M365 Entra ID | Shadow-Tenants finden

Frag in einer beliebigen IT-Abteilung nach der Anzahl der eigenen Entra-Tenants. Die Antwort liegt fast immer unter der Wahrheit. Da ist der Test-Tenant aus dem Intune-Projekt von 2023, den niemand abgeräumt hat. Da ist der Tenant der zugekauften Firma, der noch eigenständig läuft.

Und da ist der Tenant, den ein Fachbereich mit einer Kreditkarte für ein Power-Platform-Experiment angelegt hat. Alle drei tauschen weiter Identitäten, App-Berechtigungen und Abrechnungsdaten mit deiner Produktivumgebung aus, ohne dass jemand ihre Konfiguration prüft.

Microsoft Entra Tenant Governance adressiert genau diese Lücke. Der Dienst ist seit dem 10. August 2026 allgemein verfügbar und im Entra-Update vom 1. September 2026 noch einmal zusammengefasst worden.

Tenant Governance besteht aus drei Bausteinen, die du unabhängig voneinander einsetzen kannst.

Was der Dienst nicht leistet: Er repariert nichts. Ein erkannter Drift bleibt stehen, bis du ihn im zuständigen Admin Center behebst oder die Baseline anpasst. Behandle das Ergebnis als Erkennung, nicht als Durchsetzung.

Tenant Governance kommt in zwei Stufen. Basic reicht bis Microsoft Entra ID P1, damit sind Governance-Beziehungen und Configuration Management abgedeckt. Related Tenants und die höheren Mengengerüste gehören zu Premium und setzen Microsoft Entra ID Governance oder die Entra Suite voraus.

Genau das ist der Haken für den Shadow-Tenant-Anwendungsfall: Die Entdeckungsfunktion, die den größten Aha-Effekt liefert, hängt an der teureren Stufe. Lizenzen brauchst du nur im steuernden Tenant und nur für die Administratoren, die den Dienst bedienen, nicht für jeden Benutzer und nicht im gesteuerten Tenant.

Rollenseitig brauchst du zwei verschiedene Konten. Für Related Tenants und Governance-Beziehungen genügt Tenant Governance Administrator. Für Configuration Management brauchst du Global Administrator oder Privileged Role Administrator, weil dort Graph-Anwendungsberechtigungen erteilt werden.

Die Entdeckung liegt im Entra Admin Center unter Tenant governance, Related tenants, und startet mit einem Klick auf Discover related tenants.

Ein Punkt gehört vor den Klick, nicht danach: Die Aktivierung ist endgültig. Du kannst die Entdeckung nicht wieder abschalten. Kläre vorher, ob die Sichtbarkeit von Partner- und Kundenbeziehungen in deiner Organisation zustimmungspflichtig ist, etwa gegenüber dem Betriebsrat oder dem Datenschutzbeauftragten. Die Signale sammeln sich danach über mehrere Tage an, eine vollständige Liste am ersten Tag gibt es nicht.

Die Liste allein bringt dich nicht weiter. Jeder Eintrag zeigt, über welche Signale er gefunden wurde und wie sich die Aktivität zwischen erster und letzter Messung entwickelt hat. Aus dieser Kombination leitest du die Einstufung ab.

Bevor du einen Rechteantrag stellst, brauchst du pro Tenant einen fachlichen Eigentümer und einen technischen Kontakt. Ohne diese beiden Namen läuft dein Antrag ins Leere, weil ihn im Ziel-Tenant niemand bestätigt. Der Antrag verfällt nach 14 Tagen, eine Einladung aus dem Ziel-Tenant nach 30 Tagen. Wer diese Vorarbeit überspringt, sammelt abgelaufene Anträge statt gesteuerter Tenants.

Die Rechte definierst du nicht pro Tenant, sondern in einer Governance Policy Template unter Tenant governance, Templates. Darin legst du fest, welche integrierten Entra-Rollen an welche Sicherheitsgruppen deines steuernden Tenants gehen. Genau hier entscheidet sich das Least-Privilege-Niveau: Wer für alle Tenants Global Administrator hinterlegt, hat die Angriffsfläche vergrößert statt verkleinert. Für reines Drift-Monitoring reicht Lesezugriff.

Der weitere Ablauf hängt davon ab, ob zwischen den Tenants ein Abrechnungssignal existiert. Teilen sich beide ein Abrechnungskonto, genügt der zweistufige Weg: Du sendest unter Governed tenants einen Governance Request, ein Administrator im Ziel-Tenant nimmt ihn unter Governing tenants, Received requests an. Fehlt das Abrechnungssignal, kommt eine Stufe davor: Der Ziel-Tenant lädt dich zuerst ein, danach folgen Antrag und Annahme.

Nach der Annahme prüfst du, ob ein Beziehungsobjekt in beiden Tenants existiert, ob die Cross-Tenant-Access-Einstellungen aktualisiert wurden und ob die GDAP-Rollenzuweisungen angekommen sind. Anmelden kannst du dich danach über die Portal-URL mit angehängter Tenant-Kennung, etwa https://entra.microsoft.com/{tenant-id}, mit deinen Anmeldedaten aus dem steuernden Tenant.

Configuration Management liest über einen eigenen Dienstprinzipal. Der bekommt seine Rechte nicht automatisch. Unter Tenant governance, Configuration management permissions erteilst du auf der Registerkarte Application permissions die Graph-Anwendungsberechtigungen für die Ressourcentypen deiner Baseline, für Conditional-Access-Richtlinien zum Beispiel Policy.Read.All. Auf der Registerkarte Entra roles kommen Rollen dazu, etwa Teams Reader für Teams-Ressourcen.

Der Stolperstein liegt bei Exchange, Security und Compliance: Diese Berechtigungen musst du zusätzlich in den jeweiligen Admin Centern vergeben. Fehlt eine davon, läuft der Monitor trotzdem, meldet aber für die betroffenen Ressourcen kein verwertbares Ergebnis. Prüfe deshalb nach dem ersten Lauf die Registerkarte Permissions am Monitor, bevor du dich auf die Zahlen verlässt.

Eine Baseline ist eine JSON-Datei, die Ressourcen und deren Soll-Werte beschreibt. Eine Conditional-Access-Richtlinie steckt beispielsweise in der Ressource microsoft.entra.conditionalaccesspolicy mit Eigenschaften wie State, IncludedGroups und ExcludedUsers.

Schreib die Datei nicht von Hand. Zieh stattdessen per Snapshot Job den Ist-Zustand deines Produktiv-Tenants, den du als Soll-Zustand betrachtest, und bearbeite ihn. Das Snapshot-Schema entspricht dem Baseline-Schema, du kannst das Ergebnis direkt weiterverwenden.

Zwei Grenzen musst du kennen. Ein Snapshot und der zugehörige Job werden nach sieben Tagen gelöscht. Lade die JSON-Datei sofort herunter und leg sie in deine Versionsverwaltung, sonst ist dein Referenzstand weg. Und eine Baseline fasst maximal 200 Ressourceninstanzen, über alle Monitore hinweg gilt eine Tagesgrenze von 800 Instanzen. Das zwingt zur Auswahl, und diese Auswahl ist eine fachliche Entscheidung: Nimm auf, was bei stiller Änderung wehtut, also Conditional Access, Authentifizierungsmethoden, Cross-Tenant-Access-Einstellungen, Gerätekonformität und Transportregeln.

Den Monitor legst du unter Tenant governance, Configuration management, Monitors an. Der Assistent führt dich durch Berechtigungsprüfung, Baseline-Upload mit Validierung und Bestätigung. Danach läuft er alle sechs Stunden. Auf das erste Ergebnis wartest du entsprechend bis zu sechs Stunden.

Schneide die Monitore entlang der betrieblichen Zuständigkeit, nicht entlang der Technik. Ein Monitor für Entra, einer für Exchange, einer für Intune. So landet ein Drift-Report bei dem Team, das ihn auch abstellen kann, und du kannst einzelne Baselines anpassen, ohne die anderen anzufassen.

Die Auswertung läuft über zwei Registerkarten. Monitor results zeigt Laufzeit, Status und die Anzahl gefundener Abweichungen. Configuration drifts zeigt die Abweichungen selbst, und über den Wert Drifted properties siehst du je Eigenschaft den Ist-Wert gegen den Soll-Wert.

Behoben wird nicht hier. Eine abweichende Conditional-Access-Richtlinie korrigierst du im Entra Admin Center oder per Graph PowerShell, eine abweichende Transportregel im Exchange Admin Center. Beim nächsten Lauf setzt der Monitor das Drift-Objekt automatisch auf fixed. Wenn die Abweichung fachlich richtig war, ändere stattdessen die Baseline. Beides ist ein gültiges Ergebnis, nur Ignorieren ist keins.

Der Rückstau entsteht nur, weil Tenants ungesteuert entstehen. Über die Option Governed Workforce legst du einen neuen Tenant an, der beim Erstellen automatisch eine Governance-Beziehung über die Standardvorlage bekommt.

Voraussetzung ist eine Vorlage mit der ID default und mindestens die Berechtigung Tenant Contributor auf einem Abonnement unter Microsoft Customer Agreement. Enterprise-Agreement-Abonnements werden nicht unterstützt. Ohne Standardvorlage entsteht der Tenant zwar, aber ohne Beziehung, und du fängst von vorne an.

Der Sicherheitsgewinn durch das Aufspüren von Shadow-Tenants ist der sichtbare Teil. Der belastbarere Teil ist die Beweislage.

ISO 27001:2022 verlangt in Anhang A unter 8.9 Konfigurationsmanagement, dass Konfigurationen von Hardware, Software, Diensten und Netzen festgelegt, dokumentiert, umgesetzt, überwacht und überprüft werden. Das Wort überwacht ist der Punkt, an dem die meisten Umgebungen im Audit ins Rutschen kommen: Die Soll-Konfiguration existiert als Word-Dokument, aber niemand kann zeigen, dass sie fortlaufend gegen die Realität geprüft wird. Für NIS2 gilt sinngemäß dasselbe, Artikel 21 verlangt technische und organisatorische Maßnahmen samt Wirksamkeitsnachweis.

Drift-Objekte liefern genau diesen Nachweis, und zwar in auditfähiger Form: betroffene Ressource, abweichende Eigenschaft, Ist-Wert, Soll-Wert, Zeitpunkt der Erkennung, Zeitpunkt der Behebung. Wenn du die Baseline zusätzlich in einer Versionsverwaltung führst, hast du die Änderungshistorie der Soll-Vorgabe gleich mit.

Tenant Governance ist kein Werkzeug, das du an einem Nachmittag ausrollst. Die Entdeckungsfunktion ist eine Einbahnstraße, die Premium-Lizenzierung ist eine Investitionsentscheidung, und die Governance-Beziehungen brauchen Gesprächspartner in jedem Ziel-Tenant, die du erst einmal finden musst. Der Aufwand liegt in der Organisation, nicht in der Technik.

Fang klein an. Aktiviere Related Tenants erst, wenn die Frage nach Datenschutz und Betriebsrat geklärt ist. Bau die erste Baseline gegen deinen eigenen Produktiv-Tenant und beschränke sie auf ein Dutzend Ressourcen, die dir wirklich wichtig sind. Beobachte einen Monat lang, was tatsächlich driftet, denn diese Liste sagt dir mehr über deine Änderungsprozesse als jedes Audit-Interview. Erst danach nimmst du fremde Tenants dazu.

Ein Hinweis zum Dokumentationsstand: Teile der Learn-Artikel tragen weiterhin den Preview-Vermerk, obwohl das Produkt seit August allgemein verfügbar ist. Mengengerüste und Menüpfade können sich daher noch verschieben. Prüfe Grenzwerte vor der Planung im eigenen Tenant nach, statt dich auf Zahlen aus Blogbeiträgen zu verlassen, meine eingeschlossen.