# Drittanwendungen und Zustimmung

> Anwendungen als eigenständige Zugriffssubjekte: delegierte gegen anwendungseigene Berechtigungen, Zustimmung durch Endnutzer und der Entzug einer bereits erteilten Zustimmung.

Track: [Microsoft 365 Collaboration Administration](https://physar.tech/learn/m365-collaboration)  
Kanonische Fassung: https://physar.tech/learn/m365-collaboration/apps-consent-governance  
Stand: 2026-07-30  
Interaktiver Teil: 3 Checks (nur im Browser)

## Eine App ist ein Zugriff, kein Werkzeug

### Betriebsfrage

Wenn eine Beschäftigte eine App mit ihrem Arbeitskonto verbindet, entsteht ein dauerhafter Zugriffsweg auf Unternehmensdaten — unabhängig davon, ob sie später weiterarbeitet oder das Unternehmen verlässt. Zustimmung ist deshalb eine Berechtigungsentscheidung, keine Installation.

### Mentales Modell

App registriert → Berechtigungen angefordert → Zustimmung erteilt → Zugriff dauerhaft

### Zwei Berechtigungsarten

|  |  |
| --- | --- |
| Delegiert | Die App handelt im Namen der angemeldeten Person und kann nie mehr, als diese Person selbst darf. |
| Anwendungseigen | Die App handelt eigenständig ohne angemeldete Person — der Zugriff ist unabhängig von jedem Nutzer und typischerweise mandantenweit. |

> **Kern:** Anwendungseigene Berechtigungen sind der stärkere Zugriff und brauchen eine Prüfung durch die Administration; delegierte Berechtigungen sind durch die Rechte der Person begrenzt.

### Zustimmung durch Endnutzer

- Sie senkt Reibung und erzeugt Zugriffe, die niemand zentral bewertet hat.
- Sie ist ein bekannter Angriffsweg: eine harmlos wirkende App fragt weitreichende Berechtigungen ab.
- Wird sie eingeschränkt, braucht es einen funktionierenden Anforderungsweg — sonst entstehen Umgehungen.

### Route

> **Transfer:** Die Checks behandeln die Wahl der Berechtigungsart, den Umgang mit Endnutzer-Zustimmung und den Entzug nach einem Verdachtsfall.

## Quellen

- learn.microsoft.com/en-us/entra/identity/enter…permissions-overview — https://learn.microsoft.com/en-us/entra/identity/enterprise-apps/consent-and-permissions-overview
- learn.microsoft.com/en-us/entra/identity/enter…at-is-an-application — https://learn.microsoft.com/en-us/entra/identity/enterprise-apps/what-is-an-application
- csrc.nist.gov/pubs/sp/800/61/r3/final — https://csrc.nist.gov/pubs/sp/800/61/r3/final