Least Privileged Report · Contoso GmbH · März 2026
MSP
Security Report
App Reg Security Report by au2mator
Generated on 12.03.2026 17:02 • Analysis period: last 30 days
Permissions
Credentials
Enterprise Apps
Azure & Dir. Roles
86
Apps Total
16
Aktiv
70
Stale
15
High Risk
15
Critical
App Name
Risk Level
Permissions
Perm Category
AzureServicePrincipal…
Critical
12
Excessive
PROD: Directory Management
Critical
11
Excessive
PROD: Cert Expiry Monitor
Critical
5
Excessive
PROD: Storage Upload Service
Critical
4
Excessive
PROD: Directory Services
Critical
6
Excessive
🏢340+ Graph Endpoints gemappt
⚡30 Min bis zum ersten Report
🔒0 extra Tools oder Agents
🇦🇹Made in Austria
Das Problem
Azure wächst. Die Permissions auch. Und irgendwann hat niemand mehr den Überblick.
Jede App Registration, jeder Service Principal, jede neue Automatisierung bringt neue Berechtigungen mit. Nach einem Jahr weiß niemand mehr, wer was darf. Und was schlimmer ist: niemand fragt.
📈
Unkontrolliertes Wachstum
App Registrations werden angelegt und nie wieder überprüft. Permissions häufen sich auf. Nach zwei Jahren hat jede App zu viele Rechte, für die sich niemand mehr zuständig fühlt.
⏱️
Manuelles Auditing ist eine Qual
Alles manuell zu prüfen kostet Stunden und ist fehleranfällig. Deshalb wird es selten bis nie gemacht. Bis ein Compliance Audit oder Sicherheitsvorfall es erzwingt.
🔓
Overprivilege öffnet Türen
Zu viele Berechtigungen sind ein Einfallstor. Für Angreifer, für Datenpannen, für Compliance Verstöße. ISO 27001, NIS2 und DSGVO haben da klare Erwartungen.
So funktioniert es
Vom Deployment zum Report in unter 30 Minuten.
Nativ in Azure Automation. Kein Agent, keine VM, keine neue Infrastruktur. Einfach ein Runbook in deinem bestehenden Setup.
1
Deployment
Ein PowerShell Runbook in deiner Azure Automation. Zwei App Registrations für Read-Zugriff. Konfiguration in unter 30 Minuten, keine Änderungen an bestehenden Systemen.
2
Automatische Analyse
Der Report scannt alle App Registrations, mappt genutzte API Endpunkte auf benötigte Permissions und klassifiziert jede App: Optimal, Excessive, Unmatched oder No Activity.
3
Report per Mail
Wöchentlich oder monatlich landet ein übersichtlicher HTML Report im Postfach. Mit Risikoklassifizierung, Empfehlungen und einer interaktiven Ansicht aller App Registrations.
Live Demo
Das ist kein Screenshot. Das ist ein echter Report.
Filtere nach Risikoklassen, klicke auf einzelne Apps, sieh dir Endpoint-Mappings an und verstehe sofort wo Handlungsbedarf besteht.
Beispieldaten eines echten Tenants. Anonym gesetzt.
au2mator LPR Demo Report
16
Aktiv
15
Excessive
15
Critical
AllCriticalHighExcessive
VeeamAzureApp…Critical
PROD: Directory ManagementCritical
PROD: Directory ServicesCritical
Features
Alles drin. Nichts Überflüssiges. Gebaut für Azure. Für Unternehmen jeder Größe.
Der LPR nutzt ausschließlich native Azure Automation Mittel. Keine externen Datenabflüsse, keine zusätzliche Infrastruktur, kein Vendor Lock-in.
🎯
3-stufige Permission Klassifizierung
Optimal, Excessive und Unmatched. Jede App Registration wird präzise eingestuft und bekommt konkrete Handlungsempfehlungen. Kein Raten, keine Interpretationsspielräume.
🗺️
340+ Graph Endpunkte gemappt
Vollständiges Mapping aller relevanten Microsoft Graph API Endpunkte zu den minimal benötigten Permissions. Wird mit jedem Update erweitert. Immer aktuell.
📊
Aktivitätsbasierte Analyse
Der Report schaut nicht nur welche Permissions existieren, sondern welche auch tatsächlich genutzt werden. Stale Apps mit 0 API Calls in 30 Tagen werden gesondert markiert.
⚡
Native Azure Automation
PowerShell 7.4, kein Agent, keine VM. Das Runbook läuft genau dort, wo deine Automatisierungen bereits laufen. Setup unter 30 Minuten, keine neuen Systeme.
📧
Professioneller HTML Report per Mail
Interaktive, filterbare HTML Ansicht direkt im Postfach. Kein Login, kein Portal, kein extra Tool. Einfach aufmachen und lesen. Mit au2mator oder eurem eigenen Branding.
🔒
Least Privilege by Design
Zwei App Registrations mit Read-only Rechten. Keine Managed Identity, keine Owner Berechtigungen. Was der Report analysiert, lebt selbst nach demselben Prinzip.
🏷️
White-Label für MSPs
Ihr eigenes Logo, eure Farben, eure Domain im Report. Perfekt für Managed Service Provider, die ihren Kunden Security Reporting als Bestandteil ihres Serviceangebots anbieten.
🔄
Zentral verwaltet, automatisch ausgerollt
Der LPR wird von au2mator auf GitHub gehostet, gewartet und weiterentwickelt. Neue Endpoint-Mappings und Features landen per Knopfdruck bei allen Kunden — ohne manuellen Aufwand eurer Seite.
🛡️
Eure Daten bleiben in eurem Tenant
Credentials bleiben bei euch. Das Runbook läuft in eurer Azure Automation. Kein Datenabfluss, kein externer Zugriff auf eure Umgebung. au2mator liefert nur die Logik — nicht mehr.
🇦🇹
DACH Support und Dokumentation
Vollständige Dokumentation auf Deutsch. Support auf Deutsch. Gebaut von einem österreichischen Unternehmen, das selbst täglich im Azure Mittelstandsumfeld arbeitet.
🔐
Secret & Zertifikat-Ablauf-Monitoring
App Registrations und Service Principals werden automatisch auf ablaufende Secrets und Zertifikate geprüft. Status-Ampel (Abgelaufen / Kritisch / Warnung / OK) direkt im Report — inklusive Ablaufdatum und verbleibende Tage.
NEU
🗂️
4-Tab Navigation im Report
Der Report ist in vier Tabs gegliedert: Permissions, Credentials, Enterprise Apps und Azure & Directory Roles. Jeder Tab ist sofort filterbar, durchsuchbar und sortierbar.
NEU
🔗
Enterprise Applications (SSO) Monitoring
Alle SSO-Apps (Calendly, Zoom, Salesforce & Co.) auf einen Blick: SSO-Modus (SAML/OIDC), letzte Anmeldung, Anzahl aktiver Nutzer und ablaufende Credentials — alles in einem eigenen Tab.
NEU
🛡️
Azure RBAC & Directory Roles
Vollständige Übersicht aller Service Principals mit Azure RBAC Rollen (Owner, Contributor, Reader etc.) und Entra Directory Rollen (Global Admin, Attack Simulation Admin etc.) — inklusive Hochrisiko-Markierung.
NEU
⛔
Fehlende Berechtigungen erkennen
Wenn eine App API-Calls macht und dabei 403 Forbidden zurückbekommt, zeigt der Report welche Endpoints betroffen sind. Echte Datenbasis aus Log Analytics — keine theoretische Analyse, keine False Positives.
NEU
🔍
Live-Suche & sortierbare Spalten
In allen vier Tabs: Live-Suche über alle Einträge, sortierbare Tabellenspalten und KPI-Cards als klickbare Filter. Der Report lässt sich in Sekunden auf das Wesentliche einengen.
NEU
📋
Detail-Modals für alle Einträge
Jede Zeile in jedem Tab ist klickbar. Ein Detail-Modal zeigt App-Details, Risikoanalyse, API-Aktivität, Endpoint-Mapping, Credentials und Rollen — alles auf einen Klick, ohne neues Fenster.
Report Aufbau
Was du siehst, was es bedeutet.
Jeder Report enthält eine komplette Bestandsaufnahme aller App Registrations mit Risikoklassifizierung, Permissionanalyse und konkreten Empfehlungen.
✅
Optimal
App nutzt genau die Permissions, die sie auch wirklich braucht. Kein Handlungsbedarf.
⚠️
Excessive
App hat mehr Permissions als sie nutzt. Klare Liste, was entfernt werden sollte.
🔍
Unmatched
App ruft Endpunkte ab, die im Permissions-Mapping nicht zugeordnet werden konnten. Manuell prüfen.
💤
No Activity
App hatte in den letzten 30 Tagen keine API Aktivität. Kandidat für Deaktivierung oder Löschung.
Wir deployen, warten, halten den Report aktuell und liefern euch monatlich das Ergebnis. Ihr müsst euch um nichts kümmern.
✓
Setup und Deployment durch au2matorWir konfigurieren alles in eurem Azure Tenant. Ihr müsst nur die Zugriffe freigeben.
✓
Monatlicher Report automatisch zugestelltPünktlich, vollständig, mit konkreten Empfehlungen. Direkt an eure gewünschten Empfänger.
✓
Updates und neue Endpoint-Mappings inklusiveMicrosoft erweitert Graph laufend. Wir halten das Mapping aktuell, automatisch.
Häufige Fragen
Was ihr wissen wollt.
Der LPR benötigt zwei App Registrations: eine Read-App für Graph Permissions (Application.Read.All, User.ReadBasic.All) und eine Mail-App für den Report Versand. Keine Owner Berechtigungen, keine Write-Rechte, kein Zugriff auf Mailboxen oder Dokumente.
Ihr benötigt einen Azure Log Analytics Workspace mit aktivierten Entra ID Sign-in und Audit Logs sowie eine Entra ID P1 oder P2 Lizenz. Beides wird für die Aktivitätsanalyse der letzten 30 Tage benötigt. Azure Automation und eine aktive Azure Subscription sind ebenfalls Voraussetzung.
Nein. Das Runbook läuft vollständig in eurer Azure Automation in eurem Tenant. Der fertige Report wird per Mail versendet, aus eurer Infrastruktur. Keine Daten werden an externe Systeme von au2mator übertragen. Wir sehen eure Tenant-Daten nicht.
Im Managed Service übernehmen wir das komplette Setup. Ihr müsst lediglich die zwei App Registrations im Azure Portal anlegen und uns die Credentials übergeben. Der Rest dauert unter 30 Minuten. Beim ersten run läuft der Report bereits vollständig.
Standardmäßig monatlich. Auf Wunsch auch wöchentlich. Das Schedule wird beim Setup konfiguriert und kann jederzeit angepasst werden. Der Analysezeitraum beträgt immer die letzten 30 Tage API Aktivität aus den Azure Log Analytics Workspaces.
Anfrage senden
Bereit für klare Azure Permissions?
Schreibt uns kurz — wir besprechen gemeinsam eure Azure Umgebung und erstellen ein individuelles Angebot. Kostenlos, unverbindlich.
MSP
