Identität und Anmeldeaktivität
Ihr IdP sieht jede Anwendung hinter SSO sowie selbst erteilte OAuth-Freigaben. Das ist das stärkste Eigentümersignal — und blind für alles, was mit privatem Login oder Firmenkarte bezahlt wurde.
Leitfaden · SaaS Discovery
SaaS Discovery und das echte Risiko von Shadow IT
Shadow IT ist kein Beschaffungsproblem, sondern ein Zuordnungsproblem. Dieser Leitfaden erklärt, was SaaS Discovery wirklich bedeutet, welche Signale ein vollständiges Bild ergeben, welche operativen Risiken nicht verwaltete Anwendungen erzeugen und wie aus einer Fundliste eine belastbare, auditierte Entscheidung wird.
Was SaaS Discovery tatsächlich ist
SaaS Discovery ist der fortlaufende Prozess, jede genutzte Anwendung im Unternehmen zu identifizieren — auch jene, die niemand registriert, niemand budgetiert und niemand verantwortet hat. Nützlich wird ein Discovery-Programm erst, wenn jede gefundene Anwendung einer Person, einem Kostenpunkt, einer Datenklasse und einer Entscheidung zugeordnet ist.
Die meisten Werkzeuge hören nach der ersten Hälfte auf. Sie liefern eine Liste von Anwendungsnamen und überlassen den schwierigen Teil — wer verantwortet das, welche Daten liegen darin, wird es noch gebraucht, wer darf es sicher abschalten — einer Tabelle. Genau diese Lücke lässt Shadow IT jedes Audit überleben: Der Fund existiert, der Nachweis einer Entscheidung nicht.
Lojycal behandelt Discovery als einen Eingang in einen operativen Graphen, der Menschen, Geräte, Verträge, Ausgaben und Zugriffe bereits enthält. Eine am Dienstag entdeckte Anwendung ist am Dienstag ein vollständig zugeordneter Datensatz — kein Ticket, das ein Quartal lang altert.
Die vier Signale für ein vollständiges Bild
Jedes einzelne Discovery-Signal hat einen systematischen blinden Fleck. Erst die Kombination macht aus einer Teilliste ein handlungsfähiges Inventar.
Endpoint- und Browser-Telemetrie
Verwaltete Endgeräte und die Browser-Ebene zeigen, welche Werkzeuge tatsächlich geöffnet werden, inklusive Free-Tiers ohne SSO und ohne Rechnung.
Ausgaben und Beschaffung
Finanzdaten fangen ab, was Identität übersieht: Kartenkäufe, Verlängerungen, Seat-Upgrades und Anbieter, die still von kostenlos auf kostenpflichtig gewechselt sind.
HRIS-gestützte Zuordnung
Ein-, Um- und Austritte entscheiden, ob eine Anwendung genutzt oder verwaist ist. Ohne HR-Feed hat ein Fund keinen Lebenszyklus — und kein Austritt wird jemals vollständig geschlossen.
Was nicht verwaltete SaaS wirklich kostet
Das Risiko ist selten die Anwendung selbst. Es ist, dass sie außerhalb aller Kontrollen liegt, auf die Sie sich verlassen, sobald jemand einen Nachweis verlangt.
Ungeprüfte Datenexposition
Eine nicht verwaltete Anwendung kann Kundendaten, Quellcode oder HR-Daten enthalten — ohne Sicherheitsprüfung, ohne AVV und ohne Kenntnis der dahinterliegenden Unterauftragsverarbeiter.
Verwaiste Zugriffe nach Austritten
Offboarding entfernt nur, was bekannt ist. Anwendungen außerhalb von SSO funktionieren für ehemalige Mitarbeitende weiter — beendet wird die Sitzung vom Abrechnungszyklus des Anbieters, nicht von Ihrer Richtlinie.
Doppelte und überlappende Werkzeuge
Vier Teams mit vier Varianten desselben Werkzeugs sind ein Kosten- und ein Governance-Problem: Dieselben Daten liegen an vier Orten mit vier unterschiedlichen Aufbewahrungseinstellungen.
Nicht budgetierte Verlängerungen
Kartenbezahlte Werkzeuge verlängern sich unsichtbar. Die Finanzabteilung sieht die Verpflichtung meist erst, wenn das Kündigungsfenster geschlossen ist.
Lücken im Compliance-Nachweis
Verarbeitungsverzeichnis (DSGVO), Lieferantenaufsicht (NIS2) und Asset-Inventar (ISO 27001) setzen voraus, dass Sie Ihre Anwendungen auflisten und die jeweilige Freigabe zeigen können. Ein unvollständiges Inventar wird zur Feststellung.
KI-Werkzeuge durch die Seitentür
Assistenten und Modell-APIs sind die am schnellsten wachsende Kategorie nicht verwalteter Anwendungen — und jene, die am ehesten Daten erhält, die vorher niemand klassifiziert hat.
Discovery-Methoden im Vergleich
Jeder Ansatz ist sinnvoll und jeder hat einen dokumentierten blinden Fleck. Entscheidend ist zu wissen, welchen Sie offen lassen.
| Ansatz | Was er sieht | Was er übersieht |
|---|---|---|
| Nur SSO-/IdP-Katalog | Jede föderierte Anwendung und ihre Anmeldeaktivität | Alles mit privatem Login oder Firmenkarte |
| Nur Ausgaben- und Kartenanalyse | Bezahlte Werkzeuge, Verlängerungen, Seat-Wachstum | Free-Tiers, Testphasen, privat ausgelegte Tools |
| Nur Browser- oder Endpoint-Agent | Tatsächliche tägliche Nutzung inklusive Free-Tiers | Server-zu-Server-Integrationen und unverwaltete Geräte |
| CASB / Netzwerkinspektion | Datenverkehr zu bekannten SaaS-Zielen | Eigentümer, Kosten, Vertragslage, Lebenszyklus |
| Graphbasierte Discovery (Lojycal) | Alle vier Signale auf einem Person-App-Kosten-Vertrag-Datensatz | Strukturell nichts — die Abdeckung hängt an den verbundenen Instrumenten |
Von der Discovery zur belastbaren Entscheidung
Eine Fundliste ist kein Ergebnis. Diese sechs Schritte führt Lojycal aus, damit jeder Fund in einer Entscheidung mit Nachweis endet.
- 01
Entdecken
Identitäts-, Endpoint-, Ausgaben- und HR-Signale laufend einlesen und je Anbieter zu einem Datensatz zusammenführen.
- 02
Eigentümer zuordnen
Jede Anwendung über den Mitarbeitendengraphen einer Person und einer Kostenstelle zuordnen — Anwendungen ohne Eigentümer werden eskaliert, nicht ignoriert.
- 03
Risiko klassifizieren
Datenklasse, Vertragsstatus, AVV-Abdeckung und SSO-Anbindung kennzeichnen.
- 04
Entscheiden
Behalten, konsolidieren oder entziehen — über den Freigabeprozess, damit die Entscheidung eine benannte freigebende Person hat.
- 05
Reversibel ausführen
Änderung zuerst als Dry-Run vorschauen, damit ein falscher Entzug zurückgenommen statt diskutiert wird.
- 06
Nachweis schreiben
Jeder Schritt landet in einem append-only Audit-Ledger, das Sie ohne nachträgliche Rekonstruktion übergeben können.
Was Sie messen sollten
Diese fünf Kennzahlen zeigen, ob ein Discovery-Programm wirkt — lange bevor sich die Kostenlinie bewegt.
- Anzahl nicht verwalteter Anwendungen — genutzt, ohne Eigentümer und ohne Vertragsdatensatz
- Anwendungen je Eigentümer — Konzentrationsrisiko, wenn eine Person unverhältnismäßig viel trägt
- Verwaiste Seats — aktive Zugriffe von bereits ausgetretenen Personen
- Zeit bis zur Zuordnung — Tage zwischen Fund und benanntem Eigentümer
- Ausgaben außerhalb der Beschaffung — Anteil der SaaS-Kosten ohne Freigabe
Häufige Fragen
Was ist SaaS Discovery?
SaaS Discovery ist die fortlaufende Identifikation aller genutzten Anwendungen im Unternehmen — inklusive nicht verwalteter und nicht budgetierter Werkzeuge — sowie deren Zuordnung zu Eigentümer, Kosten und Datenklasse.
Worin unterscheidet sich Shadow IT von SaaS-Sprawl?
Shadow IT bezeichnet Anwendungen, die außerhalb jedes Freigabeprozesses eingeführt wurden. SaaS-Sprawl bezeichnet die Anhäufung freigegebener, aber überlappender Werkzeuge. Beide erzeugen ähnliche Kosten- und Governance-Probleme und werden über dieselben Signale gefunden.
Reichen SSO-Protokolle, um Shadow IT zu finden?
Nein. Ein Identity Provider sieht nur föderierte Anwendungen. Alles mit privatem Login, Free-Tier oder Firmenkarte erscheint nie — genau dort lebt Shadow IT.
Ist das Aufdecken von Shadow IT eine DSGVO-Anforderung?
Die DSGVO verlangt ein Verarbeitungsverzeichnis; das setzt voraus, dass Sie die verarbeitenden Systeme benennen können. Ein unvollständiges Anwendungsinventar macht dieses Verzeichnis per Definition unvollständig — dieselbe Lücke betrifft die NIS2-Lieferantenaufsicht und das ISO-27001-Asset-Management.
Wie entfernt man eine nicht verwaltete Anwendung sicher?
Zuerst Eigentümer zuordnen, Änderung als Dry-Run vorschauen, benannte Freigabe einholen, reversibel ausführen und das Ergebnis im Audit-Ledger festhalten. Entzug vor Zuordnung ist das, was laufende Prozesse zerstört.
Wie lange dauert es, bis Discovery nützlich wird?
Der erste Durchlauf ist unmittelbar verfügbar, sobald Identitäts-, Endpoint-, Ausgaben- und HR-Instrumente verbunden sind. Der Wert entsteht durch die Zuordnung, die sich mit jeder Bestätigung oder Korrektur verbessert.
Weiterlesen
Discovery ist erst die erste Zeile
Sehen Sie, wie aus einer gefundenen Anwendung ein zugeordneter, bepreister und vertraglich verknüpfter Datensatz mit Audit-Spur wird — im Walkthrough an Ihrem eigenen Bestand.