Schatten-IT in geordnete Bahnen bringen
Von Redaktion techport.ai, IT-Beratung · Zuletzt aktualisiert am
Schatten-IT ist keine Verfehlung von Mitarbeitenden, sondern eine Rückmeldung. Sie entsteht, wenn ein Bedarf schneller da ist als eine Lösung, und sie wächst, wenn der offizielle Weg zu lange dauert. Ein Marketingteam bucht ein Werkzeug für Kampagnen, der Vertrieb nutzt einen Dienst für Angebote, die Produktion führt Listen in einem Cloud-Speicher, den niemand freigegeben hat.
Das Problem ist nicht, dass diese Werkzeuge gut oder schlecht sind. Das Problem ist, dass Unternehmensdaten in Systemen liegen, die niemand geprüft hat, für die es keinen Vertrag gibt und die beim Ausscheiden der zuständigen Person verschwinden können.
Woran Sie es merken
- Auf der Kreditkartenabrechnung tauchen monatliche Beträge für Dienste auf, die niemand in der IT kennt.
- Bei einer Kundenanfrage nach den eingesetzten Systemen ist die Liste unvollständig.
- Beschäftigte melden Störungen in Anwendungen, von denen die IT noch nie gehört hat.
- Nach einem Austritt ist unklar, wer Zugriff auf ein wichtiges Konto hat.
Warum das passiert
Fachbereiche kaufen Werkzeuge, weil sie ein Problem haben und weil es heute technisch möglich ist: Ein Dienst ist in zehn Minuten gebucht und braucht keine Installation. Der offizielle Weg dauert dagegen Wochen, endet manchmal mit einer Ablehnung ohne Alternative und wirkt deshalb wie eine Bremse. Solange die IT auf Anfragen mit Verzögerung oder mit Nein antwortet, ist Schatten-IT die rationale Reaktion. Sie verschwindet nicht durch strengere Regeln, sondern durch einen schnelleren Weg.
So gehen wir vor
- Sichtbar machen ohne Schuldzuweisung. Wir finden vorhandene Dienste über mehrere Wege: Abrechnungen und Kreditkartenbelege, Netzwerkdaten, Anmeldungen mit Firmenkonten und offene Gespräche in den Bereichen. Entscheidend ist die Ansage, dass es um Ordnung geht und nicht um Konsequenzen.
- Nach Risiko bewerten. Wir bewerten je Dienst, welche Daten verarbeitet werden, wer Zugriff hat, ob ein Vertrag und eine Auftragsverarbeitung existieren, wo die Daten liegen und wie geschäftskritisch die Nutzung ist. Daraus entstehen drei Gruppen: übernehmen, ablösen, sofort stoppen.
- Übernehmen statt verbieten. Was fachlich sinnvoll ist, wird offiziell: mit Vertrag, Konten auf Unternehmensebene statt auf Personen, geregelten Berechtigungen, Sicherung und einem benannten Eigentümer. Der Fachbereich behält sein Werkzeug, das Unternehmen bekommt die Kontrolle.
- Schnellen Weg anbieten. Wir richten ein einfaches Verfahren ein, mit dem neue Werkzeuge in wenigen Tagen bewertet und freigegeben werden, mit klaren Kriterien und einer Standardprüfung. Ein Verfahren, das schneller ist als der Umweg, beendet das Problem dauerhaft.
Was Sie davon haben
- Eine vollständige Übersicht darüber, wo Unternehmensdaten tatsächlich liegen.
- Verträge und Zugriffe, die auch nach einem Personalwechsel funktionieren.
- Fachbereiche, die den offiziellen Weg nutzen, weil er der schnellere ist.
Aus unseren Projekten
Die wirksamste Maßnahme ist nicht die Suche, sondern die Ansage, dass die Nutzung ohne Konsequenzen offengelegt werden kann. In Projekten, die mit einer Amnestie beginnen, kommen innerhalb weniger Tage mehr Dienste ans Licht als über jede technische Erhebung. Der zweite regelmäßige Befund betrifft die Konten: Sehr häufig laufen geschäftskritische Dienste über das persönliche Konto einer Person, teilweise über deren private Mailadresse. Das ist meist der dringlichste Punkt, weil er unabhängig von Datenschutzfragen den Zugriff auf Unternehmensdaten an eine einzelne Person bindet.
Gut zu wissen
Wenn in einem selbst gebuchten Dienst personenbezogene Daten verarbeitet werden, gelten die Pflichten der DSGVO unabhängig davon, ob die IT davon weiß. Verantwortlich ist das Unternehmen, nicht der Fachbereich. Praktisch bedeutet das: Vertrag zur Auftragsverarbeitung nach Artikel 28, Eintrag im Verzeichnis der Verarbeitungstätigkeiten nach Artikel 30, Prüfung der technischen und organisatorischen Maßnahmen nach Artikel 32 und, bei Anbietern außerhalb der EU, eine tragfähige Grundlage für die Übermittlung. Werkzeuge mit KI-Funktionen kommen zusätzlich in die Einordnung nach der KI-Verordnung.
Häufige Fragen
Sollen wir unbekannte Dienste technisch blockieren?
Blockieren hilft bei eindeutig unzulässigen Diensten und bei bekannten Risiken. Als Grundstrategie funktioniert es nicht, weil es zu Umwegen über private Geräte führt, die Sie dann gar nicht mehr sehen. Wirksamer ist die Kombination: wenige klare Verbote, ein schneller Freigabeweg und ein gutes Standardangebot für die häufigsten Bedürfnisse.
Wie gehen wir mit einem Dienst um, der fachlich unverzichtbar geworden ist?
Übernehmen und absichern, nicht abschalten. In der Praxis heißt das: Vertrag auf das Unternehmen umstellen, Zugänge auf Firmenkonten umziehen, Berechtigungen ordnen, Sicherung und Export prüfen und einen Eigentümer benennen. Erst danach lässt sich in Ruhe bewerten, ob es langfristig das richtige Werkzeug ist.
Sprechen wir über Schatten-IT in geordnete Bahnen bringen
Im Erstgespräch klären wir in dreißig Minuten, wo bei Ihnen der größte Hebel liegt und ob wir die Richtigen dafür sind.
Weiterführend
Zurück zum Feld Entwickeln und beschaffen