So verhindern Sie das nächste Datenleck bei Microsoft Power Apps
Die scheinbar uralte Debatte zwischen Online und On-Premises war im letzten Jahrzehnt ein umstrittenes Thema. Und diese Diskussion wird bis heute geführt.
Es geht darum, für die Risiken der Plattform, auf der Sie sich befinden, bestmöglich gewappnet zu sein. Unabhängig davon, wo diese Plattform gehostet wird, bleibt immer ein gewisses Restrisiko zu bewältigen. Der Unterschied heute ist, dass es inzwischen belastbarere Lösungen gibt, die Lücken schließen und die Schwachstellen bei der Verarbeitung von Cloud-Daten in den Griff bekommen.
Manche Organisationen reagieren jedoch nicht schnell genug, um eine angemessene operative Cloud-Governance sicherzustellen. Anwender müssen jede Möglichkeit haben, ihre geschäftlichen Ziele zu erreichen, während die Plattform jederzeit betriebsbereit und korrekt konfiguriert bleiben muss.
Low-Code-Plattformen wie Power Apps ziehen weniger erfahrene Power User an, die die Tragweite ihres Handelns weniger gut überblicken. Am Ende führt dieser Mangel an Prozessen und Governance in vielen Organisationen unweigerlich zu Fehlkonfigurationen und suboptimalen Sicherheitseinstellungen, die schwerwiegende Risiken für die Datensicherheit nach sich ziehen können.
Schon wieder ein Datenleck
Sehen wir uns den jüngsten Sicherheitsvorfall rund um ein Datenleck bei Microsoft Power Apps genauer an und warum eine dynamische Microsoft 365 Governance in Echtzeit so wichtig ist.
Laut Wired.com haben über tausend mit Power Apps erstellte Apps unbemerkt 38 Millionen Datensätze öffentlich im Internet zugänglich gemacht. Betroffen waren davon potenziell mehrere Unternehmen aus verschiedenen Branchen, darunter auch Apps, die von Microsoft-Mitarbeitenden erstellt wurden.
UpGuard liefert außerdem etwas mehr Hintergrund dazu, wie es zu diesem Vorfall kommen konnte. Wenn ein Entwickler oder Power User eine App mit Power Apps erstellt, ist das Ziel in der Regel, dass Anwender über diese App Informationen teilen oder Daten abrufen können. Bei einer Portal-App kann dafür ein öffentlicher Zugriff nötig sein, damit sie ihren Zweck erfüllt. Denken Sie etwa an Covid-19-bezogene Apps zur Kontaktnachverfolgung oder zur Buchung von Impfterminen, aber auch an alltägliche geschäftliche Anwendungsfälle wie die Bewerbung auf eine Stelle im Unternehmen. Die Informationen können alles Persönliche umfassen, etwa Name, E-Mail-Adresse, Sozialversicherungsnummer oder sogar den Standort der Person beim Ausfüllen eines Formulars in der App. Umgekehrt sollten die persönlichen Daten derjenigen, die den Dienst nutzen, privat bleiben.
Wenn es an der Absicherung einer solchen App hapert, lassen sich diese Informationen mühelos über Standard-APIs abrufen. UpGuard erklärt dazu:
Die Produktdokumentation von Power Apps beschreibt die Bedingungen, unter denen OData-APIs öffentlich zugänglich gemacht werden können, und die zentrale Power-Apps-Marketingseite führt die Möglichkeit, „auf Ihre Daten entweder anonym oder über kommerzielle Authentifizierung” zuzugreifen, als eines der wichtigsten Features auf.
Offenbar haben viele die Hinweise zur Konfiguration der Kennzeichnung sensibler Informationen übersehen.
Zwar beschreibt die Dokumentation die Konfiguration, doch man könnte argumentieren, dass die Bedeutung solcher Informationen für die Anwender deutlich klarer herausgestellt werden müsste. Schließlich ist die Power Platform ihrem Wesen nach auch für Menschen ohne klassischen Entwicklerhintergrund gedacht. Es ergibt keinen Sinn, den Einsatz von No-Code- und Low-Code-Plattformen zu unterbinden, denn das liefe dem Bedürfnis zuwider, geschäftliche Probleme effizient und schnell zu lösen.
Die Lösung? Diese Dienste wirksam steuern!
Nach anfänglichem Zögern, dies überhaupt als Problem anzuerkennen, weil es ja wie vorgesehen funktionierte, hat Microsoft inzwischen auf das mögliche Sicherheitsrisiko reagiert: Neu erstellte Power-Apps-Portale haben nun standardmäßig Tabellenberechtigungen aktiviert, die sich im Power-Apps-Portal-Admincenter verwalten lassen. Außerdem hat Microsoft eine kostenlose Portal Checker-App veröffentlicht, die Listen mit anonymem Zugriff aufspürt. Das zugrunde liegende Problem bleibt jedoch bestehen. Power App Maker können weiterhin anonymen Zugriff aktivieren, ohne die Konsequenzen vollständig zu überblicken. Hinzu kommt: Die ständig wachsenden und sich verändernden Funktionen und APIs der Microsoft-365-Produktpalette und die rasant steigende Nutzung all dieser Möglichkeiten durch die Fachbereiche machen es IT-Administratoren unmöglich, manuell den Überblick über alles zu behalten.
Ein Cloud-First-Ansatz braucht eine Cloud-First-Strategie. Microsoft Cloud Governance muss die modernen Anforderungen der Anwender abbilden, die sie steuern soll. Organisationen müssen ihre Power User nicht nur schulen, sondern auch eine operative Microsoft 365 Governance mit Tools wie Rencore Governance umsetzen.
Automatisierte Power Platform Governance
Wirksame und dynamische Governance-Tools helfen Ihnen, die Kontrolle zu behalten. Sie berichten nicht nur über erstellte Apps, sondern prüfen diese auch in Echtzeit gegen Richtlinien. Werden die Maßnahmen rund um diese Richtlinienverstöße automatisiert, beschleunigt das die Behebung erheblich. In Kombination verhindert das aktiv, dass Sicherheitsvorfälle wie dieses jüngste Datenleck bei Microsoft Power Apps überhaupt entstehen.
Mit Rencore Governance können IT-Abteilungen zahlreiche Microsoft-365-Dienste zentral steuern, darunter Power Apps, Power Automate, Teams, SharePoint, OneDrive, Azure Active Directory sowie Microsoft 365 Users, Groups und Licenses. Bei Power Apps kann Rencore Governance derzeit Canvas Apps erfassen. Power Apps Portal Apps und Power Apps Model Driven Apps sind aktuell nicht über die Microsoft-APIs zugänglich und werden ergänzt, sobald sie verfügbar sind.
In einem ersten Schritt sammelt das Tool kontinuierlich aktualisierte Daten aus allen angebundenen Diensten. Die erfasste Änderungshistorie erlaubt es dann, Trends zu erkennen und über Nutzung, Adoption und Kosten zu berichten. Administratoren können sich über die Beziehungen zwischen den Komponenten bewegen und so beispielsweise Power Apps von deaktivierten Benutzerkonten aufspüren.
Rencore Governance bietet die Möglichkeit, eigene Prüfungen auf jeden erfassten Objekttyp und dessen zugehörige Daten aufzubauen. So können unsere Kunden Governance-Richtlinien umsetzen, die Verstöße gegen die Compliance-Regeln ihrer Organisation automatisch erkennen. Rencore Governance bietet die Möglichkeit, eigene Prüfungen auf jeden erfassten Objekttyp und dessen zugehörige Daten aufzubauen.
Zu wissen, welche Teile des Dienstes nicht regelkonform sind, ist der erste Schritt. Doch steigende Adoption und das damit verbundene Wachstum machen es unmöglich, alles manuell im Blick zu behalten. Rencore bietet integrierte Automatisierungen, mit denen Organisationen Richtlinienverstöße skalierbar bearbeiten können. Indem die Endanwender einbezogen und andere Systeme angebunden werden, lassen sich die meisten Probleme mit minimalem manuellem Aufwand lösen.
Automatisieren Sie Ihren Governance-Ansatz
Jetzt sind Sie dran
Dieses jüngste Datenleck bei Microsoft Power Apps zeigt deutlich, dass Governance für Microsoft-365-Dienste noch immer meist ein nachträglicher Gedanke ist. Dabei ist Power Apps nur ein Dienst in Microsofts stetig wachsender Palette an Cloud-Collaboration-Tools, die den Endanwendern mehr Handlungsspielraum geben. Mit steigender Adoption wird Governance zugleich komplexer und kritischer.
Vorfälle wie diese können (und werden vermutlich) jederzeit und überall wieder passieren. Es ist höchste Zeit, einen Governance-Plan aufzustellen, der nicht nur auf dem Papier existiert und diese Tatsache anerkennt. Und damit ist es mit Microsoft 365 allein nicht getan. Die besten Governance-Pläne decken alle Dienste und Technologien ab und fügen sich in den übergreifenden Governance-, Risikomanagement- und Compliance-(GRC)-Ansatz der Organisation ein.
, , , , ,
Zuletzt aktualisiert am 15. September 2023
