden.
Typischerweise schätzen Organisationen ihre SaaS-Anwendungen auf 30 bis 50 Systeme. In der Realität betreiben sie jedoch oft über 300 davon. AppOmni’s Forschung von 2024 zeigt das Problem noch deutlicher: 49 Prozent der Microsoft-365-Organisationen glaubten, weniger als zehn Apps mit ihrem Mandanten verbunden zu haben, während der tatsächliche Durchschnitt über 1.000 lag. Entscheidend ist dabei: Security-Teams haben Sichtbarkeit über etwa ein Zehntel dieser Anwendungen. Die restlichen 90 Prozent — wo Kundendaten, Quellcode und Finanzberichte liegen — werden nicht überwacht. Das liegt nicht an mangelndem Bewusstsein, sondern daran, dass die eingesetzten Werkzeuge für diese Art der Kontrolle nicht konzipiert wurden.
Konkrete Vorfälle zeigen die Realität dieser „SaaS-Blindstelle“: Im April 2023 deckte KrebsOnSecurity auf, dass Salesforce-Community-Websites systematisch sensible Daten von Behörden, Banken und Versicherungen offenlegten. Die Ursache war keine Plattform-Sicherheitslücke, sondern eine Fehlkonfiguration von Gastzugriffsprofilen. Unauthentifizierte externe Benutzer konnten über eine API-Schnittstelle auf Datensätze zugreifen, die Sozialversicherungsnummern, Kontodetails und private Adressen enthielten. Über 150.000 Unternehmen waren möglicherweise betroffen. Ein ähnliches Muster zeigte sich 2022 bei GitHub: Angreifer nutzten gestohlene OAuth-Token von Heroku und Travis CI, um private Repositorys herunterzuladen. Die Sicherheitslücke lag nicht bei GitHub selbst, sondern bei den Third-Party-Integrationsprogrammen, deren Tokens Jahre ohne Überprüfung in Betrieb waren.
Besonders aufschlussreich ist der Microsoft-Fall von 2023: Microsofts eigenes KI-Team exponierte 38 Terabyte interner Daten — private Schlüssel, Passwörter und über 30.000 interne Teams-Nachrichten — durch einen falsch konfigurierten Azure-Zugriffstoken. Der Token war nur für einen einzelnen Trainingsdatensatz vorgesehen, wurde aber viel zu breit konfiguriert. Dieses Szenario verdeutlicht: Auch gut ausgestattete Organisationen verlieren die Kontrolle, wenn Configuration unter Zeitdruck erfolgt, Standard-Einstellungen zu permissiv sind und niemand diese später überprüft.
Das zentrale Problem für CISOs ist die fehlende kontinuierliche Überwachung. SaaS Security Posture Management (SSPM) -Lösungen könnten hier Abhilfe schaffen, indem sie Administratorzugriffe, Berechtigungsvergaben, autorisierte Drittanwendungen und Konfigurationen transparent darstellen und überwachen. Ohne diese Sichtbarkeit hinterlassen Organisationen über Monate und Jahre hinweg unentdeckte Fehlkonfigurationen — nicht weil Teams fahrlässig handeln, sondern weil ihre Werkzeuge diese Bereiche nicht abdecken.
Quelle: www.csoonline.com · Erschienen 17. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.