# Schatten-IT im Mittelstand: unbekannte Tools finden, bewerten und ordnen > Warum Fachbereiche eigene Werkzeuge kaufen, welche Risiken daraus entstehen und wie Sie Schatten-IT sichtbar machen, bewerten und in einen geordneten Weg überführen, ohne Fachbereiche zu bestrafen. URL: https://techport.ai/it-beratung/entwickeln-und-beschaffen/schatten-it --- 1. [IT-Beratung](/it-beratung)/ 2. [Entwickeln und beschaffen](/it-beratung/entwickeln-und-beschaffen)/ 3. Schatten-IT in geordnete Bahnen bringen [Entwickeln und beschaffen](/it-beratung/entwickeln-und-beschaffen) # Schatten-IT in geordnete Bahnen bringen Von Redaktion techport.ai, IT-Beratung · Zuletzt aktualisiert am 21\. August 2026 Schatten-IT ist keine Verfehlung von Mitarbeitenden, sondern eine Rückmeldung. Sie entsteht, wenn ein Bedarf schneller da ist als eine Lösung, und sie wächst, wenn der offizielle Weg zu lange dauert. Ein Marketingteam bucht ein Werkzeug für Kampagnen, der Vertrieb nutzt einen Dienst für Angebote, die Produktion führt Listen in einem Cloud-Speicher, den niemand freigegeben hat. Das Problem ist nicht, dass diese Werkzeuge gut oder schlecht sind. Das Problem ist, dass Unternehmensdaten in Systemen liegen, die niemand geprüft hat, für die es keinen Vertrag gibt und die beim Ausscheiden der zuständigen Person verschwinden können. ## Woran Sie es merken * Auf der Kreditkartenabrechnung tauchen monatliche Beträge für Dienste auf, die niemand in der IT kennt. * Bei einer Kundenanfrage nach den eingesetzten Systemen ist die Liste unvollständig. * Beschäftigte melden Störungen in Anwendungen, von denen die IT noch nie gehört hat. * Nach einem Austritt ist unklar, wer Zugriff auf ein wichtiges Konto hat. ## Warum das passiert Fachbereiche kaufen Werkzeuge, weil sie ein Problem haben und weil es heute technisch möglich ist: Ein Dienst ist in zehn Minuten gebucht und braucht keine Installation. Der offizielle Weg dauert dagegen Wochen, endet manchmal mit einer Ablehnung ohne Alternative und wirkt deshalb wie eine Bremse. Solange die IT auf Anfragen mit Verzögerung oder mit Nein antwortet, ist Schatten-IT die rationale Reaktion. Sie verschwindet nicht durch strengere Regeln, sondern durch einen schnelleren Weg. ## So gehen wir vor 1. **Sichtbar machen ohne Schuldzuweisung.** Wir finden vorhandene Dienste über mehrere Wege: Abrechnungen und Kreditkartenbelege, Netzwerkdaten, Anmeldungen mit Firmenkonten und offene Gespräche in den Bereichen. Entscheidend ist die Ansage, dass es um Ordnung geht und nicht um Konsequenzen. 2. **Nach Risiko bewerten.** Wir bewerten je Dienst, welche Daten verarbeitet werden, wer Zugriff hat, ob ein Vertrag und eine Auftragsverarbeitung existieren, wo die Daten liegen und wie geschäftskritisch die Nutzung ist. Daraus entstehen drei Gruppen: übernehmen, ablösen, sofort stoppen. 3. **Übernehmen statt verbieten.** Was fachlich sinnvoll ist, wird offiziell: mit Vertrag, Konten auf Unternehmensebene statt auf Personen, geregelten Berechtigungen, Sicherung und einem benannten Eigentümer. Der Fachbereich behält sein Werkzeug, das Unternehmen bekommt die Kontrolle. 4. **Schnellen Weg anbieten.** Wir richten ein einfaches Verfahren ein, mit dem neue Werkzeuge in wenigen Tagen bewertet und freigegeben werden, mit klaren Kriterien und einer Standardprüfung. Ein Verfahren, das schneller ist als der Umweg, beendet das Problem dauerhaft. ## Was Sie davon haben * Eine vollständige Übersicht darüber, wo Unternehmensdaten tatsächlich liegen. * Verträge und Zugriffe, die auch nach einem Personalwechsel funktionieren. * Fachbereiche, die den offiziellen Weg nutzen, weil er der schnellere ist. ## Aus unseren Projekten Die wirksamste Maßnahme ist nicht die Suche, sondern die Ansage, dass die Nutzung ohne Konsequenzen offengelegt werden kann. In Projekten, die mit einer Amnestie beginnen, kommen innerhalb weniger Tage mehr Dienste ans Licht als über jede technische Erhebung. Der zweite regelmäßige Befund betrifft die Konten: Sehr häufig laufen geschäftskritische Dienste über das persönliche Konto einer Person, teilweise über deren private Mailadresse. Das ist meist der dringlichste Punkt, weil er unabhängig von Datenschutzfragen den Zugriff auf Unternehmensdaten an eine einzelne Person bindet. ## Gut zu wissen Wenn in einem selbst gebuchten Dienst personenbezogene Daten verarbeitet werden, gelten die Pflichten der DSGVO unabhängig davon, ob die IT davon weiß. Verantwortlich ist das Unternehmen, nicht der Fachbereich. Praktisch bedeutet das: Vertrag zur Auftragsverarbeitung nach Artikel 28, Eintrag im Verzeichnis der Verarbeitungstätigkeiten nach Artikel 30, Prüfung der technischen und organisatorischen Maßnahmen nach Artikel 32 und, bei Anbietern außerhalb der EU, eine tragfähige Grundlage für die Übermittlung. Werkzeuge mit KI-Funktionen kommen zusätzlich in die Einordnung nach der KI-Verordnung. ## Häufige Fragen Sollen wir unbekannte Dienste technisch blockieren? Blockieren hilft bei eindeutig unzulässigen Diensten und bei bekannten Risiken. Als Grundstrategie funktioniert es nicht, weil es zu Umwegen über private Geräte führt, die Sie dann gar nicht mehr sehen. Wirksamer ist die Kombination: wenige klare Verbote, ein schneller Freigabeweg und ein gutes Standardangebot für die häufigsten Bedürfnisse. Wie gehen wir mit einem Dienst um, der fachlich unverzichtbar geworden ist? Übernehmen und absichern, nicht abschalten. In der Praxis heißt das: Vertrag auf das Unternehmen umstellen, Zugänge auf Firmenkonten umziehen, Berechtigungen ordnen, Sicherung und Export prüfen und einen Eigentümer benennen. Erst danach lässt sich in Ruhe bewerten, ob es langfristig das richtige Werkzeug ist. ## Sprechen wir über Schatten-IT in geordnete Bahnen bringen Im Erstgespräch klären wir in dreißig Minuten, wo bei Ihnen der größte Hebel liegt und ob wir die Richtigen dafür sind. [Erstgespräch vereinbaren](/kontakt)[Unsere Software](/loesungen) ## Weiterführend [Entwickeln und beschaffenProzesse automatisieren mit Low-CodeWo Automatisierung sich rechnet, wie Low-Code sinnvoll eingesetzt wird, welche Regeln verhindern, dass daraus die nächste unwartbare Landschaft wird, und wie Sie den Nutzen messen.](/it-beratung/entwickeln-und-beschaffen/low-code-und-automatisierung)[Architektur und AnwendungenAnwendungslandschaft aufräumenWelche Systeme welchen Prozess tragen, wo Daten entstehen, was doppelt vorhanden ist und was ausläuft. Eine Übersicht, die Entscheidungen beschleunigt statt Ordner zu füllen.](/it-beratung/architektur-und-anwendungen/anwendungslandschaft)[IT-Governance und RechtDatenschutz technisch umsetzenDSGVO praktisch umgesetzt: technische und organisatorische Maßnahmen, Auftragsverarbeitung, Verzeichnis, Löschkonzept, Protokolldaten, Drittlandtransfer und Umgang mit Datenpannen.](/it-beratung/it-governance-und-recht/datenschutz-in-der-it)[WissenIT-Reifegrad-CheckIn zehn Minuten wissen, wo Ihre IT steht.](/it-beratung/reifegrad-check)[WissenIT-GlossarBegriffe aus IT, Software und Sicherheit, kurz erklärt.](/it-beratung/glossar) Zurück zum Feld [Entwickeln und beschaffen](/it-beratung/entwickeln-und-beschaffen) ## Quellen * [Artikel 30 DSGVO, Verzeichnis von Verarbeitungstätigkeiten](https://www.dsgvo-gesetz.de/art-30-dsgvo/) * [Artikel 32 DSGVO, Sicherheit der Verarbeitung](https://www.dsgvo-gesetz.de/art-32-dsgvo/) Rt Geschrieben von [Redaktion techport.ai](/ueber-uns), IT-Beratung Mehr als 15 Jahre Erfahrung in IT-Projekten des Mittelstands, Auswahl und Einführung von Unternehmenssoftware, Aufbau von IT-Betrieb und Informationssicherheit in wachsenden Organisationen. Diese Seite gibt den Stand zum angegebenen Datum wieder und ersetzt keine Rechtsberatung. Bei konkreten Fragen arbeiten wir mit Ihren Rechtsberatern zusammen. [Mehr über uns](/ueber-uns) Weiter im Angebot [ Software Individuelle Prozesssoftware für den Mittelstand. ](/loesungen)[ HR-Beratung Personalarbeit, Prozesse und Systeme. ](/hr-beratung)[ IT-Reifegrad-Check In zehn Minuten zur Standortbestimmung. ](/it-beratung/reifegrad-check)[ HR-Reifegrad-Check 24 Aussagen, Ergebnis je Themenfeld. ](/hr-beratung/reifegrad-check)[ Förderung BAFA-Zuschuss und über 50 Programme für die Umsetzung. ](/foerderung)[ Prozesse in der Praxis Wie aus Abläufen belastbare Software wird. ](/sop-praxis)[ Daten und KI Auswertungen, Prognosen und Assistenzsysteme. ](/daten-ki)[ Über uns Wer hinter techport.ai steht. ](/ueber-uns)