SaaS-Sprawl

Ein neues Tool ist schnell gebucht, eine Kreditkarte ist schnell gezückt und der Nutzen ist oft sofort spürbar: Das Team arbeitet schneller, die Kampagne geht früher live, die Abstimmung klappt endlich ohne endlose E-Mails. Genau so entsteht SaaS-Sprawl. Was als pragmatische Hilfe beginnt, wird in vielen Unternehmen zum Dauerproblem: Hunderte Cloud-Services, unklare Verantwortlichkeiten, doppelte Lizenzen, Sicherheitslücken und Dateninseln. Die Kosten steigen schleichend, während Transparenz und Kontrolle sinken.

Dieser Artikel zeigt Ihnen, wie Sie SaaS-Sprawl systematisch in den Griff bekommen. Sie erhalten einen praxisnahen Ansatz, der Strategie, Prozesse und Technik kombiniert. Ziel ist nicht, Innovation abzuwürgen, sondern die Vorteile von Cloud-Services sicher, kosteneffizient und compliance-gerecht nutzbar zu machen.

Was bedeutet SaaS-Sprawl?

SaaS-Sprawl beschreibt die unkontrollierte Ausbreitung von Software-as-a-Service-Anwendungen in einem Unternehmen. Dazu zählen klassische Business-Tools wie CRM, Projektmanagement oder HR-Systeme genauso wie Speziallösungen für Marketing, Design, Entwicklerteams oder Kundensupport. Häufig entstehen diese Tool-Landschaften ohne zentrale Steuerung, weil Fachbereiche Software eigenständig einkaufen und nutzen, oft an IT, Security oder Einkauf vorbei.

Typische Merkmale von SaaS-Sprawl sind:

• Es gibt keine vollständige Übersicht, welche Cloud-Services im Einsatz sind.
• Mehrere Tools erfüllen denselben Zweck, werden aber parallel bezahlt.
• Zugriffe sind nicht sauber verwaltet, zum Beispiel wenn ehemalige Mitarbeitende noch Accounts besitzen.
• Daten liegen verstreut in unterschiedlichen Systemen, teils ohne klare Regeln für Aufbewahrung oder Löschung.
• Verträge, Kündigungsfristen und Lizenzmodelle sind intransparent oder werden nicht aktiv gemanagt.

Wichtig: SaaS-Sprawl ist nicht gleichbedeutend mit Shadow IT. Shadow IT ist meist der Teil, der komplett außerhalb der offiziellen Prozesse stattfindet. SaaS-Sprawl umfasst auch offiziell eingeführte Tools, die über die Jahre wachsen, sich überlappen oder ohne konsequente Governance betrieben werden.

Warum entsteht SaaS-Sprawl?

Die Ursachen sind selten böser Wille. In den meisten Fällen ist SaaS-Sprawl eine logische Folge aus Tempo, Dezentralisierung und einem Markt, der den Einkauf extrem einfach macht.

Treiber in der Praxis

• Fachbereiche brauchen schnelle Lösungen, weil Projekte nicht warten können.
• SaaS lässt sich ohne Installation und oft ohne IT-Unterstützung starten.
• Freemium-Modelle senken die Einstiegshürde und verschleiern spätere Kosten.
• Remote Work und verteilte Teams erhöhen den Bedarf an Kollaborationstools.
• Abteilungen optimieren lokal, aber nicht global: Jede Einheit wählt das Tool, das ihr am besten passt.
• Fehlende Standards, etwa für SSO, MFA, Datenklassifizierung oder Beschaffung, führen zu Wildwuchs.

Ein zusätzlicher Verstärker ist die Schattenseite erfolgreicher Digitalisierung: Je mehr Prozesse digitalisiert werden, desto mehr spezialisierte Tools kommen ins Spiel. Ohne klare Leitplanken wächst die Landschaft schneller, als sie gesteuert werden kann.

Welche Risiken bringt SaaS-Sprawl mit sich?

SaaS-Sprawl ist kein reines Kostenthema. Die größten Schäden entstehen oft durch Sicherheits-, Compliance- und Produktivitätsrisiken, die erst spät sichtbar werden.

1) Kostenrisiko: Die stille Budgetexplosion

Einzelne Abos wirken harmlos, doch in Summe entsteht eine teure Parallelwelt. Typische Kostentreiber sind doppelte Tools, ungenutzte Lizenzen, falsche Lizenzstufen, Add-ons, automatische Verlängerungen und Teams, die aus Vorsicht zu viele Plätze buchen. Besonders teuer wird es, wenn mehrere Abteilungen dieselbe Kategorie abdecken, etwa Projektmanagement, Videokonferenzen, E-Signaturen oder Umfragetools.

2) Sicherheitsrisiko: Mehr Angriffsfläche, weniger Kontrolle

Jeder Cloud-Service ist eine potenzielle Eintrittstür. Risiken entstehen besonders dann, wenn Accounts nicht über SSO und MFA abgesichert sind, wenn Passwörter wiederverwendet werden oder wenn Berechtigungen zu breit vergeben sind. Häufig sind außerdem API-Token im Umlauf, die nicht überwacht werden, oder Integrationen, die umfangreiche Rechte erhalten, ohne dass jemand die Auswirkungen versteht.

3) Compliance-Risiko: DSGVO, Aufbewahrung, Nachvollziehbarkeit

Viele Unternehmen unterschätzen, wie schnell SaaS-Sprawl zu Compliance-Problemen führt. Beispiele sind fehlende Verträge zur Auftragsverarbeitung, unklare Datenstandorte, mangelhafte Löschkonzepte, fehlende Protokollierung, nicht dokumentierte Datenflüsse oder unkontrollierte Exporte. Besonders heikel wird es, wenn personenbezogene Daten, Kundendaten oder vertrauliche Dokumente in Tools landen, die nie für solche Inhalte vorgesehen waren.

4) Produktivitätsrisiko: Tool-Overload statt Effizienz

Zu viele Tools erhöhen kognitive Last. Mitarbeitende wechseln zwischen Oberflächen, suchen Informationen in mehreren Systemen und pflegen Daten doppelt. Wissen fragmentiert, weil Diskussionen, Dateien und Entscheidungen über Chat-Tools, Ticketsysteme, Notizapps und E-Mail verteilt sind. Das senkt die Effizienz, obwohl jedes einzelne Tool eigentlich helfen sollte.

5) Risiko für Datenqualität und Steuerbarkeit

Wenn Daten in isolierten SaaS-Systemen liegen, wird Reporting schwieriger. KPIs sind nicht vergleichbar, Datenmodelle widersprechen sich, und zentrale Initiativen wie BI, Prozessautomatisierung oder KI-Projekte scheitern an fehlender Datenbasis. SaaS-Sprawl kann damit direkt die strategische Steuerung behindern.

Frühwarnsignale: Woran erkennen Sie SaaS-Sprawl?

Viele Unternehmen merken erst spät, dass sie den Überblick verloren haben. Achten Sie auf diese Warnzeichen:

• Niemand kann zuverlässig sagen, wie viele SaaS-Tools aktiv genutzt werden.
• Mehrere Teams zahlen separat für ähnliche Lösungen.
• Der Einkauf erfährt von Tools erst, wenn Rechnungen auftauchen.
• Onboarding und Offboarding dauern lange, weil Zugänge manuell gepflegt werden.
• Security-Teams finden regelmäßig neue Tools in Browser-Logs oder Netzwerkdaten.
• Audits erzeugen Stress, weil Nachweise zu Datenverarbeitung oder Zugriffsrechten fehlen.
• Die IT wird als Bremse wahrgenommen, weil Standards fehlen und Entscheidungen ad hoc getroffen werden.

Wenn zwei oder drei Punkte zutreffen, lohnt es sich, das Thema strukturiert anzugehen. Je früher Sie handeln, desto weniger schmerzhaft ist die Bereinigung.

Der pragmatische Einstieg: Bestandsaufnahme in 30 Tagen

Sie brauchen keine perfekte Methode, um zu starten. Entscheidend ist, schnell Transparenz zu schaffen und daraus eine wiederholbare Routine zu machen. Ein bewährter Ansatz ist ein 30-Tage-Programm mit klaren Ergebnissen.

Woche 1: Datenquellen identifizieren und zusammenführen

Nutzen Sie mehrere Quellen, weil jede für sich blinde Flecken hat:

• Finanzdaten: Kreditkartenabrechnungen, Rechnungen, Buchhaltung, Kostenstellen und Lieferantenlisten zeigen, wofür Geld fließt.
• Identity-Daten: IdP-Logs, SSO-Anmeldungen, MFA-Status, Benutzerverzeichnisse und Gruppen geben Hinweise auf genutzte Apps.
• Netzwerk- und Proxy-Daten: DNS, Secure Web Gateway oder Firewall-Logs zeigen SaaS-Domains, die tatsächlich aufgerufen werden.
• Browser- und Endpunktdaten: Erweiterungen oder EDR-Insights können Cloud-Nutzung sichtbar machen, besonders bei Remote Work.
• ITSM und Einkauf: Tickets, Freigaben und Rahmenverträge liefern Kontext und Verantwortlichkeiten.

Ergebnis dieser Woche ist eine Roh-Liste von Tools mit Indikatoren zu Kosten, Nutzung und betroffenen Teams.

Woche 2: Inventar aufbauen und kategorisieren

Jetzt wird aus der Roh-Liste ein SaaS-Inventar. Das Inventar sollte mindestens enthalten:

• Tool-Name und Anbieter inklusive Domain.
• Verwendungszweck, zum Beispiel Projektmanagement oder E-Signatur.
• Betroffene Abteilung und ein verantwortlicher Tool-Owner.
• Art des Zugangs: SSO, lokale Accounts, Social Login oder API-Token.
• Datenarten: Werden personenbezogene, vertrauliche oder regulierte Daten verarbeitet?
• Vertrags- und Kosteninformationen: Laufzeit, Kündigungsfrist, Plan, Preis pro Nutzer.
• Integrationen: Welche anderen Systeme sind angebunden und mit welchen Rechten?

Kategorisieren Sie zusätzlich nach Risiko. Ein einfacher Start ist ein Ampelmodell:

• Grün: Unkritische Tools ohne sensible Daten, geringe Reichweite, einfache Ablösung.
• Gelb: Geschäftskritische Tools oder Tools mit relevanten Daten, aber mit überschaubarem Risiko.
• Rot: Tools mit sensiblen Daten, hohen Berechtigungen, fehlenden Kontrollen oder unklarer Rechtslage.

Woche 3: Eigentümerschaft und Entscheidungsregeln festlegen

SaaS-Sprawl ist oft ein Verantwortungsproblem. Definieren Sie pro Tool:

• Einen Business-Owner, der Nutzen, Budget und Prozessverantwortung trägt.
• Einen technischen Owner, der Integration, Zugriffsmanagement und Konfiguration verantwortet.
• Einen Data-Owner, der Datenklassifizierung, Aufbewahrung und Löschung steuert.

Setzen Sie außerdem eine einfache Regel ein: Kein Tool ohne Owner, kein Owner ohne Budget und keine Verlängerung ohne Review.

Woche 4: Quick Wins umsetzen und einen Regelbetrieb starten

Typische Quick Wins sind:

• SSO und MFA für die Top-10-Tools aktivieren, um die größten Risiken schnell zu senken.
• Unbenutzte Lizenzen zurückholen und Accounts von ausgeschiedenen Mitarbeitenden schließen.
• Dublette Tools identifizieren und eine Konsolidierungsentscheidung vorbereiten.
• Automatische Verlängerungen prüfen und bei Bedarf Kündigungsfristen sichern.

Parallel definieren Sie den Regelbetrieb: Wer pflegt das Inventar, wie werden neue Tools bewertet, und wie läuft ein quartalsweiser Review ab.

Governance: Leitplanken statt Verbote

Eine wirksame SaaS-Governance schafft Klarheit, ohne Innovationsfähigkeit zu blockieren. Sie besteht aus Regeln, Rollen, einem Standardprozess und einem Tool-Katalog.

Die wichtigsten Governance-Bausteine

• Cloud-Policy: Sie definiert Mindestanforderungen an Security, Datenschutz, Vertragsstandards und Datenklassifizierung.
• Beschaffungsprozess: Ein schlanker Prozess mit klaren SLAs verhindert, dass Teams aus Zeitdruck umgehen.
• Standardkatalog: Eine Liste freigegebener Tools pro Kategorie, inklusive Alternativen und Best Practices.
• Ausnahmeprozess: Wenn ein Team etwas Neues braucht, gibt es einen schnellen Weg, es sauber zu prüfen.
• Rezertifizierung: Wiederkehrende Prüfung von Nutzung, Zugriffen, Kosten und Risiko.

Rollen und Zusammenarbeit

SaaS-Sprawl wird selten von einer Abteilung allein gelöst. Erfolgreich sind Unternehmen, die ein kleines, handlungsfähiges Gremium etablieren, zum Beispiel ein SaaS Steering Committee. Typische Beteiligte:

• IT: Verantwortlich für Integration, Standardisierung, Lifecycle und Supportmodelle.
• Security: Verantwortlich für Zugriffskontrollen, Risikoanalyse, Monitoring und Incident-Prozesse.
• Datenschutz und Legal: Verantwortlich für Auftragsverarbeitung, Datenflüsse, Löschkonzepte und Vertragsklauseln.
• Einkauf und Finance: Verantwortlich für Verhandlungen, Vertragsmanagement, Budgetsteuerung und Kostenoptimierung.
• Fachbereiche: Verantwortlich für Use Case, Adoption und fachliche Anforderungen.

Ein bewährter Grundsatz lautet: Zentral steuern, dezentral nutzen. Die Zentrale bietet Standards, Sicherheit und Einkaufsvorteile, die Teams behalten Flexibilität innerhalb klarer Grenzen.

Technische Kontrolle: Identity, Zugriff und Konfiguration

Wenn Sie nur einen Hebel priorisieren wollen, dann ist es Identity. SaaS-Sprawl wird beherrschbar, wenn Zugänge zentral gesteuert, automatisiert provisioniert und sauber entzogen werden.

SSO, MFA und Conditional Access als Mindeststandard

• SSO reduziert Passwortchaos und schafft Sichtbarkeit über Anmeldungen.
• MFA senkt das Risiko kompromittierter Accounts erheblich.
• Conditional Access ermöglicht Regeln wie Geräte-Compliance, Standortprüfungen oder risikobasierte Anmeldung.

Setzen Sie ein klares Zielbild: Jede geschäftlich relevante SaaS-App muss über SSO laufen, mindestens für Mitarbeitende mit Zugriff auf sensible Daten. Für Tools, die kein SSO unterstützen, definieren Sie Alternativen oder kompensierende Kontrollen.

SCIM und automatisiertes Provisioning

Manuelle Benutzerpflege ist ein Treiber für SaaS-Sprawl und Sicherheitsrisiken. Mit SCIM oder vergleichbaren Mechanismen automatisieren Sie:

• Onboarding: Neue Mitarbeitende erhalten Zugänge nach Rolle und Teamzugehörigkeit.
• Rollenwechsel: Berechtigungen werden angepasst, ohne dass Tickets liegen bleiben.
• Offboarding: Zugänge werden zeitnah entzogen, inklusive Tokens und Integrationen.

Least Privilege und Berechtigungsdesign

Viele SaaS-Tools werden mit zu breiten Rechten betrieben, weil es schneller geht. Definieren Sie Rollenmodelle pro Tool, nutzen Sie Gruppen statt Einzelzuweisungen und prüfen Sie Admin-Rechte regelmäßig. Besonders kritisch sind globale Admins, API-Token mit Vollzugriff und Integrationen, die mehr lesen oder schreiben dürfen als nötig.

SSPM und Secure Configuration

Ein oft unterschätzter Faktor ist die Konfiguration der SaaS-Anwendungen selbst. Security-Features sind vorhanden, aber nicht aktiviert. Typische Felder sind:

• Sharing- und Freigaberegeln für Dateien und Links.
• Externe Kollaboration und Gastzugänge.
• Audit-Logs, Aufbewahrung und Alarmierung.
• OAuth-App-Controls und Token-Lebensdauer.

SaaS Security Posture Management (SSPM) oder ähnliche Ansätze helfen, Fehlkonfigurationen zu erkennen und Standards durchzusetzen.

Kontrolle über Daten: DLP, Verschlüsselung und Datenklassifizierung

Je mehr Tools, desto mehr Datenkopien. Datenkontrolle beginnt mit Klarheit: Welche Daten dürfen in welche Tools? Danach kommen technische Maßnahmen.

Datenklassifizierung als praktische Leitlinie

Eine schlanke Klassifizierung ist besser als eine perfekte, die niemand nutzt. Ein pragmatisches Modell besteht aus drei bis vier Stufen, etwa öffentlich, intern, vertraulich, streng vertraulich. Ordnen Sie jeder Stufe klare Regeln zu, zum Beispiel:

• Welche SaaS-Kategorien sind erlaubt?
• Ist externes Teilen möglich und wenn ja, unter welchen Bedingungen?
• Müssen Daten verschlüsselt werden oder in bestimmten Regionen liegen?
• Welche Logging- und Aufbewahrungsregeln gelten?

DLP und Kontrolle über Exporte

DLP-Maßnahmen können auf unterschiedlichen Ebenen greifen: im SaaS-Tool selbst, im CASB/SSE-Layer oder im Endpoint. Entscheidend ist, dass Sie die typischen Datenabflüsse adressieren: Freigabelinks, Downloads, Copy-Paste, API-Exports und Integrationen zu Dritttools.

Backup und Wiederherstellbarkeit

Viele gehen davon aus, dass SaaS automatisch ausreichend schützt. In der Praxis brauchen Sie trotzdem eine Antwort auf diese Fragen:

• Wie stellen Sie versehentlich gelöschte oder manipulierte Daten wieder her?
• Wie lange müssen Daten aufbewahrt werden und wie erfüllen Sie diese Fristen?
• Was passiert bei einem Account-Compromise, Ransomware über Synchronisation oder bei Fehlkonfigurationen?

Je nach Tool-Kritikalität kann ein dediziertes SaaS-Backup sinnvoll sein, besonders für Kollaboration, CRM oder Supportsysteme.

Kostenkontrolle: Von Lizenzchaos zu FinOps für SaaS

Um SaaS-Kosten zu kontrollieren, reicht es nicht, einmal im Jahr Verträge zu prüfen. Sie brauchen einen kontinuierlichen Prozess, der Nutzung, Bedarf und Verträge verbindet.

Die häufigsten Sparhebel

• Reclaiming: Entfernen Sie Lizenzen von inaktiven Nutzern und geben Sie sie gezielt neu aus.
• Right-Sizing: Wechseln Sie Nutzer mit geringem Bedarf auf günstigere Pläne.
• Konsolidierung: Reduzieren Sie Tool-Dopplungen und bündeln Sie Volumen für bessere Konditionen.
• Add-on-Kontrolle: Prüfen Sie, welche Add-ons wirklich genutzt werden und welche nur "vorsorglich" gebucht wurden.
• Renewal-Management: Etablieren Sie einen Prozess, der Kündigungsfristen sichert und Verhandlungen vorbereitet.

Usage-Metriken, die wirklich helfen

Für viele Tools ist nicht nur wichtig, ob ein Nutzer sich eingeloggt hat, sondern ob Kernfunktionen genutzt werden. Beispiele sind erstellte Tickets, veröffentlichte Kampagnen, aktive Projekte, erstellte Dashboards oder bearbeitete Dokumente. Definieren Sie pro Tool 1 bis 3 Nutzungskennzahlen, die den Wert abbilden, und verknüpfen Sie diese mit Lizenzentscheidungen.

Chargeback und Showback

Transparenz verändert Verhalten. Wenn Abteilungen sehen, welche Tools sie verursachen und wie hoch ungenutzte Lizenzen sind, steigt die Bereitschaft zur Konsolidierung. Sie müssen nicht sofort ein strenges Chargeback einführen. Schon ein quartalsweises Showback-Reporting kann Wirkung entfalten.

Konsolidierung: Weniger Tools, mehr Wirkung

Konsolidierung ist oft der schnellste Weg, SaaS-Sprawl nachhaltig zu reduzieren. Dabei geht es nicht darum, alles auf ein Tool zu zwingen, sondern bewusst zu entscheiden, welche Kategorien standardisiert werden und wo Speziallösungen sinnvoll bleiben.

Ein Entscheidungsrahmen für Tool-Kategorien

Bewerten Sie Tools in einer Kategorie anhand klarer Kriterien:

• Abdeckung der Kernanforderungen und Integrationsfähigkeit.
• Sicherheitsfunktionen wie SSO, MFA, Rollen, Logging und DLP-Optionen.
• Datenschutz und Compliance-Fähigkeit, inklusive Löschung und Export.
• Gesamtkosten über 12 bis 36 Monate, inklusive Add-ons und Admin-Aufwand.
• Nutzerakzeptanz und Schulungsaufwand.
• Exit-Fähigkeit: Wie gut kommen Sie wieder heraus, inklusive Datenexport und Migrationspfad?

Ein sinnvoller Ansatz ist, pro Kategorie einen Standard und maximal eine tolerierte Ausnahme zu definieren. Ausnahmen werden befristet, zum Beispiel auf 6 oder 12 Monate, und müssen begründet werden.

Lifecycle Management: Von der Einführung bis zum Exit

Viele Unternehmen konzentrieren sich auf den Einkauf, aber SaaS-Sprawl entsteht im Betrieb. Ein vollständiger Lifecycle hilft, Tools sauber zu steuern.

1) Anfrage und Bewertung

Gestalten Sie den Prozess so, dass Teams ihn gerne nutzen. Das gelingt, wenn Sie die Hürden niedrig halten und die Bearbeitung schnell ist. Eine gute Praxis ist ein kurzer Intake-Fragebogen, der Risiken sichtbar macht: Datenarten, Nutzerzahl, Integrationen, SSO-Fähigkeit, Vertragsbedarf und Kritikalität.

2) Onboarding und Konfiguration

Definieren Sie Standards, die beim Start umgesetzt werden:

• SSO, MFA und Rollenmodell sind eingerichtet.
• Standard-Gruppen sind angelegt und Provisioning ist automatisiert.
• Freigaberegeln und externe Kollaboration sind definiert.
• Audit-Logs sind aktiviert und Verantwortlichkeiten für Monitoring sind klar.

3) Betrieb und Review

Im Regelbetrieb sollte es mindestens quartalsweise Reviews geben. Dabei prüfen Sie Nutzung, Kosten, Berechtigungen, neue Integrationen und offene Risiken. Für kritische Tools kann ein monatlicher Blick sinnvoll sein, besonders bei stark wechselnden Teams.

4) Offboarding und Stilllegung

Stilllegung ist der Moment, in dem viele Risiken entstehen. Sorgen Sie für einen sauberen Plan:

• Datenexport und Archivierung sind definiert, inklusive Format und Verantwortlichkeit.
• Integrationen werden getrennt, Tokens widerrufen und Webhooks entfernt.
• Nutzerkonten werden deaktiviert und Lizenzen gekündigt.
• Aufbewahrungs- und Löschanforderungen werden erfüllt und dokumentiert.

5) Exit-Strategie als Pflichtpunkt

Fragen Sie bei jeder Einführung: Wie kommen wir wieder heraus? Eine Exit-Strategie schützt Sie vor Vendor Lock-in und macht Konsolidierung überhaupt erst realistisch. Dazu gehört auch, welche Daten Sie regelmäßig sichern und welche Abhängigkeiten, zum Beispiel Automationen, über die Zeit entstehen.

Tooling: Welche Technologien helfen gegen SaaS-Sprawl?

Prozess und Governance sind die Basis, aber Tools beschleunigen Transparenz und Automatisierung. Wichtig ist, dass Sie nicht versuchen, SaaS-Sprawl mit noch mehr ungeplanten Tools zu bekämpfen. Definieren Sie zuerst die Kernfähigkeiten, dann wählen Sie Technologie gezielt aus.

Typische Tool-Kategorien

• SaaS Management Platforms: Fokus auf Inventar, Nutzung, Lizenzoptimierung und Renewal-Management.
• CASB und SSE: Fokus auf Sichtbarkeit, Richtlinien, DLP, Shadow-IT-Erkennung und Zugriffskontrolle.
• SSPM: Fokus auf sichere Konfigurationen und Security-Checks in SaaS-Anwendungen.
• IAM und IdP: Fokus auf SSO, MFA, Provisioning und Berechtigungen.
• ITSM: Fokus auf standardisierte Prozesse, Genehmigungen, Tickets und Servicekataloge.
• FinOps- und Spend-Tools: Fokus auf Ausgaben, Vertragsdaten, Lieferanten und Kostentransparenz.

KPIs und Reifegrad: So messen Sie Fortschritt

Ohne Messung bleibt SaaS-Sprawl ein Dauerprojekt. Definieren Sie Kennzahlen, die zu Ihren Zielen passen, und messen Sie sie regelmäßig.

Sinnvolle KPIs

• Anzahl der SaaS-Apps im Inventar, getrennt nach Risiko (grün, gelb, rot).
• SSO-Abdeckung in Prozent für geschäftskritische Tools.
• MFA-Abdeckung und Anteil lokaler Accounts ohne zentrale Kontrolle.
• Anzahl inaktiver Lizenzen und monatliches Einsparpotenzial durch Reclaiming.
• Anteil der Tools mit definiertem Owner und dokumentiertem Datenprofil.
• Durchlaufzeit für Tool-Anfragen, damit Governance nicht zum Bremsklotz wird.
• Anzahl nicht rezertifizierter Admin-Rechte oder überfälliger Reviews.

Ein einfaches Reifegradmodell

Ein Reifegradmodell hilft, Prioritäten zu setzen. Es geht nicht darum, sofort "perfekt" zu sein, sondern Schritt für Schritt zu standardisieren.

Praxisbeispiel: So könnte ein 90-Tage-Plan aussehen

Ein realistischer Plan hilft, aus Analyse ins Handeln zu kommen. Hier ein Beispiel, wie ein mittelständisches Unternehmen den Start strukturieren kann.

Tag 1 bis 30: Transparenz und Risikoreduktion

• Das Team baut ein SaaS-Inventar aus Finance-, Identity- und Netzwerkdaten auf.
• Für die Top-20-Tools werden Owner benannt und die Datenarten grob klassifiziert.
• SSO und MFA werden für die wichtigsten Tools aktiviert, insbesondere für Kollaboration, CRM und HR.
• Offboarding wird priorisiert: Alte Accounts werden geschlossen, Tokens widerrufen und Admin-Rechte geprüft.

Tag 31 bis 60: Governance und Kosten

• Ein Standardkatalog wird veröffentlicht, inklusive klarer Regeln für Ausnahmen.
• Ein schlanker Beschaffungsprozess wird definiert, der schnelle Entscheidungen ermöglicht.
• Lizenzbereinigung startet: Inaktive Nutzer werden identifiziert, Pläne werden angepasst und Doppeltools markiert.
• Renewal-Termine werden zentral erfasst, damit Verhandlungen nicht unter Zeitdruck stattfinden.

Tag 61 bis 90: Konsolidierung und Regelbetrieb

• In zwei Kategorien wird konsolidiert, zum Beispiel Projektmanagement und E-Signatur, um sichtbare Erfolge zu erzielen.
• Quartalsreviews werden etabliert und im ITSM als Routine verankert.
• Baseline-Checks für SaaS-Konfigurationen werden eingeführt und für kritische Tools dokumentiert.
• Ein Dashboard zeigt KPIs wie SSO-Abdeckung, rote Apps, ungenutzte Lizenzen und anstehende Verlängerungen.

Wichtig ist die Kommunikation: Teams müssen verstehen, dass Governance nicht verbietet, sondern schützt und erleichtert. Wenn Standardtools schneller bereitstehen und Support verbessern, steigt die Akzeptanz deutlich.

Checklisten, die Sie sofort nutzen können

Checkliste für neue SaaS-Tools

• Der Use Case ist klar beschrieben und es ist festgehalten, welche Teams das Tool nutzen werden.
• Ein Business-Owner ist benannt, der Budget und Nutzen verantwortet.
• Es ist dokumentiert, welche Datenarten verarbeitet werden und ob personenbezogene oder vertrauliche Daten enthalten sind.
• SSO und MFA sind möglich oder es gibt eine dokumentierte, akzeptierte Kompensation.
• Provisioning und Offboarding sind geplant, idealerweise automatisiert über SCIM oder einen definierten Prozess.
• Integrationen und benötigte Berechtigungen sind aufgeführt, inklusive der Begründung für weitreichende Rechte.
• Vertragliche Grundlagen, Laufzeiten, Kündigungsfristen und Datenschutzanforderungen sind geprüft.
• Eine Exit-Strategie ist beschrieben, einschließlich Datenexport, Archivierung und Abschaltplan.

Quartals-Review für bestehende Tools

• Die Nutzung wurde geprüft und es ist entschieden, welche Lizenzen zurückgeholt oder umgestellt werden.
• Admin-Rechte und kritische Berechtigungen wurden rezertifiziert und unnötige Rechte entfernt.
• Neue Integrationen und OAuth-Apps wurden bewertet und nicht mehr benötigte Verbindungen entfernt.
• Audit-Logs und Sicherheitsfeatures sind aktiv und die wichtigsten Einstellungen entsprechen der Baseline.
• Renewal-Termine und Kostenentwicklung wurden aktualisiert, damit Verhandlungen frühzeitig starten können.
• Es ist dokumentiert, ob sich die Datenklassifizierung geändert hat, zum Beispiel durch neue Prozesse oder neue Datentypen.

Offboarding-Checkliste für Mitarbeitende

• Der Zugriff wird zentral entzogen, inklusive SSO, lokale Accounts und relevante Gruppen.
• API-Keys, Tokens, persönliche Integrationen und Geräte-Sessions werden widerrufen.
• Besitz von Objekten wird übertragen, etwa Dashboards, Automationen, Projekte oder Shared Drives.
• Postfächer, Tickets und Wissensartikel werden nach definierten Regeln archiviert oder übergeben.
• Lizenzplätze werden freigegeben und in den Pool zurückgeführt oder gekündigt, falls dauerhaft ungenutzt.

Die häufigsten Stolpersteine und wie Sie sie vermeiden

Stolperstein: Governance ist zu langsam

Wenn der Freigabeprozess Wochen dauert, werden Teams ihn umgehen. Arbeiten Sie mit klaren SLAs, Self-Service-Elementen und einem Standardkatalog, der häufige Bedarfe sofort abdeckt.

Stolperstein: Fokus nur auf Kosten

Kosten sind sichtbar, aber Sicherheits- und Datenrisiken sind oft größer. Priorisieren Sie rote Tools zuerst, selbst wenn die Einsparung dort kurzfristig klein wirkt.

Stolperstein: Inventar wird einmal erstellt und dann vergessen

Ein Inventar ist nur wertvoll, wenn es aktuell bleibt. Koppeln Sie Inventarpflege an bestehende Prozesse wie Einkauf, ITSM, Identity-Onboarding und Renewal-Management.

Stolperstein: Konsolidierung ohne Change Management

Tool-Wechsel scheitern häufig an fehlender Begleitung. Planen Sie Schulungen, Migration, Support und klare Cutover-Daten ein. Kommunizieren Sie Nutzen und reduzieren Sie Parallelbetrieb.

SaaS-Sprawl ist kein Zeichen von Chaos, sondern oft ein Zeichen dafür, dass Teams Lösungen finden, um schneller zu arbeiten. Die Aufgabe besteht darin, diese Dynamik in geordnete Bahnen zu lenken. Mit einem belastbaren Inventar, klarer Eigentümerschaft, Identity-zentrierten Kontrollen und einem pragmatischen Governance-Modell gewinnen Sie Transparenz, senken Risiken und sparen Kosten, ohne Innovation zu bremsen. Wenn Sie klein starten, Quick Wins liefern und den Regelbetrieb konsequent etablieren, wird aus dem Tool-Wildwuchs eine steuerbare Cloud-Services-Landschaft, die Ihr Unternehmen langfristig sicherer und effizienter macht.