IT Glossary
SSPM überwacht die Sicherheitskonfiguration von SaaS-Anwendungen. Erfahren Sie, wo es aufhört und worin es sich von einem CASB unterscheidet.
August 7, 2026
SaaS Security Posture Management (SSPM) bezeichnet eine Werkzeugkategorie, die die Sicherheitskonfiguration der von einem Unternehmen genutzten SaaS-Anwendungen fortlaufend prüft, Fehlkonfigurationen und riskante Einstellungen erkennt und sie gegen eine Richtlinienbasis verfolgt. Sie beantwortet eine Frage, die die Authentifizierung nicht abdeckt: Die Person hat sich korrekt angemeldet, aber ist die Anwendung selbst sicher konfiguriert.
SSPM prüft die Anwendungen, an die es angebunden ist. Es kann nicht prüfen, wovon es nichts weiss, und in einem mittelständischen Bestand sind die unbekannten Anwendungen meist die riskantesten, gerade weil sie niemand bewusst konfiguriert hat. Posture Management auf 20 freigegebenen Tools ist weit weniger wert als ein vollständiges Inventar, gefolgt von Posture Management auf denjenigen, auf die es wirklich ankommt.
Ein Sicherheitsteam bindet SSPM an Google Workspace, Salesforce und Slack an und findet sofort 340 per öffentlichem Link geteilte Dateien sowie 22 OAuth-Anwendungen mit weitreichenden Geltungsbereichen. Die Feststellungen sind real und verdienen Korrektur. Der Bestand enthält jedoch 96 weitere Anwendungen, mehrere davon mit Kundendaten, keine davon im Umfang. Die Reihenfolge zählt: erst die Aufdeckung, dann die Posture. Corma liefert diese Aufdeckungsebene, einschliesslich der OAuth-Berechtigungen, die Anwendungen sichtbar machen, die niemand gemeldet hat.
Ein CASB steuert Zugriff und Datenfluss zu Cloud-Diensten, häufig in Echtzeit. SSPM bindet sich über APIs an und prüft die Konfiguration, es erkennt also eher, als dass es blockiert.
Nein. Cloud Security Posture Management deckt die Infrastruktur in öffentlichen Cloud-Umgebungen ab. SSPM deckt die Konfiguration von SaaS-Anwendungen ab.
Nur teilweise. Es sieht OAuth-Anwendungen, die an die überwachten Tenants angebunden sind, was ein nützliches Signal ist, aber nicht Anwendungen, die vollständig ausserhalb gekauft und genutzt werden.
Sicherheitsteams verantworten es üblicherweise, während anwendungsverantwortliche Personen die Feststellungen beheben, denn die meisten Fehlkonfigurationen liegen in Einstellungen, die nur die Anwendungsadministration ändern kann.
