Unternehmen setzen zunehmend auf Microsoft Power Automate für komplexe Workflows – doch Sicherheitslücken gefährden die Automatisierung.
Die Integration des Common Data Service (CDS), heute als Dataverse bekannt, mit OAuth-gesicherten HTTP-Anfragen wird zum Standard für professionelle Automatisierungslösungen. Technische Experten veröffentlichten am heutigen Donnerstag detaillierte Methoden, wie Power-Automate-Flows auf Basis von Aktivitäten in Dataverse ausgelöst werden können – etwa wenn Datensätze wie Konto-Entitäten erstellt oder aktualisiert werden.
OAuth 2.0 als kritische Sicherheitsschnittstelle
Das Herzstück dieser Integrationen bildet die OAuth-2.0-Authentifizierung. Sie ermöglicht die sichere Kommunikation mit externen Systemen über eine mehrstufige HTTP-Anfragesequenz: Zunächst wird ein Zugriffstoken abgerufen, das dann in nachfolgenden Aufrufen zur Übertragung spezifischer Daten wie Organisationsnummern und global eindeutiger Konten-IDs (GUIDs) dient. Entwickler setzen zunehmend auf Variablen zur Verbesserung der Lesbarkeit und implementieren Bedingungsprüfungen, um Prozesse bei unpassenden Kundentypen vorzeitig zu beenden.
Massive Angriffswelle auf Azure CLI
Doch genau diese OAuth-Mechanismen werden zum Einfallstor. Zwischen dem 12. und 26. Juni führten Angreifer eine massive Password-Spray-Kampagne gegen die Azure CLI durch. Die Sicherheitsforscher registrierten über 81 Millionen Anmeldeversuche. Das Ergebnis: 78 kompromittierte Konten in 64 verschiedenen Organisationen.
Die Angreifer nutzten den Resource Owner Password Credentials (ROPC)-Flow, eine OAuth-Authentifizierungsvariante, um in falsch konfigurierten Umgebungen die Mehrfaktor-Authentifizierung (MFA) zu umgehen. Besonders betroffen waren Unternehmen, die auf die alleinige Absicherung durch Passwörter vertrauten.
KI-generierte Workflows: Neue Gefahren
Eine weitere Warnung betrifft KI-generierte Automatisierungsabläufe. Branchenexperten schlugen bereits Ende Juni Alarm: Diese Werkzeuge beschleunigen zwar die Entwicklung, können aber übermäßige Berechtigungen, unbemerkten Datenabfluss und Compliance-Verstöße verursachen. Ein konkretes Szenario: vertrauliche HR-Dokumente, die versehentlich in öffentliche Teams-Kanäle kopiert wurden.
Die 81 Millionen Password-Spray-Angriffe auf Azure CLI im Juni zeigen: OAuth-ROPC-Flows umgehen MFA und gefährden Ihre Automatisierung. Unser Report liefert die konkrete Checkliste zur Härtung Ihrer Power-Automate-Umgebung – von OAuth-2.0-Konfiguration bis KI-Workflow-Regeln. Jetzt kostenlosen Sicherheits-Report anfordern
Die Empfehlung der Sicherheitsexperten ist eindeutig: KI-generierte Automatisierung muss mit der gleichen Sorgfalt behandelt werden wie traditioneller Code. Das Prinzip der geringsten Privilegien und kontinuierliches Monitoring sind Pflicht.
OAuth-Breaches bei Drittanbietern
Die OAuth-Problematik beschränkt sich nicht auf Microsoft. Im Juni 2026 traf es den Salesforce-Integrator Klue: Ein Angreifer erbeutete CRM-Daten durch die Ausnutzung von OAuth-Tokens. Die Integration wurde umgehend deaktiviert, betroffene Organisationen mussten Tokens widerrufen und API-Aktivitäten streng überwachen.
Grenzen der Low-Code-Plattform
Power Automate steht zunehmend unter Druck. Eigenentwicklungen zum Auslagern von Dataverse-Anhängen auf SharePoint stoßen an Grenzen: API-Kontingente, Dateigrößenbeschränkungen und Parallelitätslimits bremsen ambitionierte Projekte aus.
Alternative Ansätze im Vergleich
Während Power Automate hochgradig anpassbar ist, positionieren sich spezialisierte Lösungen als Alternativen. Am 1. Juli berichteten Monday.com-Nutzer, dass aktuelle Workflow-Trigger für Spaltenänderungen neue Werte noch nicht als dynamische Variablen bereitstellen – Workarounds sind nötig. Dedizierte Lead-Routing-Tools bieten dagegen integrierte Funktionen wie Round-Robin-Verteilung und SLA-Countdowns ohne teure Premium-Builds (etwa 15 Euro pro Nutzer monatlich).
KI-generierte Workflows beschleunigen die Entwicklung, riskieren aber übermäßige Berechtigungen und Datenabfluss – wie zuletzt bei Klue. Unser Leitfaden zeigt, wie Sie das Prinzip der geringsten Privilegien durchsetzen und Compliance-Verstöße vermeiden. Sichere KI-Workflows jetzt umsetzen
Neue Architektur: Serverlose A2A-Gateways
Als Antwort auf die wachsende Komplexität entstehen neue Architekturmuster. Am 1. Juli wurden Details zu serverlosen Agent-to-Agent (A2A)-Gateways auf AWS veröffentlicht. Diese nutzen API Gateway, Lambda-Authentifizierer und Cognito OAuth 2.0 als zentralen Einstiegspunkt für KI-Agenten. Die Struktur unterstützt pfadbasiertes Routing und sicheren Zugriff über JWT-Scopes – ein Schritt hin zu robusterem, zentralisiertem Management automatisierter Agenten.
