Die SaaS-Governance hat ihren Charakter verändert. Es geht nicht mehr nur darum zu wissen, wie viele Lizenzen existieren. Es geht darum zu verstehen, wo Daten fließen, welche Apps außerhalb des Katalogs eingeführt wurden, wie KI innerhalb und außerhalb der offiziellen Tools genutzt wird und wer Verantwortung trägt, wenn etwas vom Standard abweicht. Im Juni und Juli 2026 hob Gartner erneut Overspend, mangelnde Transparenz und Contract Sprawl als kombinierte Auswirkungen der Nutzung von SaaS und generativer KI hervor, während Microsoft die Kontrollen für Daten in Bewegung zwischen SaaS, KI-Apps und nicht verwalteten Repositories ausweitete. (gartner.com)
Was hat sich mit generativer KI in der SaaS-Governance verändert?
Die kurze Antwort lautet: Die Kontrollfläche ist dynamisch geworden. Früher bedeutete SaaS-Governance, Anwendungen zu erfassen, Einkäufe zu genehmigen, Berechtigungen zu prüfen und Verlängerungen zu verfolgen. Das ist weiterhin notwendig, reicht aber nicht mehr aus. KI bringt drei zusätzliche Ebenen der Komplexität: unsichtbare Tool-Nutzung, die Bewegung sensibler Daten in Prompts und Dateien sowie die Ausweitung von Agenten, die Aktionen ohne kontinuierliche menschliche Aufsicht ausführen. Gartner erklärte im April 2026, dass die Zahl der Agenten in Fortune-500-Unternehmen bis 2028 150.000 überschreiten könnte und nur 13 % der Organisationen glauben, für dieses Szenario über die richtige Governance zu verfügen. (gartner.com)
Die praktische Auswirkung ist leicht zu beschreiben und schwer zu korrigieren. Das Unternehmen verliert die Kohärenz zwischen Identität, Daten, Vertrag und Betrieb. Ein Team führt ein Tool ein, ohne Procurement einzubeziehen. Ein anderes erstellt eine KI-Automatisierung außerhalb des offiziellen Prozesses. Ein drittes teilt Daten in einer externen App. Für sich genommen wirkt all das klein. Zusammengenommen wird daraus Compliance-Risiko, versteckte Kosten und ein Verlust an Nachvollziehbarkeit.
Inline-Glossar
SaaS sprawl: Verbreitung von Anwendungen ohne Standardisierung oder zentrale Transparenz.
Contract sprawl: Verteilung von Verträgen, Verlängerungen und Klauseln auf mehrere Teams.
Shadow AI: Nutzung von KI-Tools ohne Genehmigung, Monitoring oder formale Richtlinie.
Umsetzbare Governance: Kontrolle, die nicht nur von Dokumenten abhängt, sondern im realen Nutzungsfluss angewendet wird.
Warum reicht ein App-Inventar nicht mehr aus?
Weil ein Inventar eine Momentaufnahme ist. Governance muss ein Film sein. Ein SaaS-Katalog zeigt, was gekauft oder genehmigt wurde. Er zeigt jedoch nicht automatisch, wer parallele Apps nutzt, welche Daten an externe Services gesendet wurden oder ob eine neue Integration das Risiko einer Anwendung verändert hat. Microsoft berichtete im Juli 2026, dass Daten heute kontinuierlich zwischen Endpoints, SaaS, KI-Apps und persönlichen Repositories fließen, was Echtzeitschutz statt bloßer nachträglicher Prüfungen erfordert. (techcommunity.microsoft.com)
Das verändert die Arbeitslogik von IT, Security und Operations. Das Team muss vier Landkarten gleichzeitig abgleichen: Identität, Nutzung, Daten und Kosten. Ist eine davon nicht aktuell, wird die Entscheidung schwach. Beispiel: Eine App kann im Inventar legitim erscheinen, aber übermäßige Berechtigungen, Traffic zu nicht genehmigten Domains und eine automatische Verlängerung ohne tatsächliche Nutzung haben. In diesem Fall ist nicht das Fehlen eines Tools das Problem. Es fehlt die Korrelation zwischen den Ebenen.
Die Konsequenz ist auch finanzieller Natur. Gartner hob im Juni 2026 hervor, dass SaaS-Management-Plattformen dabei helfen, Overspend, erhöhtes Risiko, mangelnde Transparenz und Contract Sprawl zu bewältigen. Das heißt: Verschwendung ist nicht länger nur finanziell. Sie ist zum Symptom schwacher Governance geworden. (gartner.com)
Wie gestaltet man eine Governance, die im Alltag funktioniert?
Die konkrete Antwort lautet: Governance in Schichten aufbauen. Nicht über abstrakte Gremien. Die effizienteste Struktur verbindet Discovery, Klassifizierung, Richtlinien, Enforcement und Audit. Jede Schicht beantwortet eine objektive Frage.
Erstens: Was existiert? Dazu gehören die Discovery von Apps, Integrationen, Konten und Datenflüssen. Zweitens: Was ist sensibel? Klassifizierung nach Datentyp, Kritikalität und Nutzungskontext. Drittens: Was darf passieren? Richtlinien für Zugriff, Freigabe, Aufbewahrung und KI-Nutzung. Viertens: Was wird blockiert oder behoben? Automatisches Enforcement über Identität, Gerät, Netzwerk oder App. Fünftens: Was wurde dokumentiert? Audit Trails für Nachweis und Untersuchung.
Diese Logik ist belastbarer, als von manuellen Genehmigungen abhängig zu sein. Gartner selbst betonte im Juni 2026, dass KI-Governance allgemeine Richtlinien hinter sich lassen und zu kontinuierlichen, technischen Kontrollen übergehen muss, die in den Workflow eingebettet sind. (gartner.com)
In der Praxis bedeutet das, Governance als internes Produkt zu behandeln. Es gibt ein Backlog. Es gibt Regeln. Es gibt Ausnahmen. Es gibt eine Wirksamkeitsprüfung. Und es gibt klare Owner. Ohne das wird Governance zum toten Dokument.
Welche Rolle spielen IT, Security, Procurement und Fachbereiche?
Die kurze Antwort: Niemand steuert SaaS allein. IT sieht Architektur und Integration. Security sieht Risiko, Identität und Daten. Procurement sieht Verträge, Preise und Verlängerungen. Die Fachbereiche sehen Produktivität und Adoption. Der häufige Fehler besteht darin, die gesamte Verantwortung einem einzigen Team zuzuweisen. Das Ergebnis sind Verzögerungen, Reibung und Bypass.
Das richtige Modell verteilt Verantwortlichkeiten, ohne Entscheidungen zu fragmentieren. IT definiert technische Standards. Security definiert Mindestkontrollen. Procurement steuert Beschaffung und Verlängerung. Bereichsleitungen validieren Bedarf und Kritikalität. Ist KI in SaaS integriert, kommt zudem eine Bewertung von Datennutzung, Aufbewahrung und automatisiertem Verhalten hinzu.
In reiferen Umgebungen kann dies mit einem Governance Center oder einem Netz gemeinsam genutzter Richtlinien operationalisiert werden. Entscheidend ist, dass die finale Entscheidung nicht von E-Mail, Tabellenkalkulation oder institutionellem Gedächtnis abhängt.
Welche Kennzahlen zeigen, ob die Governance reif ist?
Die klare Antwort lautet: Abdeckung, Risiko und Effizienz messen. Ohne diese Kennzahlen wirkt Governance bis zum ersten Vorfall gut. Die nützlichsten Metriken sind wenige und direkt.
Discovery-Abdeckung: Anteil identifizierter Apps, Integrationen und Konten im Verhältnis zur tatsächlichen Nutzung.
Richtlinienabdeckung: Anteil kritischer Apps mit aktiven Regeln für Zugriff, Freigabe und Aufbewahrung.
Zeit bis zur Behebung: Wie lange es dauert, übermäßige Berechtigungen, nicht genehmigte Apps oder gefährdete Verträge zu korrigieren.
Erkennungsrate von Shadow AI: Umfang der Nutzung nicht autorisierter Tools nach Bereich oder Profil.
Vermeidete Einsparungen: Gekündigte Lizenzen, neu verhandelte Verträge und aufgrund geringer Nutzung blockierte Verlängerungen.
Datenvorfälle in SaaS: Ereignisse wie Exposition, unzulässige Freigabe oder Übermittlung an externe Apps.
Diese Kennzahlen müssen zusammen betrachtet werden. Senkt das Team Kosten, erhöht aber Vorfälle, ist die Governance gescheitert. Senkt es Risiken, erzeugt aber übermäßige Reibung, ist sie ebenfalls gescheitert. Das Ziel ist operatives Gleichgewicht mit realer Kontrolle.
Microsoft betonte am 1. Juli 2026 ebenfalls die Notwendigkeit, zu erkennen, wie sensible Daten mit Shadow-AI-Tools und nicht verwaltetem SaaS geteilt werden, und dafür Echtzeit-Transparenz und Enforcement einzusetzen. Das zeigt, dass die Risikokennzahl den Datenfluss begleiten muss – nicht nur die statische Konfiguration. (techcommunity.microsoft.com)
Wie lassen sich Agenten und Automatisierungen kontrolliert einsetzen?
Die wichtigste Antwort lautet: Ein Agent darf nicht wie ein gewöhnlicher Nutzer agieren. Er benötigt eine eigene Identität, einen begrenzten Scope und einen Autorisierungsnachweis. Gartner warnte im April 2026 vor dem schnellen Wachstum von Agent Sprawl sowie vor dem Risiko von Oversharing, Datenverlust und Management-Komplexität. (gartner.com)
Das erfordert ein spezifisches Governance-Modell. Erstens braucht jeder Agent einen deklarierten Zweck. Zweitens müssen Berechtigungen minimal und zeitlich begrenzt sein. Drittens erfordern kritische Aktionen eine Genehmigung oder doppelte Validierung. Viertens müssen Logs erfassen, wer autorisiert hat, was ausgeführt wurde und auf welcher Datenbasis. Fünftens muss die Überprüfung regelmäßig erfolgen, weil sich Agenten schnell verändern.
Hier ist eine hilfreiche Unterscheidung angebracht. Automatisierung führt vorhersehbare Aufgaben aus. Agency trifft Entscheidungen innerhalb definierter Grenzen. Wenn ein Unternehmen beides ohne Regeln vermischt, verliert es seine Auditierbarkeit. Der reife Ansatz erlaubt Autonomie bei geringem Risiko und verlangt Kontrolle bei regulatorischen, finanziellen oder reputativen Auswirkungen.
In der Praxis reduziert das den Raum für „unsichtbare Automatisierung“, insbesondere in SaaS, die bereits KI-Funktionen integrieren. Das Problem ist nicht die Technologie selbst. Es fehlt an einer operativen Grenze.
Wo verbindet sich SaaS-Governance mit Strategie?
Die konkrete Antwort lautet: bei Kosten, Geschwindigkeit und Vertrauen. Ein Unternehmen mit schwacher Governance kauft mehr, als es nutzt, integriert mehr, als es kontrolliert, und reagiert mehr, als es plant. Ein Unternehmen mit reifer Governance kann neue Tools mit geringerem Risiko und mehr Planbarkeit einführen.
Das gilt insbesondere für wachsende Organisationen mit vielen Geschäftseinheiten, verteilten Teams und hohem Produktivitätsdruck. In diesem Szenario ist Governance keine Bremse. Sie ist ein Skalierungsmechanismus. Sie verhindert, dass jeder Bereich seinen eigenen Tool-Stack, seine eigenen Verträge und seine eigenen Ausnahmen schafft.
Hier können Plattformen wie Centriu als Orchestrierungsebene zum Einsatz kommen, doch der Kernpunkt bleibt derselbe: Governance muss operativ, messbar und kontinuierlich sein. Andernfalls sammelt das Unternehmen Tools an, nicht Fähigkeiten.
Was ist in den nächsten 90 Tagen zu tun?
Die hilfreichste Antwort lautet: klein anfangen und auf hohe Wirkung setzen. Drei Handlungsfelder reichen aus, um von der Diagnose in die Kontrolle zu kommen.
- Einheitliche Discovery: Apps, Konten, Integrationen und KI-Nutzung außerhalb des Katalogs erfassen.
- Risikoklassifizierung: Kritische, sensible, regulierte und verzichtbare Elemente trennen.
- Richtlinien mit Enforcement: Automatische Regeln für Zugriff, Freigabe und Verlängerung anwenden.
Anschließend sollte eine monatliche Review-Routine mit Procurement, Security und Fachbereichen etabliert werden. Es geht nicht darum, alles zu genehmigen. Es geht darum, Überraschungen zu reduzieren. Wenn ein Unternehmen Überraschungen reduziert, senkt es Kosten, beschleunigt Entscheidungen und verbessert seine Risikoposition.
SaaS-Governance ist 2026 keine administrative Funktion mehr. Sie ist eine Disziplin zur Steuerung des Ökosystems. Wer das Thema weiterhin als Inventar und Lizenzverwaltung behandelt, wird mit strukturellem Rückstand operieren. Wer es als lebendige Entscheidungsebene versteht, gewinnt mehr Transparenz, weniger Verschwendung und eine bessere Vorbereitung auf KI, Agenten und neue Softwarebeschaffungen.
Quer o passo a passo aplicado ao seu cenário?
Comece pelo e-mail — sem cadastro longo.
