Über den Workflow zur Administratoreinwilligung in Entra ID können Benutzer ohne Administratorrechte Anwendungsberechtigungen über einen strukturierten Genehmigungsprozess anfordern. Wenn der Workflow nicht konfiguriert ist, stoßen Benutzer beim Zugriff auf Anwendungen unter Umständen auf Fehler, da keine Möglichkeit zur Anforderung einer Einwilligung besteht.

Ohne den <a href="https://learn.microsoft.com/de-de/entra/identity/enterprise-apps/configure-admin-consent-workflow#enable-the-admin-consent-workflow">Workflow zur Administratoreinwilligung</a> steht Benutzern ohne Administratorrechte keine integrierte Möglichkeit zur Verfügung, um Zugriffsanfragen für Anwendungen zu eskalieren. Folglich könnten sie auf Problemumgehungen zurückgreifen oder, sofern Benutzereinwilligung zulässig ist, selbst Berechtigungen erteilen (siehe IoE „Uneingeschränkte Benutzereinwilligung für Anwendungen“). In beiden Fällen verliert das Unternehmen den Überblick und die Kontrolle über die Erteilung von Berechtigungen, wodurch die Durchsetzung des Prinzips der geringsten Rechte geschwächt wird.
Bei Consent-Phishing-Angriffen (auch bekannt als <a href="https://learn.microsoft.com/de-de/defender-office-365/detect-and-remediate-illicit-consent-grants">unzulässige Einwilligungserteilung</a>) werden Benutzer dazu verleitet, den Zugriff auf bösartige Anwendungen zu gewähren, die legitim erscheinen. Ohne Genehmigungsworkflow gibt es keine Überprüfungsebene, um einen verdächtigen Berechtigungsbereich wie <a href="https://learn.microsoft.com/de-de/graph/permissions-reference#filesreadwrite">Files.ReadWrite</a> (vollständiger Zugriff auf Benutzerdateien) oder <a href="https://learn.microsoft.com/de-de/graph/permissions-reference#mailreadwrite">Mail.ReadWrite</a> (Lese- und Schreibzugriff auf alle Postfächer) zu kennzeichnen. Dadurch können Angreifer dauerhaften Zugriff auf Benutzerdaten erhalten. Dieser Zugriff wird durch Passwortänderungen oder MFA nicht aufgehoben.
Ohne den Workflow zur Administratoreinwilligung müssen Administratoren Berechtigungsanforderungen über Ad-hoc-Kanäle wie E-Mail, Chat oder direkten Kontakt bearbeiten, was zu blinden Flecken bei der Überwachung führt. Es gibt keinen automatisierten Anforderungsprozess, kein Erinnerungssystem und keine Aufzeichnungen darüber, wer was, wann und warum genehmigt hat. Diese fehlende Überwachung macht es schwierig, nachzuweisen, dass vor der Erteilung von Anwendungsberechtigungen eine ordnungsgemäße Überprüfung erfolgt ist.
Microsoft empfiehlt in <a href="https://learn.microsoft.com/de-de/entra/fundamentals/configure-security#admin-consent-workflow-is-enabled">Konfigurieren von Microsoft Entra für erhöhte Sicherheit</a> außerdem, dass der „Workflow zur Administratoreinwilligung aktiviert ist“.

Erkennungen

Administratoreinwilligungs-Workflow für Anwendungen nicht konfiguriert

MEDIUM

Version 202506240832