Thought Leadership
Wenn Angestellte das Unternehmen verlassen, bleiben Zugriffe auf Schatten-SaaS oft monatelang aktiv. Automatisierte Prozesse schließen diese Sicherheitslücke.
Das Ausscheiden von Mitarbeitern aus einem Unternehmen folgt in der Regel einem fest definierten, administrativen Prozess. Die Personalabteilung initiiert die Kündigungsschritte, und die IT-Abteilung sperrt plangemäß den zentralen Zugang zum Firmennetzwerk. In der modernen Unternehmensrealität greift dieses klassische Verfahren jedoch zu kurz. Die massive Verbreitung von Software-as-a-Service-Anwendungen und das ungebremste Wachstum der Schatten-IT haben eine IT-Infrastruktur geschaffen, die weit über die Grenzen des primären Identity-Managements hinausreicht.
Dezentrale Anwendungen erzeugen zunehmend Lücken im zentralen Verzeichnisdienst, da sie außerhalb der offiziellen Kontrolle operieren. Während die geschäftskritischen Kernsysteme unmittelbar nach dem Austritt eines Angestellten verriegelt werden, bleiben die dezentral beschafften und inoffiziell genutzten Software-Werkzeuge in den Fachabteilungen oft über Monate hinweg für ehemalige Mitarbeiter zugänglich. Diese verwaiste Belegschaft bildet ein signifikantes, oft unterschätztes Sicherheits- und Compliance-Risiko für Unternehmen aller Größenordnungen.
Bis zu 50 Prozent aller Ex-Mitarbeiter haben weiterhin Unternehmens-Zugriff
Empirische Studien aus der IT-Sicherheitsforschung verdeutlichen das Ausmaß dieser Kontrolllücke. Marktanalysen und Erhebungen von IT-Dienstleistern wie Josys und Stitchflow belegen, dass in einem durchschnittlichen Großunternehmen auf rund einhundert offiziell bekannte Cloud-Dienste fast tausend unmanaged Anwendungen kommen. Bis zu zwei Drittel aller genutzten SaaS-Lösungen werden von Fachabteilungen oder einzelnen Angestellten ohne Autorisierung durch die zentrale IT-Organisation eingeführt. Das hat direkte Konsequenzen für den Offboarding-Prozess.
Untersuchungen zeigen, dass zwischen 31 und 50 Prozent aller ehemaligen Mitarbeiter auch nach ihrem offiziellen Ausscheiden aus dem Unternehmen weiterhin Zugriff auf mindestens eine korporative Cloud-Anwendung oder einen SaaS-Dienst haben. Da diese Konten auf Plattformen für Projektmanagement, Grafikdesign oder künstliche Intelligenz dezentral erstellt wurden, tauchen sie in den standardisierten Inventarlisten des Identity-Managements nicht auf. Die IT-Leitung kann Zugänge nicht deaktivieren, von deren Existenz sie keine Kenntnis besitzt.
Das blinde Fenster des klassischen Identitätsmanagements
Die Ursache für das Fortbestehen dieser Zugriffspfade liegt in der technologischen Entkopplung lokaler Anwendungskonten vom primären Verzeichnisdienst. Das traditionelle Identity and Access Management funktioniert fehlerfrei, solange eine Anwendung über standardisierte Protokolle wie SAML oder das System for Cross-domain Identity Management an den zentralen Identity Provider angebunden ist. In diesem Fall führt die Sperrung des Hauptkontos zu einer kaskadierenden Deaktivierung aller verknüpften Enterprise-Anwendungen.
Bei der Schatten-IT registrieren sich Mitarbeiter jedoch meist über lokale Konten. Sie nutzen zwar ihre geschäftliche E-Mail-Adresse, vergeben aber ein eigenständiges Passwort, das direkt in der Datenbank des jeweiligen Cloud-Anbieters gespeichert wird. Wird nun das zentrale Active-Directory-Konto gesperrt, bleibt das lokale Konto beim Drittanbieter hiervon vollkommen unberührt. Der ehemalige Mitarbeiter kann sich von jedem privaten Endgerät aus weiterhin mit seiner geschäftlichen E-Mail-Adresse und dem lokalen Passwort bei dem Dienst anmelden. Da diese Interaktion vollständig außerhalb des Firmennetzwerks und ohne VPN-Verbindung stattfindet, bleibt der Zugriff für die internen Überwachungssysteme unsichtbar.
Sicherheitsrisiken durch ungesteuerte Datenexfiltration und laterale Bewegungen
Die Existenz verwaister Konten, im Fachjargon als Orphaned Accounts bezeichnet, ist kein rein administratives Problem, sondern ein akutes Einfallstor für Cyberkriminelle und böswillige Insider. Unabhängige Sicherheitsberichte dokumentieren, dass unmanaged Konten zu den beliebtesten Zielen für Angreifer gehören. Da sie nicht den zentralen Passwortrichtlinien des Unternehmens unterliegen, fehlen oft grundlegende Schutzmechanismen wie die Multi-Faktor-Authentifizierung. Zudem werden diese Konten von den internen Sicherheitsanalysten im Security Operations Center nicht überwacht, wodurch Aktivitäten keine Alarme auslösen.
Ein signifikantes Risiko besteht in der nachträglichen Datenexfiltration. Ausgeschiedene Angestellte behalten dadurch Zugriff auf sensible Datenbestände, Kundenlisten, interne Strategiepapiere oder den Quellcode von Software-Projekten. In mehr als zehn Prozent der Fälle von Datenpannen in mittelständischen Unternehmen sind laut Branchenberichten ehemalige Mitarbeiter involviert, die vertrauliche Informationen absichtlich oder unbewusst einsehen. Darüber hinaus nutzen externe Angreifer kompromittierte Zugangsdaten verwaister Konten für das sogenannte Credential Stuffing. Sobald sie Zugriff auf ein solches dezentrales System erlangt haben, versuchen sie, über bestehende Schnittstellen und API-Verknüpfungen lateral in die geschäftskritischen Kernsysteme des Unternehmens vorzudringen.
Strategien gegen Schatten-SaaS
Um die verwaiste Belegschaft effektiv zu eliminieren, muss das IT-Management den Offboarding-Prozess von einer punktuellen administrativen Aufgabe zu einer kontinuierlichen Identitätsüberwachung weiterentwickeln. Dies erfordert den Einsatz spezialisierter Erkennungswerkzeuge, die in der Lage sind, die gesamte dezentrale Anwendungslandschaft systematisch zu inventarisieren. Zum Einsatz kommen hierbei SaaS Management Plattformen und Systeme für das Identity Security Posture Management.
Diese Technologien nutzen verschiedene Methoden zur Aufdeckung verborgener Konten. Ein primärer Ansatz ist die automatisierte Analyse von Finanzdaten und Spesenabrechnungen. Das System scannt die Buchhaltungsdaten nach wiederkehrenden Zahlungen an Software-Anbieter, die nicht im offiziellen Software-Portfolio gelistet sind. Ergänzend dazu überwachen Cloud Access Security Brokers den Netzwerkverkehr an den Unternehmensstandorten und auf den verwalteten Endgeräten.
Sie registrieren, wenn Daten an unbekannte Cloud-Domains übertragen werden oder wenn Mitarbeiter Autorisierungs-Token für Drittanbieter-Anwendungen generieren. Durch diese Kombination aus finanzieller und technischer Telemetrie entsteht ein dynamisches Schatten-IT-Inventar, das die Grundlage für ein lückenloses Benutzermanagement bildet.
Automatisierung der De-Provisionierung über API-Schnittstellen
Sobald die dezentalen Anwendungen und die darin enthaltenen lokalen Konten identifiziert sind, muss deren Deaktivierung in den automatisierten Offboarding-Workflow integriert werden. Da eine manuelle Sperrung hunderter Konten pro Mitarbeiter die Kapazitäten der IT-Support-Teams überfordern würde, ist eine programmatische Lösung über Programmierschnittstellen erforderlich.
Moderne SaaS Management Plattformen bieten umfassende API-Kataloge, die eine direkte Interaktion mit den Administrations-Schnittstellen unmanaged Cloud-Dienste ermöglichen. Wird im HR-System des Unternehmens der Austritt eines Mitarbeiters registriert, stößt das System automatisch eine kaskadierende Kette von De-Provisionierungs-Befehlen an. Die Software kontaktiert über die APIs die jeweiligen Cloud-Anbieter, löscht die Zugriffsrechte des betroffenen Nutzers, entzieht aktive Sitzungs-Token und löscht das lokale Konto oder überführt es in den Besitz eines verbleibenden Teammitglieds. Dieser automatisierte Prozess stellt sicher, dass der digitale Fußabdruck des Mitarbeiters innerhalb von Minuten über die gesamte Infrastruktur hinweg gelöscht wird, unabhängig davon, ob die Anwendung offiziell vom IT-Einkauf oder dezentral von der Fachabteilung beschafft wurde.
Die regulatorische Compliance unter NIS2 und ISO 27001
Die Notwendigkeit einer lückenlosen und automatisierten De-Provisionierung wird durch die Verschärfung des regulatorischen Umfelds zusätzlich verstärkt. Gesetzliche Vorgaben wie die europäische NIS2-Richtlinie und internationale Sicherheitsstandards wie ISO 27001 fordern von Unternehmen den strikten Nachweis, dass der Zugriff auf Daten und Systeme streng nach dem Prinzip der geringsten Rechte geregelt ist. Das Vorhandenseist aktiver Konten von Personen, die nicht mehr für das Unternehmen tätig sind, gilt bei jedem Compliance-Audit als schwerwiegender Mangel.
Die kontinuierliche Identitätsüberwachung liefert den direkten Nachweis der Audit-Bereitschaft. IT-Leiter müssen bei einer Überprüfung keine manuellen Stichproben mehr durchführen oder hoffen, dass alle Kündigungslisten ordnungsgemäß abgearbeitet wurden. Die Protokolldateien der automatisierten De-Provisionierung dokumentieren sekundengenau, dass jede Identität beim Austritt aus der Organisation systemübergreifend gelöscht wurde. Das minimiert nicht nur das Risiko von Bußgeldern durch Aufsichtsbehörden, sondern schützt auch die Geschäftsführung vor den persönlichen Haftungskonsequenzen, die moderne Cyber-Sicherheitsgesetze bei nachlässiger Governance vorsehen. Das automatisierte Offboarding wandelt sich somit von einer operativen Hilfsaufgabe zu einem strategischen Schutzschild für die gesamte digitale Infrastruktur.
