Die Low-Code-Plattform von Microsoft sicher nutzen
Einstellungen für mehr Sicherheit
Für die Sicherheit der Power Platform – der Low-Code-Plattform von Microsoft – bietet M365 zahlreiche Funktionen und Konfigurationseinstellungen in diversen Admin Centern. Allerdings sind diese teilweise nur mit PowerShell umzusetzen. Das erschwert die Arbeit von Administratoren, Beratern und Verantwortlichen für den unternehmensinternen Rollout von Microsoft 365 Anwendungen. Wir zeigen Ihnen, welche Vorteile die Power Platform bietet und wie Sie sie vor unerwünschtem Zugriff schützen.
Was ist eigentlich eine Low-Code-Plattform?
Eine Low-Code-Plattform (auch Low-Code-Entwicklungsplattform und -Tool) wie die Power Plattform von Microsoft ist eine Entwicklungsumgebung, mit der sich Software mit wenig oder keinen Programmierkenntnissen einfach umsetzen lässt. Damit ermöglicht sie eine schnelle Entwicklung, Programmierung und Bereitstellung von Anwendungen wie Apps.
Das gelingt, indem Low-Code-Lösungen einen standardisierten Modul-Baukasten für die Entwicklung bereitstellen. Zu der grafischen Benutzerfläche zählen wenige Drag-and-Drop- sowie Logik-Funktionen. Sie müssen keinen umfangreichen Code schreiben.
Bei einer No-Code-Plattform fällt das Schreiben von Codes für Apps gänzlich weg. Dementsprechend kann jede Person, auch ohne Programmierkenntnisse, Anwendungen erstellen. Eine Programmierung im klassischen Sinne gibt es hier nicht.
Vor- und Nachteile der Low-Code-Entwicklungsplattform
Low-Code-Plattformen wie die Power Platform bringen die Digitalisierung im Unternehmen schnell voran, indem sie die Entwicklung von Anwendungen stark vereinfachen. Sie unterstützen Ihre Mitarbeitenden dabei, digital zu arbeiten, unnötige Aufgaben zu automatisieren und zu beschleunigen. Zudem haben Sie die Möglichkeit, auch komplexe Anwendungen und Apps kostengünstig und ohne tiefgreifende Programmierkenntnisse umzusetzen.
Allerdings ist der richtige Umgang mit der Low-Code-Plattform wichtig, da für Unternehmen andernfalls Risiken entstehen können, zum Beispiel:
Phishing und Einholung der Benutzerzustimmung für ihre Daten
Extraktion von Daten zu unkontrollierten Datenspeichern
Korruption von Dokumenten
Data leakage durch automatisierte Weitergabe
Die Low-Code-Plattform Power Automate stellt beispielsweise keine Einstellungen für individuelle Zugriffsrechte bereit.
Die Risiken von Low-Code-Plattformen lassen sich mit einem Set von Security- und Governance-Maßnahmen wirksam vermeiden. Das Center of Excellence – eine Lösung auf Basis der Power Platform – unterstützt zum Beispiel die Einhaltung von Governance-Richtlinien, fördert Innovation und hilft beim Monitoring der Low-Code-Plattform.
Tipps für die sichere Nutzung der Power Platform und eine gute Governance
Die Einstellmöglichkeiten für mehr Sicherheit und Kontrolle über die Low-Code-Entwicklungsplattform sind vielfältig und sind teilweise nur mit PowerShell umsetzbar:
Konfiguration der AllowAdHocSubscriptions
Eine erste Option ist das Verhindern von Self-Service Subscriptions. Dies erfolgt über einen PowerShell-Befehl des Administrators.
Deaktivierung der Trial- und Developer-Lizenzpläne
In der Dokumentation von Microsoft gibt es zwei Arten von Lizenzplänen – „Internal“ und „Viral“. In beiden Fällen haben Anwender die Möglichkeit, sich selbst Lizenzen zu erteilen. Sie können Trial- und Developer-Lizenzpläne deaktivieren.
Deaktivierung von Self-Service Purchase Licence
Diese Einschränkung sollten vor allem Unternehmen vornehmen, die beispielsweise über einen definierten zentralen Einkaufsprozess verfügen. Denn wie bereits erwähnt können Benutzer mit ihrer Kreditkarte eigene Lizenzen für verschiedene Anwendungen und Tools, beispielsweise PowerApps, PowerAutomate, PowerBI Pro, Project Plan 1 und 3 sowie Visio Plan 1 und 2, einkaufen. Auch diese Einstellung erfolgt momentan nur durch PowerShell.
Wenn Sie diese drei Konfigurationen vorgenommen haben, können Benutzer immer noch Daten einsehen und unter Umständen für unerwünschte Zwecke nutzen. Die Low-Code-Plattformen PowerApps und PowerAutomate sind kostenfrei, sodass jeder mit einem privaten Account die Dienste nutzen kann. Es wäre also denkbar, dass der Benutzer seinen privaten Dienst nutzt und mit seinem Firmenaccount die Verbindung zur Datenquelle herstellt. Es braucht lediglich ein Live beziehungsweise privates Microsoft-Konto, um Workflows und Apps zu erstellen. Die Verbindung zu den Daten wird dann mit dem Firmenkonto hergestellt.
Deaktivierung von Cross-Tenant-Funktionen
Cross-Tenant-Verbindungen ließen sich lange Zeit nur via Ticket bei Microsoft deaktivieren. Seit Kurzem gibt es eine Vorschaufunktion namens „Tenant Isolation (preview)“.
Die Funktion befindet sich im Admin Center der Power Platform und erlaubt die Einschränkung von eingehenden und ausgehenden Verbindungen. Informieren Sie sich bei Microsoft für weitere Details dieser Lösung.
Einstellung von Data Policies
Data Policies dienen dazu, Datenzonen zu erstellen und ermöglichen so ganz einfach die weitere Einschränkung von Zugriffen. Es besteht die Möglichkeit, die Konnektoren in eine der folgenden drei Datenzonen zu schieben:
- Business data
- Non-business data
- Block
Wenn eine solche Data Policy vorhanden ist, können Workflows nur noch mit Konnektoren aus einer Datenzone arbeiten. Konkret bedeutet das, dass ein Workflow nicht Business Data und Non-Business Data Konnektoren zeitgleich nutzen kann. Die Data Policy können Sie ebenfalls im Admin Center über eine Oberfläche vornehmen.
Übrigens: Es gibt verschiedene Konnektoren, zum Beispiel Premium-Konnektoren oder Konnektoren von anderen Anbietern, wie Google, Facebook, Twitter, Dropbox oder Adobe.
Festlegung der Environment Settings
Über das Admin Center der Low-Code-Plattform können Sie festlegen, wer zusätzlich Umgebungen (Environments) erstellen darf. Die Umgebungen basieren auf Dataverse und verbrauchen zusätzlich Storage vom Tenant. Einschränken können Sie dies im Admin Center von PowerApps oder PowerAutomate (zum Beispiel hier). Dort klicken Sie auf das Zahnradsymbol, um die Power Platform Settings aufzurufen.
Es empfiehlt sich, alle Settings zur Erstellung von Umgebungen (Production, Sandbox, Trial) nur für spezifische Admins zuzulassen. Dies sind der Global Admin, der Power Platform Admin sowie der Dynamics Service Admin.
Außerdem sollte auch die Allokierung von zusätzlicher Kapazität (Speicher) nur für spezifische Admins möglich sein.
Übrigens: In Teams lässt sich ebenfalls die Low-Code-Plattform von Microsoft nutzen. Dazu werden automatisch Umgebungen erstellt – für jedes Microsoft Teams, das Sie hierfür einsetzen. Ausschalten können Sie dies aktuell nur, indem Sie PowerApps und PowerAutomate innerhalb von Teams deaktivieren.
Wie können Benutzer im Normalfall auf PowerApps und PowerAutomate zugreifen?
Wie jeder andere Service in Office 365, ist auch die Power Platform ein auf Subscription basierendes Modell (Lizenz pro User und Monat). Es gibt zwei Arten von Lizenzen:
- Free licences sind in fast jeder Office 365 Lizenz inkludiert und ermöglichen, Apps und Workflows in der verfügbaren Standard-Umgebung zu erstellen.
- Premium licences ermöglichen die Nutzung weiterer Features wie zum Beispiel über 400 Premium Connectors.
Wenn Administratoren die Dienste ausschalten, können Benutzer – anders als oft angenommen – dennoch Workflows und Apps erstellen.
Beispiel: Standardzugriff auf PowerAutomate
Der Benutzer möchte einen Workflow erstellen und seine Mails an seine private Mailadresse weiterleiten. Er öffnet das Portal und hat folgende Möglichkeiten:
- „Sign In“
- „Try free“
- „Buy Now“
- „Start free“
1. Sign in: Zugriff im Schattenservice
Der Benutzer erhält Zugriff zum Service, auch wenn PowerAutomate und PowerApps nicht in der Menükachel erscheinen. Er hat keine freie Lizenz. Dies ist identisch mit dem vierten Punkt „Start free“.
2. Try Free: Zugriff zum Service mit kostenloser Lizenz
Der Benutzer füllt ein einfaches Formular aus und bekommt eine kostenfreie Lizenz zugewiesen. Ein Administrator kann diese Lizenz im Portal sehen.
3. Buy Now: Self-Service für Premium-Lizenzen
Der Benutzer kann unter dem Punkt eigene Lizenzen für den Service einkaufen und seine Kreditkarteninformation hinterlegen. Er erhält damit Zugriff auf die Premium-Funktionen. Dies ist zum Beispiel eine Möglichkeit für Fachbereiche mit entsprechendem Budget.
In der Low-Code-Plattform PowerApps verhält sich der Zugriff ähnlich, wenn der Anwender das Portal öffnet. Es gibt jedoch ein paar Unterschiede. Ein Benutzer ohne Lizenz kann weiterhin Apps erstellen. Benutzer, die eine App starten wollen und keine Lizenz haben, erhalten eine entsprechende Warnung, dass sie eine Lizenz benötigen. Es gibt keine kostenfreie Lizenz zum Nutzen der entwickelten App.
Fazit: Power Platform mit allen Optionen absichern
Mit den ausgeführten Maßnahmen kontrollieren Sie den Zugriff auf die Power Platform und erschweren so eine unerwünschte Nutzung. Gänzlich verhindern lässt sich dies nicht, da die Default Umgebung für jeden Maker offen ist. Diese Einschränkungen helfen insbesondere, wenn Sie beim Rollout von Office 365 noch nicht alle Funktionen freischalten oder nur einen Teil dauerhaft nutzen möchten. Es empfiehlt sich, möglichst alle Mechanismen für eine gute Governance der Low-Code-Plattform einzusetzen.
Dann lassen Sie sich von unseren Experten zur Low-Code-Plattform von Microsoft kostenlos beraten – sie stehen Ihnen jederzeit zur Verfügung.
Verfasst von