Was ist Schatten-IT?
Unter Schatten-IT versteht man jede Software oder App und jedes digitale Gerät, das ohne Genehmigung und meist auch ohne jedes Wissen der IT-Abteilung und/oder Geschäftsführenden eingesetzt wird. Mit Blick auf den Datenschutz zählen auch Anwendungen dazu, die in einem legitimierten Browser genutzt werden, wie Webseiten von KI oder auch private E-Mail Programme und Clouds.
Was sind die Gründe für Schatten-IT?
Meist haben Mitarbeitende unterschiedliche Motivationen, um ihre eigenen Programme zu nutzen und diese nicht abzusprechen. Selten sind die Absichten jedoch wirklich böswillig und meist spielen verschiedene Gründe mit in die Entscheidung.
Fehlendes Bewusstsein
In Gesprächen mit Mitarbeitenden stellen wir ganz oft fest, dass wenig oder kein Bewusstsein für die Problematik von nicht autorisierter IT herrscht. Hinzu kommt, auch die Geschäftsführung ist oft ebenfalls nicht für dieses Thema sensibilisiert. Das ist auch verständlich, denn weder bei den Mitarbeitern noch bei der Geschäftsführung sind zwangsläufig Menschen, deren Fachgebiet in der IT liegt. Je nach Unternehmensstruktur wird die IT auch durch komplett externe Firmen geregelt, somit ist niemand im Unternehmen, der dieses Thema anspricht. Das Ergebnis einer solchen Struktur ist häufig, dass eine rege Schatten-IT herrscht, ohne das diese sinnvoll reguliert wird.
Effizienteres Arbeiten/Arbeitserleichterung
Manche Tools und vor allem KI-Werkzeuge versprechen ein vereinfachtes Arbeiten. Deshalb nutzen viele diese mittlerweile in allen möglichen Bereichen des täglichen Geschäftslebens. Text und Bilderstellung, programmieren von Code, Datenanalyse und Zusammenfassungen oder Recherche sind nur einige Einsatzgebiete in denen KI Anwendung findet. Das ist erst einmal prinzipiell nichts schlechtes, es wird aber selten genug reguliert. Wie schnell landet ein Protokoll aus einem Kundengespräch in der KI, um dieses zusammenzufassen? Wenn diese KI jedoch nicht lokal installiert und reglementiert ist, dann landen auf diese Weise auch Daten auf Fremdservern, die durch den DSGVO geschützt sind. Im schlimmsten Fall gibt es hier ein Datenschutzverstoß.
Handlungsfähigkeit
Der alte Fernseher im Meeting-Raum ist kaputt, also wird schnell ein Neuer bestellt. Neue Fernseher sind aber oft auch Smart-TVs und benötigen für ihre Funktion eine W-LAN Verbindung. Dazu muss man doch nicht extra die IT-Abteilung behelligen oder? Das kann doch jeder Mitarbeiter schnell selbst machen.
Aber ist das wirklich so? Leider ist das etwas zu kurz gedacht. Denn selbst über einen ungeschützten Smart-TV im Netzwerk können potentiell Hacker in das Firmennetzwerk eindringen. Entsprechend sollte der Fernseher durch Netzwerksegmentierung vielleicht nicht im gleichen virtuellen Netzwerk wie die Buchhaltung sein. Dies ist nur ein Beispiel für die bevorzugten kurze Wege. Man kennt dies auch mit Programmen, die mal eben benötigt werden, um einen bestimmten Dateityp zu öffnen. Selbst wenn diese Programme nicht schädlich sein sollten, bieten sie ein anderes Risiko. Einmal installiert verbleiben sie meist einfach auf dem Gerät und das ohne regelmäßige Aktualisierungen und Sicherheitsupdates.
Private Geräte und Clouds
Der Akku vom Diensthandy ist leer, aber man hat einen wichtigen Kundentermin? Kein Problem, einfach die wichtigen Infos in die private Dropbox und von da auf das private Handy und der Termin kann kommen. Auch das ist wieder ein Gedanke, der grundsätzlich erst einmal nicht boshaft ist, sondern nur eine Zeitersparnis darstellen soll. Aber sowohl private Geräte als auch eine nicht legitimierte externe Cloud sind in der Regel nicht DSGVO konform und es kann hier schnell zu Problemen kommen.
Ähnlich verhält es sich mit Messengern auf privaten Handys. Immer wieder tauschen Mitarbeiter Informationen über Kunden schriftlich aus. Dies geschieht häufig wenn die offiziellen Kommunikationswege als zu langsam wahrgenommen werden. Natürlich ist auch das mit Blick auf den Datenschutz nicht erlaubt.
Wieso ist Schatten-IT problematisch?
Grundsätzlich bietet Schatten-IT eine deutlich höhere Angriffsfläche für Cyberkriminelle. Programme sind unkontrolliert auf den Geräten und entziehen sich somit teilweise der Prüfung durch erfahrene Mitarbeitende aus dem IT-Bereich. Sie werden nicht aktualisiert und bestehende Sicherheitslücken nicht geschlossen. Hinzu kommt, dass nicht jedes Programm sicher ist. Darüber hinaus ist der Datenschutz ein wichtiges Thema vor allem dann, wenn Kunden Informationen außerhalb der autorisierten IT landen. Datenschutzverstöße können Unternehmen nicht nur sehr viel Geld kosten, sondern auch einiges an Reputation.
Damit einher gehen häufig Compliance Verstöße. Wenn ein Unternehmen beispielsweise eine ISO 27001 Zertifizerung erreicht hat oder sich an NIS2 Vorgaben halten muss, dann kann es eher passieren, dass durch die Schatten-IT diese Vorgaben unterlaufen werden. Die Konsequenzen sind Sanktionen und/oder der Verlust des Zertifikats.
Wie lässt sich Schatten-IT einschränken?
Oft entsteht Schatten-IT aus mangelnder Aufklärung heraus oder weil die standardisierten Prozesse zu langwierig erscheinen. Wir möchten Ihnen deshalb auch Lösungsvorschläge aufzeigen, wie man mit Schatten-IT umgeht oder sie wieder los wird.
Klare Kommunikation und ein Bewusstsein schaffen
Oft ist Mitarbeitenden nicht bewusst, welche Freiheiten für Ihre Arbeit gelten und wo Vorsicht geboten ist. Hier wäre es zunächst sinnvoll klare Regeln zu definieren, die dann durch die IT-Leitung oder die Geschäftsführer an die jeweiligen Teamleitungen und auch die Mitarbeiter weitergegeben werden. Dazu gehört nicht nur das Thema Programme und Geräte,sondern auch KI. Es muss klar geregelt werden, wer in welcher Abteilung auf welche KI mit welchen Daten zugreifen darf. Wenn sich Mitarbeitende KI-Systeme wünschen, sollten diese durch die IT bereitgestellt werden und entsprechenden Sicherheitsrichtlinien unterliegen.
Idealerweise werden zu diesem Thema auch Schulungen durchgeführt. Denn dann wächst auch das Verständnis für diese notwendigen Einschränkungen. Wenn die Geschäftsführung selbst das eigene Wissen erweitern möchte, wäre auch hier eine Schulung relevant. Denn Mitarbeiter orientieren sich gern an ihren direkten Vorgesetzten und die Regeln greifen besser, wenn sie für alle gelten. Es ist wichtig ein Bewusstsein für diese Themen zu schaffen und gemeinsam darüber zu sprechen. Denn dann werden die folgenden Punkte von Mitarbeitern nicht als Schikane empfunden, sondern als sinnvolle Maßnahmen.
Einschränkungen für Systeme und Programme
Die Wege für eine Schatten-IT sollten durch die IT-Mitarbeitenden verbaut werden. Beispielsweise könnte man Mitarbeitern die Möglichkeit nehmen Programme/Apps auf ihren PCs und Geschäftshandys selbstständig zu installieren, indem man ihnen keine Administratoren-Rechte gibt. Dann müssen alle Programme abgesprochen werden. Auch können Netzwerke so gesichert werden, dass es einen Verantwortlichen braucht,bevor der Smart-TV beispielsweise auf das Internet zugreifen kann.
Schnellere Prüfung von IT-Tools und damit verbundene Genehmigungsprozesse
Die Bedürfnisse der Mitarbeiter nach schnellen und effizienten Programmen sollten ernst genommen werden. Um den Wünschen nach benötigter Software schnell nachzukommen, ist es notwendig einen Prozess zu entwickeln bei dem neue Programme möglichst schnell Eingang in die Standard-IT finden. Sollte eine Ablehnung stattfinden, ist es wichtig sinnvolle und moderne Alternativen zu finden. Die IT sollte dabei eng mit dem Datenschutz-Verantwortlichen zusammenarbeiten und auch für die Mitarbeitenden nahbar bleiben.
Beherzigen Sie diese Punkte, wird es zukünftig deutlich weniger Schatten-IT in Ihrem Unternehmen geben und die IT-Sicherheit wird sich deutlich erhöhen.
Fazit: Warum wird Schatten-IT zunehmend ein Problem?
Die Ursache für eine zunehmende Schatten-IT findet sich vor allem in der Entwicklung der KI. Man spricht deshalb auch von „Schatten-KI“. Häufig verspricht KI schnelle und hilfreiche Arbeitserleichterungen. Das verleitet Arbeitnehmer in sehr vielen Bereichen dazu, diese zu nutzen oder mindestens einmal auszuprobieren. KI ist leicht zugänglich und benutzerfreundlich, dadurch können viele Menschen mit unterschiedlichem Kenntnisstand schnell darauf zugreifen.
Die Probleme, die daraus entstehen können, sind jedoch für viele im Unternehmen nicht naheliegend oder ersichtlich. Eine Umfrage ergab 2025, dass nahezu ein Viertel der deutschen Fachkräfte nicht autorisierte KI zum Arbeiten nutzt. Dabei kann die Nutzung zu Problemen mit unterschiedlichem Schweregrad führen. Von einer falschen Information, die die Marketing-Abteilung ungeprüft von ChatGPT übernimmt, bis hin zu KI-Agenten die die komplette Datenbank eines Unternehmens löschen, sind alle Abstufungen an Problemen vorhanden.
Deshalb möchten wir jede:n IT-Leitende:n und jede Geschäftsführung dazu ermuntern, sich mit diesem Thema auseinander zu setzen. Mittlerweile ist die Zeit zu vorbeugenden Maßnahmen abgelaufen und es wird Zeit schnell zu reagieren, bevor Schäden entstehen.