IT Glossary
Ein Service Principal ist die Identität einer Anwendung in einem Microsoft-Entra-ID-Mandanten. Funktionsweise, Risiken und Abgrenzung zum Dienstkonto.
November 2, 2026
Ein Service Principal (Dienstprinzipal) ist eine nicht-menschliche Identität, die eine Anwendung oder einen Dienst in einem Microsoft-Entra-ID-Mandanten vertritt, und zugleich das Objekt, an dem ihre Berechtigungen, Rollenzuweisungen und Anmeldeinformationen hängen. Die App-Registrierung definiert die Anwendung einmal. Der Service Principal ist ihre lokale Instanz in jedem Mandanten, der sie nutzt, und erlaubt Software, sich zu authentifizieren und APIs aufzurufen, ohne dass sich eine Person anmeldet.
Die Risiken entstehen im Lebenszyklus, nicht im Konzept. Ein Service Principal, den eine inzwischen ausgeschiedene Person angelegt hat, hat keinen Besitzer mehr. Ein geheimer Clientschlüssel mit langer Gültigkeit gerät in Vergessenheit. Eine weitreichende Anwendungsberechtigung für Microsoft Graph, etwa das Lesen aller Postfächer, einmal von einem Administrator für ein Pilotprojekt erteilt, bleibt lange nach dessen Ende aktiv. Den Begriff gibt es auch in Kerberos: Dort identifiziert ein Service Principal Name (SPN) eine Dienstinstanz für Ticketanfragen, ein anderes Konzept.
Ein Unternehmen mit 300 Mitarbeitenden nutzt Microsoft Entra ID seit mehreren Jahren. Bei einer Sicherheitsprüfung listet das IT-Team die Unternehmensanwendungen im Mandanten auf und findet zum Beispiel 140: rund 30 aktiv genutzte, ein Dutzend von ehemaligen Mitarbeitenden angelegte ohne Besitzer und zwei mit der Anwendungsberechtigung Mail.Read aus einem Migrationsprojekt. Eine davon hat noch einen gültigen geheimen Clientschlüssel, den niemand zuordnen kann.
Die Bereinigung findet in Entra ID statt: jedem Service Principal einen Besitzer zuweisen, geheime Clientschlüssel wo möglich durch Zertifikate, Verbundanmeldeinformationen oder verwaltete Identitäten ersetzen und nicht mehr benötigte Berechtigungen entziehen. Corma deckt die SaaS-Seite ab: Die Plattform verbindet sich nativ mit Microsoft Entra ID, führt ein vollständiges Inventar der genutzten SaaS-Anwendungen mit Lizenzen und Verträgen und automatisiert Access Reviews mit Auditnachweisen, sodass das Team eine Referenzliste für den Abgleich mit dem Mandanten erhält.
Die App-Registrierung ist die globale Definition einer Anwendung, einmal im Heimmandanten angelegt. Der Service Principal ist die Instanz dieser Anwendung in einem bestimmten Mandanten, und dort werden Berechtigungen und Rollenzuweisungen vergeben.
Nein. Ein Dienstkonto ist ein Benutzerkonto, das ein Programm verwendet, meist mit Passwort geschützt. Ein Service Principal ist eine Anwendungsidentität in Entra ID mit eigenen Anmeldeinformationen und Berechtigungen und kann sich nicht interaktiv anmelden.
Nein. Ein Service Principal authentifiziert sich mit geheimem Clientschlüssel, Zertifikat oder Verbundanmeldeinformationen, nicht mit einem zweiten Faktor. Deshalb tragen der Schutz der Anmeldeinformationen und eng gefasste Berechtigungen seine Sicherheit.
Weisen Sie jedem Service Principal einen Besitzer zu, vergeben Sie nur die nötigen Berechtigungen, bevorzugen Sie Zertifikate, Verbundanmeldeinformationen oder verwaltete Identitäten gegenüber geheimen Clientschlüsseln und überprüfen Sie die Berechtigungen regelmässig.
