Schatten-IT: Die Werkzeuge, von denen Ihre IT nichts weiß

Was ist Schatten-IT — und warum entsteht sie?

Schatten-IT ist alles, was im Unternehmen zum Arbeiten benutzt wird, aber nie freigegeben, erfasst oder betreut wurde: Programme, Cloud-Konten, Abos, Geräte, Chatgruppen.

Der wichtigste Punkt vorweg, weil er über den Umgang damit entscheidet: Schatten-IT entsteht fast nie aus Nachlässigkeit. Sie entsteht, weil jemand seine Arbeit erledigen wollte und der offizielle Weg fehlte, zu umständlich war oder zu lange gedauert hätte. Die 400-MB-Datei ging per Mail nicht raus, also lief sie über einen privaten Cloud-Speicher. Die Anfrage für ein Werkzeug lag drei Wochen bei der Geschäftsführung, also hat es jemand selbst abonniert.

Das heißt: Jedes Stück Schatten-IT ist zugleich ein Hinweis auf eine Lücke im offiziellen Angebot. Wer sie nur abschaltet, ohne die Lücke zu schließen, bekommt beim nächsten Mal denselben Umweg — nur besser versteckt.

Wo steckt sie im Mittelstand typischerweise?

Die Fundstellen wiederholen sich von Betrieb zu Betrieb erstaunlich genau:

• Private Cloud-Speicher für große Dateien, Fotos von der Baustelle, Pläne für den Kunden.
• Messenger auf privaten Handys — Kundendaten, Termine und Fotos in Chatgruppen, die niemandem gehören.
• Selbst abonnierte Werkzeuge, bezahlt über die private oder die Abteilungs-Kreditkarte, oft ohne Rechnung im Buchhaltungssystem.
• KI-Werkzeuge über private Konten — der praktisch häufigste Neuzugang der letzten zwei Jahre. Was dabei erlaubt ist, steht in KI und Datenschutz.
• Excel-Lösungen mit Eigenleben: eine Datei, an der die halbe Abteilung hängt, die niemand außer einer Person versteht.
• Eigene Geräte im Netz: ein privater Router im Büro, ein WLAN-Verstärker aus dem Elektromarkt, ein Drucker vom Zwischenlager.
• Alte Zugänge nach außen: ein Fernwartungsprogramm, das ein Lieferant einmal installiert hat und das seither läuft.

Welches Risiko entsteht dabei wirklich?

Nicht das Werkzeug selbst ist das Problem — die meisten sind für sich genommen solide gebaut. Das Problem ist, dass die Daten darin außerhalb aller Schutzmechanismen liegen, die Sie sonst haben:

• Kein Backup. Wenn das Konto gelöscht wird oder der Anbieter aufgibt, ist der Inhalt weg. Niemand vermisst ihn vorher.
• Kein Offboarding. Das Konto gehört einer Person, nicht dem Betrieb. Verlässt sie das Unternehmen, geht der Zugang mit — und das Unternehmen kommt an die eigenen Daten nicht mehr heran. Der geregelte Ablauf dazu steht in Konto, Gerät, Schlüssel.
• Keine Mehr-Faktor-Anmeldung. Private Konten haben oft nur ein Passwort — und häufig eines, das schon in einem Datenleck stand (warum MFA nicht verhandelbar ist).
• Kein Auftragsverarbeitungsvertrag. Wenn Kundendaten in einem Dienst liegen, mit dem Sie keinen Vertrag haben, ist das ein Datenschutzverstoß — unabhängig davon, wie sicher der Dienst technisch ist.
• Keine Sichtbarkeit im Ernstfall. Nach einem Vorfall müssen Sie sagen können, welche Daten betroffen waren. Was Sie nicht kennen, können Sie nicht beauskunften.

Dazu kommt der unspektakuläre Dauerschaden: Abos, die weiterlaufen und niemandem auffallen — dasselbe Muster wie bei ungenutzten Lizenzen.

Warum funktionieren Verbote nicht?

Weil ein Verbot die Ursache nicht berührt. Die Datei ist immer noch zu groß für die Mail, der Kunde will immer noch die Fotos von der Baustelle. Ein Verbot ändert nur eines: Ab jetzt erfahren Sie nicht mehr davon.

Genau das ist der teuerste Ausgang. Solange jemand offen sagt „ich schicke das über meinen privaten Speicher“, können Sie es geraderücken. Sobald er es für verboten hält, sagt er es nicht mehr — und Sie erfahren es beim Datenschutzvorfall.

Praktisch bewährt sich deshalb die umgekehrte Reihenfolge: erst einen guten offiziellen Weg anbieten, dann den inoffiziellen abschalten. Ein freigegebener Weg, große Dateien zu versenden, kostet einen halben Tag Einrichtung und erledigt den häufigsten Fall dauerhaft.

Wie finden Sie Ihre Schatten-IT?

Vier Wege, die zusammen einen guten Überblick geben — und die alle ohne Spezialsoftware auskommen:

• Rechnungen und Kreditkartenabrechnungen durchsehen. Wiederkehrende kleine Beträge an Software-Anbieter sind der schnellste Fund. Ein Quartal reicht.
• Microsoft 365 auswerten. Unter den registrierten Anwendungen sehen Sie, welchen Diensten Mitarbeitende Zugriff auf das Firmenkonto gegeben haben — häufig die größte Überraschung.
• Am Übergang ins Internet schauen. Firewall und DNS zeigen, welche Dienste tatsächlich genutzt werden. Das gehört ohnehin ins Monitoring.
• Fragen. Der unterschätzteste Weg. Eine offene Runde mit der Ansage „es gibt keinen Ärger, wir wollen es nur wissen“ bringt in einer halben Stunde mehr zutage als jedes Werkzeug — aber nur, wenn die Zusage auch gilt.

Was tun mit dem, was Sie finden?

Sortieren Sie jeden Fund in genau eine von drei Schubladen:

Übernehmen. Das Werkzeug ist sinnvoll und wird gebraucht — dann wird es offiziell: Firmenkonto statt Privatkonto, Vertrag inklusive Auftragsverarbeitung, Mehr-Faktor-Anmeldung, benannte Verantwortung, Aufnahme in Backup und Offboarding.

Ersetzen. Es gibt bereits etwas Gleichwertiges im Haus, das nur niemand kannte. Dann umstellen — und erklären, warum. Ob sich der Werkzeugkasten insgesamt lohnt zu verschlanken, behandelt Tool-Konsolidierung.

Abschalten. Es wird nicht mehr gebraucht, oder das Risiko ist nicht tragbar — etwa ein offener Fernzugang eines früheren Lieferanten. Vorher die Daten sichern, dann schließen. Warum gerade Dienstleister-Zugänge Aufmerksamkeit verdienen, steht in Datenleck beim Dienstleister.

Und dann der Schritt, den die meisten auslassen: festhalten, was jetzt der offizielle Weg ist — eine Seite, die sagt, womit man große Dateien versendet, womit man chattet, welches KI-Werkzeug freigegeben ist. Ohne diese Seite fängt die Sammlung in zwei Jahren von vorn an.

Was sollten Sie als Nächstes tun?

Nehmen Sie sich die letzten drei Monatsabrechnungen der Firmenkreditkarten und markieren Sie jede wiederkehrende Software-Position, die Sie nicht sofort zuordnen können. Das dauert zwanzig Minuten und ist erfahrungsgemäß der Moment, in dem das Thema aufhört, abstrakt zu sein.

Der zweite Schritt ist die ehrliche Frage dahinter: Welche Lücke hat jeden dieser Umwege ausgelöst? Wer die schließt, braucht kein Verbot — der inoffizielle Weg verliert dann von selbst seinen Zweck.

Wenn Sie den Überblick nicht selbst zusammentragen wollen: Wir erheben ihn im Rahmen der Betreuung, bewerten jeden Fund nach Übernehmen, Ersetzen oder Abschalten und halten anschließend fest, was der offizielle Weg ist.