Was ist Shadow IT und warum stellt sie ein Risiko dar?

Shadow IT ist einer der größten blinden Flecken im Enterprise-Softwaremanagement. Der Begriff umfasst alle Technologien, Software, Apps, Cloud-Speicher und Kommunikations-Tools, die Mitarbeitende ohne ausdrückliche Freigabe von IT oder Einkauf verwenden. Und sie wächst schneller, als die meisten Unternehmen wahrhaben wollen.

Wie entsteht Shadow IT?

Shadow IT entsteht fast immer aus einem echten Problem heraus. Ein Mitarbeiter braucht ein Tool, um seine Arbeit zu erledigen, das Genehmigungsverfahren dauert zu lange oder die von der IT angebotene Alternative ist unpraktisch. Der schnellste Weg ist oft ein kostenloses Konto anzulegen oder ein kleines Abo mit der Firmenkreditkarte zu bezahlen.

Was als ein einziger User mit einem Tool beginnt, wächst rasch. Kollegen steigen ein, Dateien werden über nicht genehmigte Plattformen geteilt, und sensible Firmendaten landen auf Servern ausserhalb der EU, ohne dass es jemand merkt.

Warum ist Shadow IT ein Problem?

Shadow IT hat drei konkrete Folgen:

1. Sicherheitsrisiken. Nicht genehmigte Tools werden nicht auf Sicherheit geprüft, nicht aktualisiert und nicht überwacht. Sie öffnen Türen für Datenlecks und Cyberangriffe.

2. Compliance-Risiken. Daten, die über nicht genehmigte Tools verarbeitet werden, liegen ausserhalb der DSGVO-Kontrolle des Unternehmens. Im Falle eines Datenlecks haftet das Unternehmen trotzdem.

3. Verschwendung. Unternehmen zahlen für zentralisierte Tools, während Mitarbeitende parallel kostenlose oder billige Alternativen nutzen. Konsolidierung ist ohne Überblick unmöglich.

Shadow IT und NIS2

Mit dem Inkrafttreten von NIS2 wird Shadow IT zu einem noch grösseren Risiko. Die Sorgfaltspflicht verpflichtet Unternehmen, eine aktuelle Übersicht aller Software und Anbieter zu haben – inklusive Tools, die ausserhalb des formellen Einkaufsprozesses beschafft wurden. Shadow IT macht diese Übersicht per Definition unvollständig.

Wie geht man Shadow IT an?

Der Ansatz beginnt nicht mit Verboten, sondern mit Verstehen. Warum verwenden Mitarbeitende bestimmte Tools? Was fehlt im genehmigten Angebot? Erst wenn diese Fragen beantwortet sind, kann man effektiv konsolidieren und das offizielle Softwareangebot verbessern.

Praktische Schritte: Analyse von Kreditkartenabrechnungen und Rechnungen auf unbekannte Software-Abos, Durchführung einer Mitarbeitenden-Befragung zu verwendeten Tools und Rückkopplung der Ergebnisse an IT und Einkauf für einen konsolidierten Ansatz.