Schatten-IT im Unternehmen
1. Wenn die IT den Überblick verliert
Ein privater Cloud-Speicher für den schnellen Datenaustausch, eine neue SaaS-Anwendung ohne Genehmigung oder ein KI-Tool, das einfach über den Browser genutzt wird: Schatten-IT, auch Shadow IT genannt, entsteht in Unternehmen oft schneller als gedacht.
Das Problem dabei: Die eingesetzte Software und andere Applikationen sind der IT-Abteilung häufig nicht bekannt und wurden entsprechend nicht auf Sicherheit, Datenschutz oder Compliance geprüft.
Für Unternehmen entsteht dadurch ein blinder Fleck und mit ihm verschiedene Sicherheitsrisiken.
2. Was ist Schatten-IT?
Als Schatten-IT werden Anwendungen, Geräte und IT-Dienste bezeichnet, die innerhalb einer Organisation ohne Wissen oder Genehmigung der zuständigen IT-Abteilung eingesetzt werden.
Typische Beispiele sind:
Dabei steckt hinter Schatten-IT nur selten eine böse Absicht. Zu den häufigsten Gründen gehört vielmehr, dass Mitarbeitende ihre Arbeit schneller erledigen, bestehende Arbeitsabläufe vereinfachen oder ihre Produktivität steigern möchten.
Genau diese einfache Nutzung neuer Technologie macht Schatten-IT jedoch zu einer Herausforderung für Unternehmen.
3. Warum entsteht Schatten-IT?
Neue Software ist heute innerhalb weniger Minuten verfügbar. Häufig genügen eine E-Mail-Adresse und wenige Klicks, und schon können Benutzer auf eine neue Plattform und deren Funktionen zugreifen.
Schatten-IT entsteht deshalb besonders dort, wo Mitarbeiter und Mitarbeiterinnen mit den vorhandenen Lösungen nicht weiterkommen oder interne Prozesse für die Genehmigung neuer Anwendungen als zu langsam und kompliziert empfinden.
Auch fehlendes Wissen über mögliche Risiken spielt eine Rolle. Nicht jedem ist bewusst, dass bereits das Hochladen einer Datei in einen nicht autorisierten Cloud-Dienst Auswirkungen auf Datenschutz, DSGVO und Informationssicherheit haben kann.
Für Unternehmen lohnt sich deshalb ein genauer Blick auf die Ursachen. Schatten-IT ist dabei nicht nur ein Sicherheitsproblem, sondern kann auch einen Einblick darin geben, an welchen Stellen die vorhandene IT-Infrastruktur und die bereitgestellten Lösungen den Anforderungen der Teams nicht gerecht werden.
4. Welche Risiken entstehen durch Schatten-IT?
Die zentrale Herausforderung besteht in der fehlenden Sichtbarkeit. Unternehmen können Anwendungen und Daten nur wirksam verwalten und schützen, wenn sie von deren Einsatz wissen.
Werden Anwendungen außerhalb der vorgesehenen IT-Strukturen genutzt, greifen etablierte Sicherheitsmaßnahmen möglicherweise nicht. Das kann zu Sicherheitslücken führen und das Risikomanagement erheblich erschweren.
Datenschutz und sensible Daten
Werden personenbezogene oder andere sensible Daten über nicht genehmigte Anwendungen verarbeitet, können Anforderungen aus Datenschutz und DSGVO verletzt werden.
Gleichzeitig ist möglicherweise nicht ausreichend geklärt, wo Informationen gespeichert werden, welcher Anbieter sie verarbeitet und wer Zugriff darauf erhält.
Fehlende Sicherheitskontrollen
Nicht autorisierte Anwendungen sind häufig nicht in das zentrale Security- und Berechtigungsmanagement eingebunden. Vorgesehene Zugriffskontrollen oder andere Sicherheitsfunktionen können dadurch umgangen werden.
Das erhöht das Risiko für Sicherheitslücken und erschwert es den Sicherheitsteams, einen möglichen Vorfall frühzeitig zu erkennen.
Fehlender Überblick über Unternehmensdaten
Verteilen sich Informationen auf verschiedene nicht genehmigte Dienste und Plattformen, verliert die Organisation zunehmend die Kontrolle darüber, wo Daten gespeichert werden und wer darauf zugreifen kann.
Besonders problematisch kann dies werden, wenn Mitarbeitende das Unternehmen verlassen oder ein genutzter Dienst nicht mehr zur Verfügung steht.
5. Von Schatten-IT zu Schatten-KI
Mit dem zunehmenden Einsatz generativer KI erhält auch das Thema Schatten-IT eine neue Dimension. KI-Anwendungen lassen sich häufig direkt über den Browser nutzen und benötigen weder eine Installation noch eine klassische Einbindung in die bestehende IT‑Infrastruktur. Dadurch kann ihre Nutzung für IT- und Sicherheitsteams schwer sichtbar sein.
Bei sogenannter Shadow AI nutzen Mitarbeiter und Mitarbeiterinnen KI-Anwendungen, die vom Unternehmen nicht geprüft oder freigegeben wurden. Besonders relevant ist dabei, welche Informationen an diese Systeme übermittelt werden. Kundendaten, interne Dokumente, Quellcode oder Geschäftsgeheimnisse können beispielsweise bei der Erstellung von Texten, Zusammenfassungen oder Analysen in externe Systeme gelangen.
Neben Datenschutz und Compliance entstehen dadurch weitere Fragen: Wie verarbeitet der Anbieter die eingegebenen Daten? Wer kann darauf zugreifen? Wie zuverlässig sind die erzeugten Ergebnisse? Und lässt sich später nachvollziehen, wie KI bei einer Aufgabe eingesetzt wurde?
Shadow AI erweitert die klassische Schatten-IT damit um neue Herausforderungen und sollte bei der IT- und KI-Governance ausdrücklich berücksichtigt werden.
6. Wie können Unternehmen Schatten-IT reduzieren?
Der erste Schritt ist, Sichtbarkeit über die tatsächlich eingesetzten Anwendungen zu schaffen. Unternehmen sollten erfassen, welche Software, SaaS-Dienste und Applikationen genutzt werden, und anschließend bewerten, welche Risiken damit verbunden sind.
Dabei können unter anderem folgende Fragen helfen: Welche Daten verarbeitet eine Anwendung? Wo werden sie gespeichert? Wer erhält Zugriff? Welche Sicherheitsfunktionen bietet der Anbieter? Und erfüllt die Anwendung die Anforderungen an Datenschutz und Compliance?
Ebenso wichtig sind klare und möglichst einfache Prozesse für neue Software. Mitarbeiter sollten wissen, welche Anwendungen genehmigt sind und wie sie zusätzliche Lösungen zur Prüfung einreichen können. IT- und Sicherheitsteams können so Anforderungen frühzeitig bewerten und geeignete Anwendungen sicher bereitstellen.
Ergänzend helfen technische Maßnahmen wie Zugriffskontrollen, ein zentrales Berechtigungsmanagement sowie regelmäßige Überprüfungen der eingesetzten Dienste. So können Unternehmen Risiken frühzeitig erkennen und ihre IT-Landschaft kontrolliert verwalten.
Damit entsteht ein strukturierter Umgang mit neuen Anwendungen, bei dem Sicherheit, Compliance und produktives Arbeiten miteinander verbunden werden.
7. Mitarbeiter für Schatten-IT sensibilisieren
Technische Maßnahmen und klare Prozesse sind wichtige Bausteine im Umgang mit Schatten-IT. Ebenso entscheidend ist jedoch, dass Mitarbeitende die damit verbundenen Risiken kennen und im Arbeitsalltag richtig einschätzen können.
Regelmäßige Schulungen und Awareness-Maßnahmen vermitteln wichtige Kenntnisse zu Datenschutz, Unternehmensdaten und dem sicheren Einsatz von Software und Cloud-Diensten. Dabei sollte auch erklärt werden, warum bestimmte Anwendungen geprüft werden müssen und welche Folgen die Nutzung nicht autorisierter Dienste haben kann.
Gleichzeitig sollten alle im Unternehmen wissen, an wen sie sich wenden können, wenn eine benötigte Anwendung fehlt oder Unsicherheit bei einem neuen Tool besteht. Ein offener Austausch zwischen Fachbereichen, IT und Sicherheitsteams kann dazu beitragen, Anforderungen frühzeitig zu erkennen.
So wird der sichere Umgang mit IT-Anwendungen zu einem gemeinsamen Bestandteil der täglichen Arbeit und nicht allein zur Aufgabe der IT-Abteilung.
8. Fazit: Schatten-IT braucht klare Strukturen
Schatten-IT gehört in vielen Unternehmen zum Arbeitsalltag. Cloud-Dienste, SaaS-Anwendungen und KI-Tools ermöglichen es Mitarbeitenden, neue Lösungen schnell und unkompliziert einzusetzen. Gleichzeitig können dadurch Anwendungen und Daten außerhalb der vorgesehenen IT-Strukturen gelangen.
Umso wichtiger ist ein transparenter und strukturierter Umgang mit Schatten-IT. Unternehmen sollten wissen, welche Anwendungen genutzt werden, mögliche Risiken bewerten und klare Verantwortlichkeiten für den Einsatz neuer Software schaffen. Technische Sicherheitsmaßnahmen und verständliche Richtlinien gehören dabei ebenso dazu wie die Sensibilisierung der Mitarbeiter und Mitarbeiterinnen.
Eine gut aufgestellte IT-Governance schafft die notwendige Transparenz und Sicherheit und bildet damit die Grundlage für einen verantwortungsvollen Einsatz neuer Technologien im Unternehmen.
