Wichtige Erkenntnisse aus dem SASI-Bericht 2025
Der rasante Aufstieg von Software-as-a-Service-Anwendungen (SaaS) wie Google Workspace, Microsoft 365, Slack und Salesforce lässt sich auf die Flexibilität, Skalierbarkeit und Kosteneffizienz cloudbasierter Lösungen zurückführen. Andererseits sind SaaS-Anwendungen zu bevorzugten Zielen für Cyberkriminelle geworden, da sie geschäftskritische Informationen und Arbeitslasten hosten. Zudem entwickelt sich die Cyberkriminalität rasant weiter. Angreifer bevorzugen effizientere und gefährlichere Methoden wie das „Token Harvesting“ gegenüber traditionellen Methoden wie Brute-Force-Angriffen.
Um diese Risiken besser zu verstehen, hat „ SaaS Alerts “ den Bericht „2025 SaaS Application Security Insights (SASI)“ veröffentlicht. Dieser Bericht präsentiert die Ergebnisse einer detaillierten Analyse von SaaS-Sicherheitsdaten aus mehr als 43.000 kleinen und mittelständischen Unternehmen (KMU) sowie fast sechs Millionen Benutzerkonten, einschließlich Gastkonten.
Da die Bedrohungslage immer komplexer wird, ist es für Sicherheitsverantwortliche und IT-Fachleute von entscheidender Bedeutung, diese sich wandelnden Dynamiken zu verstehen. In diesem Artikel werden wir die wichtigsten Erkenntnisse des Berichts beleuchten und erläutern, was Ihr Unternehmen tun muss, um neuen Bedrohungen immer einen Schritt voraus zu sein.
Die zunehmende Verbreitung von SaaS-Anwendungen und die damit verbundenen Risiken
SaaS-Anwendungen haben die betriebliche Effizienz und Produktivität erheblich gesteigert, haben Unternehmen jedoch auch einer Vielzahl von Sicherheitslücken ausgesetzt. Während die Cyberkriminalität stark zunimmt, führen fahrlässiges Nutzerverhalten, riskante Dateifreigaben und unüberwachte Gastbenutzerkonten zu Sicherheitslücken in SaaS-Umgebungen.
Mitarbeiter neigen dazu, neue Apps zu installieren, Zugriffsberechtigungen zu erteilen oder Dokumente weiterzugeben, ohne die IT-Teams einzubeziehen. Diese Maßnahmen führen zu einem unübersichtlichen Geflecht aus App-Verbindungen und Datenaustausch, das das Sicherheitsteam oft weder überblicken noch kontrollieren kann.
SaaS-Anwendungen erleichtern den Informationsaustausch, doch ohne angemessene Kontrollmechanismen können sensible Daten über öffentliche Links offengelegt oder ohne ordnungsgemäße Authentifizierung an externe Parteien weitergegeben werden.
Ein weiterer Grund zur Sorge sind Gastbenutzerkonten, die für kurzfristige Zusammenarbeit eingerichtet werden, jedoch häufig unbeaufsichtigt bleiben oder nur selten deaktiviert werden. Einige dieser Konten verfügen über erweiterte Berechtigungen oder Zugriff auf kritische Dokumente, was sie zu einer idealen Hintertür für Angreifer macht, die versuchen, unbemerkt in ein Unternehmen einzudringen.
Unberechtigte Anmeldungen wurden erkannt durch SaaS Alerts
SaaS AlertsDie „Threat Intelligence“-Engine überwacht SaaS-Umgebungen kontinuierlich auf verdächtige Aktivitäten. Im Jahr 2024 verzeichneten wir einen starken Anstieg sowohl bei versuchten als auch bei erfolgreichen unbefugten Zugriffen. Folgendes wurde dabei aufgedeckt:
Versuche, sich unbefugt anzumelden
Cyberkriminelle versuchen zunehmend, sich mit gültigen Benutzerdaten anzumelden, die sie über das Dark Web oder durch Phishing-Angriffe erlangt haben. Um nicht entdeckt zu werden, erfolgen diese Anmeldeversuche in schneller Folge von verschiedenen Standorten weltweit aus.
Im Jahr 2024 konnten fast 40 % aller unbefugten Anmeldeversuche auf China und Südkorea zurückgeführt werden.
Brute-Force-Angriffe waren die gängige Methode, um sich unbefugten Zugriff auf Unternehmenssysteme zu verschaffen. Bei dieser Methode versuchen Angreifer wiederholt, Passwörter zu erraten, bis sie Zugriff erhalten.
Aus dem SASI-Bericht 2025 geht hervor, dass Cyberkriminelle sich nicht mehr ausschließlich auf Brute-Force-Angriffe verlassen, sondern zunehmend auf das „Token Harvesting“ setzen – eine schnellere und heimlichere Methode, mit der sie die MFA vollständig umgehen können, indem sie Sitzungstoken stehlen.
Erkennung erfolgreicher unbefugter Anmeldungen
Wenn Angreifer erfolgreich Zugriff auf ein Konto erlangen, tun sie dies oft von unerwarteten oder nicht genehmigten Standorten aus. Im vergangenen Jahr kristallisierten sich Deutschland, das Vereinigte Königreich und Polen als Hotspots heraus, da fast 25 % der Sicherheitsvorfälle von diesen Standorten ausgingen. Es wird vermutet, dass Angreifer ihre wahre Herkunft verschleiern, indem sie ihre Aktivitäten über VPNs mit Sitz im Westen leiten, wodurch ihre Versuche legitimer erscheinen und schwerer zu erkennen sind.
Angreifer haben sich mithilfe von Phishing-Angriffen erfolgreich in Unternehmenskonten eingeloggt. Sie verleiten Nutzer dazu, ihre SaaS-Zugangsdaten preiszugeben, indem sie äußerst überzeugende, aber gefälschte E-Mails, Nachrichten oder Anmeldeseiten verwenden. Diese Methode gilt nach wie vor als eine der gefährlichsten und effektivsten Möglichkeiten, die Sicherheitsvorkehrungen von Unternehmen zu umgehen.
SaaS-Sicherheitsvorfälle
SaaS-Sicherheitsereignisse dienen als Frühwarnsignale und helfen IT-Teams dabei, ungewöhnliche oder risikobehaftete Aktivitäten in ihren Cloud-Umgebungen zu erkennen. „ SaaS Alerts “ nutzt intelligente Anwendungslogik, um Verhaltensmuster zu analysieren und diese Aktivitäten nach Schweregrad einzustufen: gering, mittel und kritisch.
Im Jahr 2024 analysierte „ SaaS Alerts “ mehr als 7,3 Milliarden Ereignisse in SaaS-Umgebungen. Während die überwiegende Mehrheit (98,5 %) als „gering“ eingestuft wurde, waren über eine Milliarde dieser Warnmeldungen „mittel“ oder „kritisch“.
Ereignisse mit geringem Schweregrad
Ereignisse mit geringem Schweregrad spiegeln oft normale Aktivitäten wider, sollten aber dennoch im Zeitverlauf auf Muster oder Anomalien hin überwacht werden.
Das häufigste Ereignis mit geringer Schwere war „Datei geöffnet“, das immer dann ausgelöst wurde, wenn ein angemeldeter Benutzer oder Gast auf eine Datei zugreift. Diese Aktion machte über 50 % aller Warnmeldungen mit geringer Schwere aus. Auf die Übertragung durch den Backup-Dienst entfielen 23,7 % dieser Ereignisse. Ein weiterer häufiger Auslöser war der OAuth-Zugriff über das Identitäts- und Zugriffsmanagement (IAM), der 22,88 % der Warnmeldungen mit geringem Schweregrad ausmachte. Diese Ereignisse treten auf, wenn Apps von Drittanbietern Kontoberechtigungen anfordern.
Warnungen mittlerer Schwere
Diese Warnmeldungen werden ausgelöst, wenn ungewöhnliches Verhalten oder verdächtige Aktivitäten festgestellt werden, die einer Untersuchung bedürfen, um das Risiko zu minimieren.
Die häufigste Warnmeldung mittlerer Schwere im Jahr 2024 lautete „Datei-Download-Limit überschritten“ und deutete auf Versuche der Datenextraktion hin. Dieses Ereignis machte 40,2 % aller Warnmeldungen mittlerer Schwere aus. „Datei-Upload-Limit überschritten“ machte 35 % der Warnmeldungen mittlerer Schwere aus und ist oft ein Warnsignal für unbefugte Datenübertragungen. „Datei von einem nicht zugelassenen Standort aus geöffnet“ machte hingegen 25 % aus und deutete auf eine mögliche Kompromittierung des Kontos oder Verstöße gegen Zugriffsrichtlinien hin.
Kritische Warnmeldungen
Kritische Warnmeldungen weisen auf risikoreiche Aktivitäten hin, die auf Sicherheitsverletzungen, Datendiebstahl oder unbefugten Zugriff hindeuten können. Über 34 % der kritischen Warnmeldungen wurden durch erfolgreiche Anmeldungen von nicht zugelassenen Standorten oder IP-Bereichen ausgelöst. Zudem wurden 33 % der kritischen Warnmeldungen durch den Zugriff auf Dateien außerhalb zugelassener geografischer Zonen ausgelöst. Weitere 32,3 % standen im Zusammenhang mit dem Herunterladen von Dateien von nicht zugelassenen Standorten.
Auch wenn Warnmeldungen mit niedrigem und mittlerem Schweregrad möglicherweise keine unmittelbare Bedrohung darstellen oder sofortige Maßnahmen erfordern, liefern sie doch wichtige Hintergrundinformationen und Einblicke in das Verhalten von Benutzern und Systemen. Durch die genaue Beobachtung dieser Warnmeldungen können IT-Teams ungewöhnliche Aktivitätsmuster erkennen und Bedrohungen proaktiv entschärfen, bevor sie Schaden anrichten. Kurz gesagt: Es ist entscheidend, alle Sicherheitswarnmeldungen – von „niedrig“ bis „kritisch“ – zu verfolgen, um eine robuste SaaS-Sicherheitsstrategie aufzubauen und Bedrohungen effektiv zu erkennen.
Was gefährdet Ihre SaaS-Umgebungen?
SaaS-Anwendungen bieten Unternehmen jeder Größe unzählige Vorteile. Werden jedoch bewährte Sicherheitsverfahren außer Acht gelassen, können diese Plattformen auch zu Einfallstoren für Datenlecks, Kontoübernahmen und unbefugten Zugriff werden. Der SASI-Bericht 2025 beleuchtet die häufigsten Bedrohungsvektoren, durch die Ihre SaaS-Umgebung potenziellen Sicherheitsverletzungen ausgesetzt sein könnte.
MFA deaktiviert oder inaktiv
MFA gilt als eine der wirksamsten Abwehrmaßnahmen gegen Identitätsdiebstahl und unbefugten Zugriff auf Konten. Dennoch ist die Verbreitung dieser Technologie nach wie vor besorgniserregend gering. Laut dem SASI-Bericht 2025 ist MFA bei mehr als 60 % der Endbenutzerkonten entweder deaktiviert oder inaktiv. Ohne diese entscheidende Schutzebene können Angreifer Konten durch Phishing- oder Token-Diebstahl-Angriffe leicht kompromittieren.
Nicht überwachte Gastbenutzerkonten
Gastbenutzer sind für die Zusammenarbeit mit externen Partnern unverzichtbar, werden jedoch häufig nicht ausreichend überwacht. Im Jahr 2024 überwachte „ SaaS Alerts “ über 4,2 Millionen SaaS-Konten, von denen mehr als 55 % Gastbenutzer waren. Wenn diese Konten nicht genau überwacht oder umgehend deaktiviert werden, sobald sie nicht mehr benötigt werden, könnten sie zu unsichtbaren Einfallstoren für Cyberkriminelle werden.
SaaS-zu-SaaS-App-Integrationen
OAuth macht es den Nutzern leicht, neue SaaS-Tools mit nur wenigen Klicks zu verbinden, doch dieser Komfort hat seinen Preis.
Jede neue Integration vergrößert potenziell die Angriffsfläche, insbesondere wenn die Drittanbieter-App nur unzureichend gesichert ist. Ohne Einblick in diese Verbindungen könnte Ihr Unternehmen Gefahr laufen, Cyberkriminellen über kompromittierte Apps indirekten Zugriff zu gewähren.
Risikoreiches Verhalten beim Dateiaustausch
SaaS-Anwendungen haben die Dateifreigabe vereinfacht, gleichzeitig aber auch das Risiko einer unbefugten Weitergabe von Daten außerhalb des Unternehmens erhöht. Im Jahr 2024 waren bei 37,28 % aller v SaaS Alerts -überwachten Dateifreigaben externe Nutzer beteiligt.
Zwar ist nicht jede Weitergabe nach außen schlecht, doch die eigentliche Gefahr geht von verwaisten Links aus. Dabei handelt es sich um Links zum Dateiaustausch, die an Personen außerhalb der Organisation weitergegeben und nie widerrufen wurden. Angreifer, die nach einem Einfallstor suchen, können diese noch immer vorhandenen Links leicht aufspüren und ausnutzen.
Wichtige Erkenntnisse und Sicherheitsempfehlungen, um neuen SaaS-Bedrohungen einen Schritt voraus zu sein
Der SASI-Bericht 2025 zeigt, dass SaaS-Anwendungen zwar die Produktivität und Zusammenarbeit verbessern, aber auch Sicherheitsrisiken mit sich bringen, wenn sie nicht ordnungsgemäß verwaltet werden. Eine unzureichende Einführung von MFA, unüberwachte Gastkonten, riskante Integrationen von Drittanbieter-Apps und unachtsame Praktiken beim Dateiaustausch gehören zu den kritischsten Bedrohungsvektoren. Böswillige Akteure ändern ihre Taktik und setzen auf heimliche Methoden wie das Sammeln von Token und VPN-Maskierung. Daher ist es für Unternehmen wichtiger denn je, einen proaktiven Sicherheitsansatz zu verfolgen, Transparenz zu schaffen und Sicherheitsrichtlinien durchzusetzen.
Befolgen Sie diese Schritte, um Ihr Unternehmen vor neuen SaaS-Bedrohungen zu schützen:
- Aktivieren und setzen Sie die mehrstufige Authentifizierung (MFA) unternehmensweit und für alle Kunden durch.
- Wenden Sie nach Möglichkeit Regeln für den bedingten Zugriff auf Microsoft 365-Konten an.
- Bieten Sie Ihren Endnutzern fortlaufende Schulungen zum Thema Cybersicherheit an, um bewährte Sicherheitsverfahren zu festigen.
- Überwachen Sie wichtige SaaS-Produktivitätsanwendungen kontinuierlich auf ungewöhnliches oder verdächtiges Nutzerverhalten.
- Verfolgen Sie Aktivitäten im Bereich der Dateifreigabe, um potenzielle Datenexfiltration oder Bedrohungen durch Insider aufzudecken.
- Speichern Sie Daten zum bisherigen Nutzerverhalten und überprüfen Sie diese regelmäßig, auch wenn daraus noch kein bekannter Sicherheitsverstoß hervorgegangen ist.
- Untersuchen Sie alle Auffälligkeiten, die auf eine Bedrohung hindeuten könnten, und reagieren Sie umgehend darauf.
- Überwachen Sie OAuth-basierte Anmeldungen und vergessen Sie dabei nicht die SaaS-Anwendungen, die nicht von Google oder Microsoft stammen.
- Entfernen Sie regelmäßig inaktive oder unnötige Gastkonten, um das Sicherheitsrisiko zu minimieren.
- Erstellen Sie eine Bestandsaufnahme aller App-zu-App-Integrationen und bewerten Sie deren Auswirkungen auf die Sicherheit.
- Überprüfen Sie riskante Verhaltensweisen beim Dateiaustausch, um Datenlecks zu verhindern.
- Nutzen Sie Automatisierung, um risikoreiche Bedrohungsabläufe zu erkennen und sofort darauf zu reagieren.
Seien Sie neuen SaaS-Bedrohungen immer einen Schritt voraus. Laden Sie den SASI-Bericht 2025 herunter und erfahren Sie mehr über die neuesten SaaS-Trends, Experteneinblicke, Daten aus der Praxis und umsetzbare Strategien.
