Die Default-Environment-Falle in der Power Platform

Jeder Mitarbeiter, der eine Power Apps-, Power Automate- oder Microsoft 365-Lizenz besitzt, erhält automatisch Zugriff auf die sogenannte Standardumgebung (Default Environment) der Power Platform und wird dort ohne weiteres Zutun als Umgebungsersteller eingestuft. In dieser Umgebung gilt laut Microsoft nur eine begrenzte Kontrolle, neue Connectors landen standardmäßig in einer kaum eingeschränkten Datenrichtlinien-Kategorie (DLP), und weil buchstäblich jeder Nutzer bauen kann, wächst die Zahl privater Apps und Flows oft unbemerkt und unkontrolliert. Für IT-Verantwortliche in deutschen KMU bedeutet das: Ohne aktives Eingreifen wird aus einer Komfortfunktion schnell ein Governance-Risiko. Stand: Juli 2026.

Wer landet automatisch in der Standardumgebung der Power Platform?

Jeder lizenzierte Nutzer wird bei der ersten Anmeldung automatisch der Rolle Umgebungsersteller in der Standardumgebung zugewiesen, ganz ohne Freigabe durch einen Administrator. Microsoft legt pro Mandant genau eine Standardumgebung an, benannt nach dem Muster "{Mandantenname} (Standard)", und diese Umgebung lässt sich nicht löschen, sondern höchstens umbenennen. Anders als bei Produktionsumgebungen wird der Rolle Umgebungsadministrator in der Standardumgebung niemand automatisch zugewiesen, was laut Microsoft Learn sogar das Risiko einer administrativen Aussperrung schafft, wenn kein Systemadministrator bewusst benannt wird. Die Speicherkapazität ist mit 3 GB Datenbank, 3 GB Dateien und 1 GB Protokoll bewusst knapp gehalten, denn die Umgebung ist für persönliche Produktivität gedacht, nicht für Geschäftsprozesse.

Warum bietet die Standardumgebung nur minimalen Schutz vor Datenverlust?

Neue Connectors werden in der Power Platform standardmäßig der Kategorie "Nicht-Geschäftlich" zugeordnet, einer Datenrichtlinien-Gruppe (Data Loss Prevention, DLP), die kaum Beschränkungen mit sich bringt. Solange ein Administrator diese Standardzuordnung nicht aktiv auf "Blockiert" umstellt, kann praktisch jeder neue Connector ungeprüft in der Standardumgebung verwendet werden. Erschwerend kommt hinzu, dass sich einige Kern-Connectors, etwa der Office 365 Outlook-Connector, grundsätzlich nicht blockieren lassen. Genau dieser Connector erlaubt es, E-Mails im Namen des jeweiligen Postfachs zu versenden, weshalb Microsoft in seiner Anleitung "Standardumgebung absichern" ausdrücklich empfiehlt, den Exchange-Zugriff zusätzlich über Regeln auf dem Exchange Server abzusichern.

Wie entsteht der unkontrollierte Flow-Wildwuchs?

Weil in der Standardumgebung ausnahmslos jeder Nutzer Apps und Flows anlegen darf, wächst dort mit der Zeit ein organischer, kaum überschaubarer Bestand an Automatisierungen heran. Verlässt ein Mitarbeiter das Unternehmen, werden dessen Apps und Flows faktisch besitzerlos, bleiben aber technisch aktiv und laufen im Zweifel unbeaufsichtigt weiter. Microsoft empfiehlt in seinem Leitfaden zum Verwalten der Standardumgebung eine Faustregel für die Umgebungswahl: Wird eine App von einem bis zehn Nutzern verwendet, kann sie in der Standardumgebung bleiben, bei mehr als dreißig Nutzern oder vertraulichen Daten gehört sie in eine dedizierte, verwaltete Umgebung. Ohne regelmäßige Bereinigung verwaister Ressourcen sammeln sich in der Standardumgebung genau die Apps und Flows an, die niemand mehr betreut, aber trotzdem auf Unternehmensdaten zugreifen.

Wie sichern Sie die Standardumgebung wirksam ab?

Wirksamer Schutz entsteht aus einem Bündel kleiner, gut dokumentierter Maßnahmen statt aus einer einzelnen Einstellung. Sinnvoll sind insbesondere folgende Schritte:

• Umgebung umbenennen: Ein Name wie "Persönliche Produktivitätsumgebung" statt "{Mandant} (Standard)" macht den Zweck der Umgebung für alle Ersteller sofort erkennbar.
• Verwaltete Umgebungsfunktionen aktivieren: Managed Environments liefern zusätzliche Überwachungs-, Compliance- und Sicherheitskontrollen, die in der Standardumgebung standardmäßig fehlen.
• DLP-Standardgruppe auf Blockiert stellen: So werden neue Connectors erst nach bewusster Freigabe durch einen Administrator nutzbar, statt automatisch verfügbar zu sein.
• Freigabegrenzwerte setzen: Sie verhindern, dass Canvas-Apps und Flows unkontrolliert an große Nutzergruppen weitergegeben werden.
• Admin-Rollen sparsam vergeben: Die mächtige Power Platform-Administratorrolle sollte nur wenigen Personen zugewiesen werden, idealerweise zeitlich befristet über Privileged Identity Management.
• Bestand regelmäßig bereinigen: Verwaiste und seit Wochen ungenutzte Apps und Flows lassen sich über die Aktionsseite im Power Platform Admin Center oder das CoE Starter Kit identifizieren und entfernen.

Wer diese Absicherung nicht nebenbei erledigen, sondern von Grund auf richtig aufsetzen möchte, findet in der Power-Automate-Beratung von NordFlux Unterstützung bei Lizenzwahl, Governance und Umgebungsstruktur.

Häufige Fragen zur Default-Umgebung in der Power Platform

Kann man die Standardumgebung löschen?

Nein, die Standardumgebung lässt sich laut Microsoft nicht löschen, weil sie automatisch für jeden Mandanten angelegt wird und dauerhaft bestehen bleibt. Administratoren können sie lediglich umbenennen und ihre Nutzung über Datenrichtlinien, Freigabegrenzwerte und verwaltete Umgebungsfunktionen einschränken. Eine vollständige Stilllegung ist technisch nicht vorgesehen.

Was passiert mit Apps, wenn Mitarbeitende das Unternehmen verlassen?

Die Apps und Flows des ausgeschiedenen Mitarbeiters werden faktisch besitzerlos, bleiben aber technisch weiter aktiv, solange niemand sie bereinigt. Das gilt besonders in der Standardumgebung, weil dort keine automatischen Freigabeprozesse für neue Ressourcen greifen. Ohne festen Bereinigungsprozess sammeln sich solche verwaisten Objekte über Jahre unbemerkt an.

Ist die Standardumgebung für Produktivbetrieb geeignet?

Nein, Microsoft stuft sie ausdrücklich als Umgebung für Experimente und einfache Tests ein, nicht für produktive Geschäftsprozesse. Sie bietet keine Sicherungsgarantien im Sinne einer Produktionsumgebung, und die Kontrolle über Berechtigungen ist begrenzt, da alle lizenzierten Nutzer automatisch Ersteller sind. Geschäftskritische Apps und Flows sollten in eine dedizierte, verwaltete Umgebung verschoben werden.

Wie lassen sich riskante Apps in der Standardumgebung erkennen?

Am zuverlässigsten über die Aktionsseite im Power Platform Admin Center oder das kostenlose CoE Starter Kit von Microsoft, die beide Empfehlungen zu besitzerlosen, ungenutzten oder weit verbreiteten Apps liefern. Beide Werkzeuge zeigen zusätzlich an, welche Connectors in der Standardumgebung tatsächlich verwendet werden. Auf dieser Grundlage lässt sich entscheiden, welche Apps in eine besser abgesicherte Umgebung umziehen sollten.