Andrew Hanna
Tekunda Team
TL;DR: Seit Anfang September 2025 schränkt Salesforce den Zugriff auf nicht installierte Connected Apps ein und entfernt OAuth 2.0 Device Flow aus Data Loader. Diese Sicherheitsverbesserungen erfordern sofortiges Handeln von Admins, um Störungen bestehender Integrationen zu vermeiden.
Salesforce führte im September wichtige Änderungen an Connected App Security ein. Das verändert die Balance, und Vorbereitung ist entscheidend.
In den letzten Monaten zielte eine Welle von Voice-Phishing (“Vishing”) und Social-Engineering-Angriffen auf Salesforce-Kunden. Angreifer gaben sich als IT-Helpdesk aus, brachten Mitarbeitende dazu, OAuth-Zugriff für bösartige Apps zu gewähren, und nutzten diese Credentials zur Exfiltration von Kundendaten.
Prominente Opfer sind Google, wo Geschäftskontakte und Sales Notes gestohlen wurden, sowie Chanel, Farmers Insurance und LVMH-Marken wie Louis Vuitton, Dior und Tiffany & Co. Im Luftfahrtsektor meldeten Air France und KLM im August 2025, dass eine kompromittierte Third-party Customer-Service-Plattform Namen, E-Mail-Adressen, Telefonnummern und Loyalty-Programme-Details offenlegte.
Diese Vorfälle zeigen, warum Salesforce die Kontrolle über nicht installierte Connected Apps verschärft und OAuth Device Flow auslaufen lässt.
Als Salesforce-Admins balancieren wir Zugänglichkeit und Sicherheit. Nutzer brauchen ihre Tools, während Organisationen vor Bedrohungen geschützt bleiben müssen.
Die wichtigste Änderung ist einfach, aber wirksam: nicht installierte Connected Apps sind für die meisten Nutzer nicht mehr zugänglich. Wenn eine App nicht formell in der Org installiert ist, wird sie blockiert.
Das bedeutet:
Salesforce hat neue Wege für vertrauenswürdige Nutzer eingeführt, diese Einschränkungen zu umgehen, aber mit zusätzlicher Verantwortung:
Die Wirksamkeit hängt von den API Access Control-Einstellungen Ihrer Org ab.
Am 2. September 2025 wurde die OAuth Device Flow-Option für die automatisch installierte Data Loader App vollständig entfernt. Nutzer müssen zu password authentication oder OAuth Web Server Flow wechseln.
Die Antwort ist einfach: Sicherheit. Aktuelle Social-Engineering-Angriffe haben Salesforce-Nutzer dazu gebracht, bösartige Connected Apps zu autorisieren, die sich als legitime Tools wie Data Loader ausgaben. Diese Angriffe waren erfolgreich, weil sie die Lücke zwischen Nutzerkomfort und Organisationskontrolle ausnutzten.
Sicherheitsforscher weisen darauf hin, dass Gruppen wie ShinyHunters/UNC6040 telefonisches Social Engineering nutzen, um MFA zu umgehen und Mitarbeitende zur Genehmigung von OAuth Scopes zu bewegen. Nach Zugriff extrahieren Angreifer leise Customer-care Records und nutzen die Daten für Erpressung oder weiteres Phishing.
Wie Googles Threat Analysis zeigte, nutzten Angreifer keine Salesforce-Schwachstellen. Sie manipulierten Nutzer, um bösartigen Apps Zugriff zu geben. Mit einem “locked door”-Standard zwingt Salesforce Organisationen, bewusst zu entscheiden, welche Apps Nutzer öffnen dürfen.
Sofortige Maßnahme erforderlich: Gehen Sie zu Setup → Connected Apps OAuth Usage und prüfen Sie jede genutzte App.
Suchen Sie den “Install”-Button in der Actions-Spalte. Wenn er sichtbar ist, ist die App nicht installiert und betroffen.
Achten Sie bei der Prüfung auf:
Für jede identifizierte nicht installierte App:
Auditieren, installieren oder blockieren Sie Apps mit einem klaren Approval-Prozess. Nutzen Sie Serpent, um Berechtigungen zu verfolgen und Ihre Org sicher zu halten, ohne Delivery zu bremsen.
Vergeben Sie “Approve Uninstalled Connected Apps” nur wenn absolut nötig. Geeignete Kandidaten können sein:
⚠️ Hinweis: Dies ist eine Alles-oder-nichts-Berechtigung. Nutzer können jede nicht installierte Connected App autorisieren.
Wenn Nutzer auf Data Loader angewiesen sind:
Wenn Nutzer auf Data Loader angewiesen sind:
Nutzen Sie den Übergang, um Ihre Connected App Governance zu verbessern:
Verifizieren Sie Helpdesk-Anfragen und begrenzen Sie Third-party Access. Viele Breaches 2025 begannen, als Angreifer IT-Support imitierten und Service-desk Personal überzeugten, Credentials zu gewähren oder zurückzusetzen. Fordern Sie strenge Identitätsprüfung für jede Service-desk Aktion, erzwingen Sie MFA auf allen Konten, auditieren Sie Third-party App Scopes und entfernen Sie ungenutzte Integrationen. Prüfen Sie Connected Apps regelmäßig und widerrufen Sie langlebige Tokens, um den Schaden bei Kompromittierung zu begrenzen.
Lassen Sie Tekunda eine security-first DevOps-Strategie für Ihr Salesforce-Setup entwerfen, damit Sie auf Business Value fokussieren, während wir Governance übernehmen.
Der Rollout begann Ende August und läuft durch September:
Wichtig ist, dass nicht alles umgestellt wird. Das bleibt gleich:
Auch wenn Salesforce diese neuen Sicherheitskontrollen bereitstellt, bleibt Plattformsicherheit gemeinsame Verantwortung. Die stärksten technischen Kontrollen schützen nicht vor einem Nutzer, der durch Social Engineering Zugriff gewährt.
Nutzen Sie den Übergang, um Security Awareness zu stärken:
Diese Updates zeigen Salesforces Einsatz, Sicherheitslücken zu schließen und zugleich die Flexibilität der Plattform zu bewahren. Im Kontext aktueller Vorfälle, von Google und Chanel bis Air France–KLM, wird klar, warum die Einschränkung nicht installierter Apps und die Entfernung von OAuth Device Flow notwendig sind. Angreifer missbrauchen zunehmend Vertrauen und Komfort; Ihre Governance und Nutzerschulung müssen ebenso schnell weiterentwickelt werden.
Die Änderungen geben Admins mehr Kontrolle, verlangen aber auch proaktive Vorbereitung. Durch Audits von Connected Apps, Berechtigungsupdates und Nutzerschulung vermeiden Sie Störungen und stärken Ihre Sicherheitslage während des Rollouts.
Ihre Nutzer verlassen sich darauf, dass Sie die richtigen Türen offen und die falschen fest geschlossen halten.
Andrew Hanna
Serpent Team
Tekunda Team
Tekunda Team
Tekunda Team
Andrew Hanna