Power Apps, Power Automate und Copilot Studio machen es leicht, eigene Lösungen zu bauen. Mitarbeitende automatisieren Genehmigungen, verschicken Daten per Flow oder stellen einen Agent für Kundenanfragen bereit. Die IT erfährt davon oft erst, wenn etwas nicht mehr funktioniert oder wenn ein Flow Daten an eine private Mailadresse schickt.
Mit dem SmartGovernance365 Check prüfen wir den Zustand Ihres Microsoft-365-Tenants und machen Risiken zählbar. Der Check liest ausschliesslich, verändert nichts und läuft vollständig in Ihrer Umgebung. Das erste Modul deckt die Microsoft Power Platform ab.
Was IT-Governance grundsätzlich bedeutet, erklären wir in unserem Glossar. Wie Sie Governance in Microsoft 365 konkret angehen, zeigt der Beitrag 9 Tipps für eine erfolgreiche Governance-Strategie. Die Grundlagen zu Data Loss Prevention (DLP) in der Power Platform beschreibt Microsoft auf Microsoft Learn.
Das Ergebnis ist ein Bericht mit Zahlen statt Vermutungen. Eine Aussage wie «57 Flows laufen weiter, obwohl ihr Owner das Unternehmen verlassen hat» ist eine Grundlage, mit der eine Geschäftsleitung arbeiten kann.
[Bild-Platzhalter: Header-Visual «SmartGovernance365 Check: Power Platform»: wird in WordPress hochgeladen und ersetzt]
Das Wichtigste in Kürze
- Nur lesend: Der Check fordert ausschliesslich Leseberechtigungen an. Jeder Aufruf an einen Microsoft-Dienst läuft durch eine Liste erlaubter Lesezugriffe.
- Lokal: Daten, Logdateien und Bericht bleiben bei Ihnen. Es gibt keine Cloud-Komponente und keine Telemetrie.
- Keine Inhalte: Erhoben werden Metadaten wie Owner, Freigaben und Konnektoren, keine Mails, Dateien oder Chats.
- Power Platform zuerst: 21 Prüfungen zu Umgebungen, DLP-Richtlinien, Apps, Flows, Verbindungen und Copilot-Studio-Agents.
- Ehrliche Abdeckung: Was nicht geprüft werden konnte, steht im Bericht als «nicht geprüft», mit Begründung.
- Ein Bericht für zwei Zielgruppen: Kernaussagen für die Geschäftsleitung, Belege und Empfehlungen für die IT.
Der Check ersetzt keine Governance. Er zeigt, wo Sie heute stehen, und liefert die Grundlage für die nächsten Schritte.
Warum ein Check für die Power Platform?
In vielen Tenants ist die Power Platform über Jahre gewachsen, ohne dass jemand den Überblick behalten hat. Jede lizenzierte Person kann in der Default-Umgebung Apps und Flows erstellen. Typische Folgen:
- Flows laufen unter dem Konto einer Person, die das Unternehmen längst verlassen hat.
- Apps sind mit allen Mitarbeitenden oder mit Gästen geteilt.
- Flows senden Daten an externe HTTP-Endpunkte, an fest hinterlegte Mailadressen oder an Dropbox und Google Drive.
- DLP-Richtlinien fehlen oder lassen HTTP-, SMTP- und Custom Connectors offen.
- Agents aus Copilot Studio sind ohne Anmeldung erreichbar und greifen auf interne SharePoint-Inhalte zu.
Einzeln betrachtet wirkt vieles harmlos. Zusammen ergibt sich ein Bild, das im Admin Center so nicht sichtbar ist. Gerade für Nachweise gegenüber Revision, Datenschutz und Compliance fehlt damit eine belastbare Grundlage.
So funktioniert der SmartGovernance365 Check
Vorbereitung: App-Registrierung und Preflight
Der Check meldet sich über eine App-Registrierung mit Zertifikat an. Diese richten Sie selbst ein; wir liefern dazu eine Anleitung und eine Übersicht aller benötigten Berechtigungen. Ein Skript, das die Registrierung automatisch anlegt, gibt es bewusst nicht, denn das wäre ein schreibender Zugriff.
Vor dem eigentlichen Lauf prüft ein Preflight, ob alles bereit ist: PowerShell-Version, Konfiguration, Anmeldung, Berechtigungen und Lizenzen. Er erkennt auch, ob die App zu viele Rechte hat, und meldet das als Warnung. Das Ergebnis lautet «Bereit», «Eingeschränkt bereit» oder «Blockiert», jeweils mit konkreten Handlungshinweisen.
Erhebung: Daten sammeln und bewerten
Der Collector liest die Daten über Microsoft Graph, die Power Platform Admin API und die Dataverse Web API. Er bewertet jede Prüfung und schreibt das Ergebnis in eine lokale Datenbankdatei. Fällt eine Prüfung aus, läuft der Rest weiter. Nach der Anmeldung vergleicht er die Tenant-ID mit der Konfiguration und bricht bei einer Abweichung ab, damit nie der falsche Tenant geprüft wird.
Bericht: eine HTML-Datei ohne externe Abhängigkeiten
Aus der Datenbank erzeugen Sie den Bericht mit einem mitgelieferten Programm. Das Ergebnis ist eine einzelne HTML-Datei, die offline funktioniert, sich per Mail weitergeben und als PDF drucken lässt. Benutzernamen lassen sich im Bericht maskieren.
Was der Bericht zeigt
Der Bericht beginnt mit einer Management-Zusammenfassung: Anzahl Befunde je Schweregrad, die wichtigsten Befunde und eine kurze Handlungsempfehlung. Danach folgen Kernaussagen mit den Zahlen aus Ihrem Tenant.
| Thema | Beispiel einer Kernaussage |
|---|---|
| Inventar und Schatten-IT | Wie viele Maker haben wie viele Flows, Apps und Agents gebaut, und welcher Anteil liegt in der Default-Umgebung? |
| Verwaiste Objekte | Wie viele Flows laufen weiter, obwohl der Owner ausgetreten ist? |
| Identitäten | Wie viele Flows laufen mit privilegierten oder privaten Konten? |
| Datenabfluss | Wie viele Flows senden Daten an externe Endpunkte, Mailadressen oder Cloud-Speicher? |
| DLP | Sind HTTP, SMTP und Custom Connectors eingeschränkt? Wie viele Apps und Flows verstossen gegen eine Referenz-Policy? |
| Freigaben | Wie viele Apps sind mit allen oder mit Gästen geteilt? |
| Agents | Wie viele Agents sind ohne Anmeldung erreichbar? |
Jeder Befund enthält Beschreibung, Auswirkung, Anzahl betroffener Objekte, eine Liste dieser Objekte und eine Empfehlung. Ihre IT kann so direkt mit der Bereinigung beginnen.
Wo liegen die Grenzen?
- Keine automatische Behebung: Der Check zeigt Befunde, er korrigiert nichts. Die Massnahmen planen und setzen Sie um, auf Wunsch mit uns.
- Keine Inhaltsanalyse: Flows werden auf Zielhosts, Konnektoren und Mailziele untersucht, nicht auf den Inhalt der übertragenen Daten. Nach Passwörtern oder Schlüsseln in Flow-Definitionen sucht der Check nicht.
- Flows ausserhalb von Lösungen: Liegt ein Flow nicht in einer Power-Platform-Lösung, ist seine Definition für den Check nicht lesbar. Der Bericht weist diese Flows aus, statt sie stillschweigend als unbedenklich zu zählen.
- Nur Commercial Cloud: Sovereign Clouds wie GCC oder GCC High werden nicht unterstützt.
- Ein Tenant pro Lauf: Wer mehrere Tenants betreibt, führt den Check je Tenant aus.
Häufig gestellte Fragen
Kann der Check etwas in unserem Tenant verändern?
Nein. Er fordert nur Leseberechtigungen an, und jeder Aufruf wird gegen eine Liste erlaubter Lesezugriffe geprüft. Nicht erlaubte Aufrufe werden nie ausgeführt.
Verlassen unsere Daten das Unternehmen?
Nein. Datenbank, Logdateien und Bericht liegen lokal bei Ihnen. Der Check sendet keine Daten an innobit oder Dritte. Ob Sie uns den Bericht für die Besprechung zur Verfügung stellen, entscheiden Sie. Das erleichtert auch die Einordnung unter dem Schweizer Datenschutzgesetz.
Liest der Check Mails, Dateien oder Chats?
Nein. Er erhebt Metadaten wie Namen, Owner, Freigaben und Konnektortypen.
Was passiert, wenn uns eine Lizenz oder Berechtigung fehlt?
Der Preflight meldet das vor dem Lauf. Die betroffenen Prüfungen erscheinen im Bericht als «nicht geprüft» mit Begründung, nicht als bestanden.
Prüft der Check auch Teams und SharePoint?
Noch nicht. Ein Check-Modul für Collaboration ist in Arbeit. Für die Governance von Teams, SharePoint und Workspaces steht bereits das Modul SmartGovernance365 Collaboration zur Verfügung. Einen breiteren Blick auf die Konfiguration Ihres gesamten Tenants bietet der Tenant Health Check SmartTenant365.
Wie lange dauert ein Lauf?
In der Regel wenige Minuten. Die genaue Dauer hängt davon ab, wie viele Umgebungen, Apps, Flows und Agents Ihr Tenant enthält.
Die Kerninformationen auf einen Blick
Kernnutzen
Risiken in der Power Platform werden mit Zahlen sichtbar: verwaiste Flows, offene Freigaben, Datenabfluss, fehlende DLP-Richtlinien und ungeschützte Agents
Zielgruppe
Geschäftsleitung und IT von Unternehmen, die Microsoft 365 und die Power Platform nutzen und wissen möchten, was in ihrem Tenant tatsächlich läuft
Innovation
21 Prüfungen inklusive Copilot-Studio-Agents, ausschliesslich lesender Zugriff über eine Liste erlaubter Aufrufe, lokaler Bericht als einzelne HTML-Datei
Kosten
Auf Anfrage; den Umfang und die gemeinsame Besprechung des Berichts stimmen wir mit Ihnen ab
Fazit
Die Power Platform ist für viele Unternehmen ein blinder Fleck. Apps, Flows und Agents entstehen dezentral, und die Risiken verteilen sich auf Owner, Freigaben, Konnektoren und Identitäten. Der SmartGovernance365 Check macht diese Risiken mit Zahlen sichtbar, ohne in den Tenant einzugreifen.
Er ist ein Startpunkt. Regeln, Verantwortlichkeiten und Prozesse für die Power Platform braucht es danach trotzdem.
Microsoft 365 Governance mit innobit aufbauen
Der Check ist der erste Schritt von SmartGovernance365: Ausgangslage verstehen. Auf Basis des Berichts besprechen wir mit Ihnen, welche Befunde Vorrang haben und welches Governance-Modul passt. Für die Power Platform ist das in der Regel das Modul SmartGovernance365 Platform. Gemeinsam prüfen wir:
- welche Befunde ein echtes Risiko für Ihr Unternehmen darstellen,
- welche DLP-Richtlinien und welche Umgebungsstrategie zu Ihnen passen,
- wie Sie verwaiste Flows und Apps geordnet übernehmen oder abschalten,
- welche Regeln für Maker und Agents künftig gelten sollen.
Wenn Sie Ihre Power-Platform-Lösungen danach professionell weiterentwickeln möchten, unterstützen wir Sie mit unserer Erfahrung in der Prozessdigitalisierung. Den laufenden Betrieb übernehmen wir auf Wunsch im Rahmen unserer Managed Services.
Ihr Ansprechpartner
Melden Sie sich direkt bei Alexander Dietrich
