Definition Shadow IT | Schatten-IT Was ist Schatten-IT?

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

FAST LTA GmbH

FTAPI Software GmbH

Nutzen Mitarbeiter eigenmächtig IT-Ressourcen wie Hardware, Software oder IT-Services ohne Zustimmung oder Wissen der IT-Abteilung, spricht man von sogenannter Schatten-IT. Für die Mitarbeiter kann das praktisch sein, für das Unternehmen stellt Schatten-IT aber eine Gefahr für den Datenschutz, die IT-Sicherheit und die Compliance dar.

Als Schatten-IT (englisch Shadow IT) werden IT-Systeme, Anwendungen oder Services bezeichnet, die die Mitarbeiter eines Unternehmens ohne Wissen oder Zustimmung der zuständigen IT-Abteilung für ihre Arbeit verwenden. Die Ressourcen werden nicht vom IT-Bereich verwaltet und sind auch nicht in das IT-Service-Management des Unternehmens eingebunden. Mitarbeiter oder Fachabteilungen beschaffen die IT-Ressourcen eigenmächtig oder setzen für sie verfügbare IT-Ressourcen eigenmächtig ein. Das geschieht in der Regel ohne böswillige Absicht, denn für die Mitarbeiter ergeben sich durch den Einsatz von Schatten-IT Arbeitserleichterungen.

Schatten-IT ist für das Unternehmen aber mit zahlreichen Risiken und Gefahren verbunden. Die offiziell nicht genehmigte und nicht beaufsichtigte Nutzung ungeprüfter oder nicht freigegebener IT-Ressourcen birgt erhebliche Gefahren für den Datenschutz, die IT-Sicherheit und die Compliance im Unternehmen. Die Beliebtheit von Remote-Arbeitsmodellen und die zunehmende Nutzung von internet- und cloudbasierten Services haben in den letzten Jahren in vielen Unternehmen zu einer Zunahme der Schatten-IT geführt.

Schattenseiten moderner Zusammenarbeit

Warum Schatten-IT ein Risiko für Sicherheit und Produktivität ist

Was sind typische Ursachen für die Entstehung von Schatten-IT?

Schatten-IT entsteht üblicherweise, wenn Mitarbeiter oder Fachabteilungen bestimmte Anforderungen an die für ihre Arbeit benötigten IT-Ressourcen haben, diese aber nicht oder nur ungenügend von den offiziell von der IT-Abteilung bereitgestellten Services und Ressourcen abgedeckt werden. Ist dies der Fall, werden die Mitarbeiter oder Abteilungen oft selbst aktiv und begeben sich auf die Suche nach Lösungen, die ihre Anforderungen erfüllen.

Weshalb die offiziellen, internen IT-Lösungen nicht den Anforderungen der Mitarbeiter entsprechen, ist beispielsweise auf personell, finanziell oder fachlich schlecht ausgestattete oder überlastete IT-Abteilungen zurückzuführen. Anfragen nach bestimmten Anwendungen oder Tools aus den verschiedenen Unternehmensbereichen werden dann häufig zurückgestellt oder ungenügend bearbeitet. Reagiert die IT-Abteilung langsam oder gar nicht, beginnen die Mitarbeiter selbst, nach effizienteren, intuitiven Lösungen zu suchen. Eine hohe Autonomie der einzelnen Fachabteilungen, dezentrale Organisationsstrukturen und eine steigende Technologie-Affinität der Mitarbeiter fördern die Suche nach Alternativen oder die Entwicklung eigener Lösungen.

Weitere Ursachen für die Entstehung von Schatten-IT sind:

• schlechte organisatorische Abstimmung zwischen den Fachabteilungen und der zuständigen IT-Abteilung

• zu hohe oder zu geringe Formalisierung der Zusammenarbeit zwischen Fachabteilungen und dem IT-Bereich

• unklare Verantwortlichkeiten in der IT-Betreuung der Fachabteilungen

• einfache Zugänglichkeit von Anwendungen und Services außerhalb der offiziellen IT-Strukturen (zum Beispiel von Cloud-Diensten)

• fehlendes Bewusstsein der Mitarbeiter für die mit der Schatten-IT verbundenen Risiken

• mangelhafte Führung im Unternehmen

Unerwünschte und gefährliche Infrastruktur

Schatten-IT identifizieren und eliminieren

Was sind typische Beispiele für Schatten-IT in einem Unternehmen?

Schatten-IT kann alle Arten von IT-Ressourcen im Unternehmen betreffen. Sie umfasst Hardware, Software, Anwendungen, Tools, Apps oder IT-Services. Auch die nicht genehmigte oder nicht beaufsichtigte Verwendung von Anwendungen und Tools aus dem Bereich der Künstlichen Intelligenz fällt prinzipiell unter den Begriff der Schatten-IT. Für dieses Szenario wurde der an Schatten-IT angelehnte Begriff Schatten-KI geschaffen.

Typische Beispiele für Schatten-IT in einem Unternehmen sind:

• die Verwendung von privaten Cloud-Speicherdiensten wie Dropbox, Microsoft OneDrive oder Google Drive und andere für den Austausch geschäftlicher Daten oder Dokumente

• die Verwendung von privaten Messenger-Diensten wie WhatsApp, Zoom, Signal oder Telegram für die Kommunikation mit Mitarbeitern, Kunden oder Geschäftspartnern

• die Verwendung von privaten E-Mail-Accounts für die geschäftliche Kommunikation

• die Verwendung von eigenen oder selbst beschafften mobilen Geräten wie Laptops, Smartphones oder Tablets für geschäftliche Zwecke

• die Einbindung und Verwendung von nicht offiziell von der IT-Abteilung beschafften Geräten wie Druckern, Scannern, Netzwerkkomponenten (zum Beispiel Router oder Switches) oder Speichergeräten (zum Beispiel USB-Sticks oder externe Festplatten)

• die Nutzung von privaten oder nicht genehmigten SaaS-Anwendungen wie Office- oder Kollaborationstools

• die Nutzung von nicht offiziell vom Unternehmen freigegebenen KI-Anwendungen oder -Tools wie Chatbots oder Bildgeneratoren (zum Beispiel ChatGPT, Gemini, Copilot, DeepSeek, Midjourney, DALL-E und andere)

• die Nutzung von individuell entwickelter Software oder selbst programmierten Anwendungen (zum Beispiel eigenentwickelte Excel- oder Access-basierte Anwendungen)

• die Verwendung von nicht genehmigten Videokonferenz-Tools

• die Verwendung von nicht freigegebenen Produktivitäts-Apps der Kunden beispielsweise für die gemeinsame Projektarbeit

• die Nutzung von privaten Social-Media-Accounts für den geschäftlichen Austausch

Kommentar von Alexander Laubert, Lakeside Software

So verhindern Unternehmen Schatten-IT und Datenschutzverletzungen

Welche Risiken und Gefahren entstehen durch Schatten-IT?

Schatten-IT ist für die Unternehmen mit erheblichen Risiken und Gefahren verbunden. Sie werden durch die fehlende Kontrolle und mangelhafte Transparenz der eigenmächtig von den Mitarbeitern oder Fachabteilungen genutzten IT-Ressourcen verursacht. So können diese Ressourcen beispielsweise Sicherheitslücken oder Schwachstellen enthalten, die Datenlecks verursachen oder als Einfallstor für Cyberattacken und Malware dienen. Aufgrund der Nichtbeaufsichtigung durch die IT-Abteilung bleiben solche Sicherheitslücken oder Schwachstellen oft unbemerkt und werden nicht durch Sicherheitsupdates oder Patches behoben. Letztendlich kann Schatten-IT zu einem mehr oder weniger vollständigen Kontrollverlust über die IT-Ressourcen führen.

Schatten-IT stellt auch eine Gefahr für den Datenschutz und die Datensicherheit dar. Werden sensible geschäftliche Informationen oder personenbezogene Daten beispielsweise auf Cloud-Speichern von Anbietern aus Drittstaaten abgelegt, die die Anforderungen hinsichtlich des Datenschutzes und der Datensicherheit nicht erfüllen, kann es zu Datenschutzverletzungen, unbefugten Datenzugriffen oder zu unerwünschtem Datenabfluss kommen. Der Verstoß gegen Datenschutzrichtlinien und andere gesetzliche Vorschriften oder gegen branchenspezifische Vorgaben führt unter Umständen zu Compliance-Problemen und hat Geldstrafen oder rechtliche Konsequenzen für das Unternehmen zur Folge.

Ein weiteres Risiko bei der Verwendung von Schatten-IT sind Ineffizienzen im Unternehmen. Es entstehen unnötige Doppelstrukturen und eine unübersichtliche IT-Landschaft, die zu höherem Aufwand, Doppelarbeit und unnötigen Kosten im IT-Support und in der IT-Integration führen. Aufwendig bereitgestellte offizielle IT-Ressourcen bleiben unter Umständen ungenutzt oder werden von der Schatten-IT gestört. Geschäftsprozesse, die auf gemeinsam bereitgestellten Daten basieren, werden ineffizient oder fehlerhaft. Es drohen unternehmensweit inkonsistente Daten. Die Zukunftsfähigkeit und effiziente Planung der IT-Architektur und IT-Kapazitäten können ebenfalls beeinträchtigt sein. Schatten-IT beeinträchtigt unter Umständen auch die Ausführung von Veränderungsmaßnahmen wie Migrationen oder Updates.

Vertrauen ist gut, Kontrolle ist besser

Zero Trust – Kann Reste von Vertrauen enthalten

Welche Chancen bietet Schatten-IT?

Schatten-IT ist aber nicht ausschließlich mit Gefahren und Risiken verbunden. Sie kann auch positive Auswirkungen für ein Unternehmen haben. Sie stellt Lösungen für bisher ungelöste Probleme bereit und ermöglicht es, bestimmte Arbeitsaufgaben schneller und effizienter zu lösen. Es entstehen intuitive, individuelle und flexible Lösungen, die sich bei einem erfolgreichen Einsatz in die offizielle IT-Landschaft und in die offiziellen Arbeitsabläufe integrieren lassen. Bisher unentdeckte Verbesserungspotenziale werden erschlossen und Prozesse optimiert. Die Innovationskraft des Unternehmens steigt und Mitarbeiter arbeiten zufriedener und motivierter.

Mit welchen Maßnahmen kann die Entstehung von Schatten-IT verhindert werden?

Um das Entstehen von Schatten-IT wirksam zu verhindern, können verschiedene präventive Maßnahmen ergriffen werden. Zu diesen zählen beispielsweise eine offene Kommunikation und transparente, flüssige Prozesse zwischen den Fachabteilungen und den zuständigen IT-Bereichen. Ebenfalls sinnvoll sind eine schnelle und unkomplizierte Bereitstellung benutzerfreundlicher und effizienter IT-Lösungen, die Sensibilisierung der Mitarbeiter hinsichtlich der Risiken und Gefahren von Schatten-IT, die Definition klarer Richtlinien für die Nutzung von IT-Ressourcen und ein effektives Monitoring der IT-Landschaft mit geeigneten Überwachungs- und Analysetools, um inoffizielle Systeme und IT-Wildwuchs sofort zu erkennen und zu unterbinden.

(ID:50539010)