Shadow IT aufdecken: Wenn Mitarbeiter eigene Tools mitbringen

TL;DR

Studien zeigen, dass in durchschnittlichen Unternehmen drei- bis fünfmal mehr Cloud-Dienste genutzt werden, als der IT bekannt sind.
Shadow IT entsteht nicht aus Boshaftigkeit, sondern weil offizielle Prozesse zu langsam, die offiziellen Tools unzureichend oder die Beschaffungswege zu umständlich sind.
Technische Discovery-Methoden (Netzwerk-Analyse, CASB, SSO-Logs, Finanzdaten) decken den Großteil der Shadow IT auf. Aber Mitarbeiterbefragungen liefern den Kontext.
Nicht jede Shadow IT ist schlecht. Manche Tools lösen echte Probleme und können nach einer Sicherheitsbewertung offiziell eingeführt werden.
Das Ziel ist nicht Null-Toleranz, sondern ein Prozess, der neue Tools schnell und sicher bereitstellt, damit der Umweg über Shadow IT unnötig wird.

Was Shadow IT ist und warum sie entsteht

Shadow IT, auf Deutsch manchmal Schatten-IT genannt, bezeichnet den Einsatz von IT-Systemen, Software, Cloud-Diensten oder Hardware durch Mitarbeiter, ohne dass die IT-Abteilung davon weiß oder dies genehmigt hat. Das reicht von der Marketing-Abteilung, die eigenständig ein Projektmanagement-Tool abonniert hat, über den Vertrieb, der Kundendaten in einer privaten Dropbox speichert, bis zum Entwickler, der einen Cloud-Server für Tests aufgesetzt hat.

Shadow IT ist kein neues Phänomen, aber die Cloud hat es massiv verstärkt. Früher brauchte man die IT-Abteilung, um Software zu installieren oder einen Server bereitzustellen. Heute kann jeder Mitarbeiter mit einer Kreditkarte und einer E-Mail-Adresse innerhalb von zwei Minuten einen Cloud-Dienst aktivieren. Die Einstiegshürde ist praktisch null.

Warum Mitarbeiter zur Shadow IT greifen

Die Gründe sind fast nie böswillig. In den allermeisten Fällen versuchen Mitarbeiter, ihre Arbeit besser oder schneller zu erledigen:

Die offiziellen Tools reichen nicht aus. Das vom Unternehmen bereitgestellte Projektmanagement-Tool ist veraltet, umständlich oder hat nicht die benötigten Funktionen. Also nutzt das Team Trello, Notion oder Asana auf eigene Faust.

Der Beschaffungsprozess ist zu langsam. Ein Mitarbeiter braucht ein Tool für ein Projekt, das in zwei Wochen startet. Der offizielle Beschaffungsprozess dauert sechs Wochen. Also wird die SaaS-Lösung mit der privaten Kreditkarte bezahlt und über die Spesenabrechnung abgerechnet.

Mangelndes Bewusstsein. Viele Mitarbeiter sehen keine Sicherheitsbedenken, wenn sie einen Cloud-Dienst nutzen. "Es ist ja nur eine To-do-Liste" oder "Da liegen keine sensiblen Daten drin" sind typische Einschätzungen, die oft falsch sind.

Bequemlichkeit und Gewohnheit. Der Mitarbeiter hat das Tool im vorherigen Job genutzt und will es weiter verwenden. Oder er nutzt die Privatversion eines Tools, das er auch beruflich einsetzt (z. B. private Google Drive statt Firmenlaufwerk).

Abteilungsbudgets. In manchen Unternehmen haben Abteilungen eigene IT-Budgets und beschaffen Software ohne Abstimmung mit der zentralen IT.

Warum Shadow IT ein Risiko ist

Datenschutz und Compliance

Wenn Mitarbeiter Geschäftsdaten in nicht genehmigte Cloud-Dienste hochladen, verlierst du die Kontrolle darüber, wo diese Daten gespeichert werden, wer Zugriff hat und ob die Verarbeitung DSGVO-konform ist. Ohne einen Auftragsverarbeitungsvertrag (AVV) mit dem Anbieter verstößt die Nutzung bei personenbezogenen Daten gegen die DSGVO.

Ein konkretes Beispiel: Die Personalabteilung nutzt eine nicht genehmigte Umfrage-Plattform, um eine Mitarbeiterbefragung durchzuführen. Die Plattform speichert die Daten auf Servern in den USA, es gibt keinen AVV, und die Antworten enthalten gesundheitsbezogene Angaben. Das ist ein DSGVO-Verstoß, der zu Bußgeldern führen kann.

Sicherheitslücken

Nicht genehmigte Tools durchlaufen keine Sicherheitsbewertung. Du weißt nicht, ob der Anbieter angemessene Sicherheitsmaßnahmen hat, ob die Daten verschlüsselt sind, ob die Authentifizierung sicher ist oder ob der Dienst bekannte Schwachstellen hat. Jeder nicht bewertete Cloud-Dienst ist ein potenzielles Einfallstor. Eine systematische Lieferantenbewertung ist deshalb auch für SaaS-Dienste unerlässlich.

Besonders kritisch wird es bei Tools, die mit dem Unternehmensnetzwerk oder anderen Systemen interagieren. Ein nicht genehmigtes Integrations-Tool, das Daten zwischen dem CRM und einer Cloud-Plattform synchronisiert, kann bei einer Kompromittierung des Cloud-Dienstes einen direkten Zugang zum CRM ermöglichen.

Datenverlust und Datensilo

Wenn ein Mitarbeiter das Unternehmen verlässt und seine Arbeitsergebnisse in einem privaten Cloud-Konto liegen, gehen diese Daten verloren. Ohne Zugang zum Konto gibt es keine Möglichkeit, die Daten wiederherzustellen. Und selbst wenn der Mitarbeiter kooperiert, ist der Rücktransfer aufwendig und fehleranfällig.

Dazu kommt das Silo-Problem: Informationen, die in Shadow-IT-Tools liegen, sind für den Rest des Unternehmens unsichtbar. Es gibt keine Suche, kein Backup, keine Versionierung und keine Integration mit den offiziellen Systemen.

Lizenz- und Kostenrisiken

Nicht genehmigte Software kann Lizenzprobleme verursachen. Wenn Mitarbeiter Raubkopien einsetzen (was auch bei SaaS-Diensten über Lizenzumgehung möglich ist), haftet das Unternehmen. Und selbst bei legitimer Nutzung entstehen unkontrollierte Kosten: Mehrere Abteilungen abonnieren dasselbe Tool in verschiedenen Tarifen, ohne voneinander zu wissen.

Shadow IT aufdecken: Die Methoden

Methode 1: Netzwerkanalyse

Die technisch direkteste Methode: Analysiere den ausgehenden Netzwerkverkehr, um Cloud-Dienste zu identifizieren, die Mitarbeiter nutzen.

DNS-Logs: Jeder Zugriff auf einen Cloud-Dienst erzeugt eine DNS-Anfrage. Die Analyse der DNS-Logs zeigt, welche Domains angesteuert werden. Filtere nach bekannten SaaS-Domains (trello.com, notion.so, dropbox.com, slack.com etc.) und identifiziere Dienste, die nicht offiziell genehmigt sind.

Proxy-/Firewall-Logs: Wenn der Webverkehr über einen Proxy oder eine Next-Generation-Firewall läuft, kannst du den Verkehr nach Anwendungen und Kategorien filtern. Moderne Firewalls kategorisieren Webverkehr automatisch und können Cloud-Speicher, Collaboration-Tools und andere SaaS-Dienste identifizieren.

Network Traffic Analysis: Tools, die den Netzwerkverkehr analysieren und Cloud-Anwendungen anhand von Verkehrsmustern erkennen, auch wenn sie über HTTPS verschlüsselt sind (anhand von SNI-Headern und IP-Adressen).

Methode 2: Cloud Access Security Broker (CASB)

Ein CASB ist ein spezialisiertes Sicherheitstool, das zwischen Nutzer und Cloud-Dienst sitzt und Transparenz, Kontrolle und Compliance für Cloud-Nutzung bietet. CASBs können:

Alle genutzten Cloud-Dienste identifizieren (Shadow-IT-Discovery)
Den Datenverkehr zu und von Cloud-Diensten überwachen
Sicherheitsrichtlinien durchsetzen (z. B. Upload vertraulicher Daten blockieren)
Risikobewertungen für Cloud-Dienste bereitstellen

CASBs sind das mächtigste Werkzeug für die Shadow-IT-Erkennung, aber auch das teuerste. Für mittelständische Unternehmen lohnt sich die Investition ab einer gewissen Größe und Cloud-Nutzungsintensität.

Methode 3: SSO- und Identity-Provider-Logs

Wenn dein Unternehmen einen Identity Provider (IdP) wie Azure AD, Okta oder Google Workspace nutzt, prüfe die Anmelde-Logs. Dort siehst du, welche Anwendungen OAuth-Tokens angefragt haben oder welche SAML-Integrationen bestehen. Viele Cloud-Dienste bieten "Login mit Microsoft" oder "Login mit Google" an, und jede solche Anmeldung hinterlässt eine Spur im IdP.

Prüfe auch die zugelassenen Enterprise-Anwendungen in Azure AD oder Google Workspace. Mitarbeiter können Cloud-Diensten Berechtigungen für den Zugriff auf E-Mails, Kontakte oder Dateien einräumen, oft ohne zu verstehen, welche Berechtigungen sie damit erteilen.

Methode 4: Finanzdaten analysieren

Nicht genehmigte SaaS-Abonnements werden bezahlt, entweder über Firmenkreditkarten, Spesenabrechnungen oder Abteilungsbudgets. Eine Analyse der Finanzdaten kann Shadow IT aufdecken:

Durchsuche Kreditkartenabrechnungen nach wiederkehrenden Zahlungen an SaaS-Anbieter
Prüfe Spesenabrechnungen auf Software- und Cloud-Dienst-Ausgaben
Frage die Buchhaltung nach Zahlungen an Anbieter, die nicht im offiziellen Software-Inventar stehen

Methode 5: Mitarbeiterbefragung

Die menschliche Methode: Frage die Mitarbeiter direkt, welche Tools sie nutzen. Das funktioniert am besten in einer Atmosphäre, die keine Angst vor Konsequenzen erzeugt. Wenn Mitarbeiter befürchten, für die Nutzung nicht genehmigter Tools bestraft zu werden, werden sie nichts zugeben.

Formuliere die Befragung positiv: "Wir möchten verstehen, welche Tools euch bei der Arbeit helfen, damit wir die richtigen Lösungen bereitstellen können." Nutze anonyme Umfragen oder informelle Gespräche in den Abteilungen.

Die Mitarbeiterbefragung liefert etwas, das technische Methoden nicht liefern: den Kontext. Warum wurde das Tool eingeführt? Welches Problem löst es? Was fehlt den offiziellen Tools?

Shadow IT bewerten und klassifizieren

Risikobewertung für entdeckte Dienste

Wenn du eine Liste der nicht genehmigten Dienste hast, bewerte jeden Dienst nach folgenden Kriterien:

Datenklassifizierung: Welche Daten werden in dem Dienst verarbeitet oder gespeichert? Personenbezogene Daten? Geschäftsgeheimnisse? Finanzinformationen? Öffentliche Informationen?

Sicherheitsniveau des Anbieters: Hat der Anbieter eine ISO-27001-Zertifizierung? Wo werden die Daten gespeichert? Ist die Übertragung verschlüsselt? Gibt es MFA? Wie ist das Berechtigungskonzept?

Compliance: Gibt es einen AVV? Ist die Datenverarbeitung DSGVO-konform? Werden die Daten in der EU/EWR gespeichert oder gibt es angemessene Garantien für Drittlandtransfers?

Abhängigkeit: Wie viele Mitarbeiter nutzen den Dienst? Wie geschäftskritisch sind die darin gespeicherten Daten? Was passiert, wenn der Dienst morgen abgeschaltet wird?

Alternativen: Gibt es ein offiziell genehmigtes Tool, das denselben Zweck erfüllt? Wenn ja, warum wird es nicht genutzt?

Drei Kategorien für die Klassifizierung

Auf Basis der Bewertung ordnest du jeden Dienst in eine von drei Kategorien ein:

Kategorie 1: Legitimieren. Der Dienst löst ein echtes Problem, hat ein akzeptables Sicherheitsniveau und kann nach formaler Prüfung offiziell eingeführt werden. Schritte: Sicherheitsbewertung abschließen, AVV schließen, in das offizielle Software-Inventar aufnehmen, Nutzungsrichtlinien definieren.

Kategorie 2: Ablösen. Der Dienst löst ein echtes Problem, aber er hat Sicherheits- oder Compliance-Mängel, die nicht akzeptabel sind. Schritte: Offizielles Alternativtool bereitstellen, Daten migrieren, den nicht genehmigten Dienst abschalten. Wichtig: Stelle die Alternative bereit, bevor du den Dienst abschaltest. Sonst entsteht eine Lücke, die durch die nächste Shadow IT gefüllt wird.

Kategorie 3: Sofort abschalten. Der Dienst verarbeitet hochsensible Daten ohne angemessenen Schutz, oder er stellt ein akutes Sicherheitsrisiko dar. Sofortige Abschaltung mit Datensicherung, wo möglich.

Vom Aufdecken zum Steuern: Der nachhaltige Ansatz

Warum reines Aufdecken nicht reicht

Shadow IT aufzudecken und abzuschalten, ohne die Ursachen zu adressieren, ist wie Symptombehandlung ohne Diagnose. Die Shadow IT kommt zurück, nur mit anderen Tools. Der nachhaltige Ansatz besteht darin, die Ursachen zu beseitigen:

Fast-Track-Beschaffung einführen

Wenn der offizielle Beschaffungsprozess sechs Wochen dauert, müssen Mitarbeiter, die morgen ein Tool brauchen, zur Shadow IT greifen. Richte einen Fast-Track-Prozess ein für Cloud-Dienste mit niedrigem Risiko:

Antrag über ein einfaches Formular (Name, Zweck, Datenanforderungen)
Schnelle Prüfung durch IT und ISB (48 Stunden statt sechs Wochen)
Vorab geprüfter Katalog von zugelassenen Diensten, aus dem Mitarbeiter selbstständig wählen können
Automatische Bereitstellung über den Identity Provider

Self-Service-Katalog aufbauen

Erstelle einen Katalog von geprüften und genehmigten Cloud-Diensten, die Mitarbeiter eigenständig aktivieren können. Der Katalog deckt die häufigsten Bedürfnisse ab: Projektmanagement, Kommunikation, Dateiaustausch, Umfragen, Whiteboarding, Prototyping. Für jeden Dienst gibt es klare Nutzungsbedingungen und eine Sicherheitsbewertung.

Regelmäßige Shadow-IT-Reviews

Führe quartalsweise oder halbjährlich einen Shadow-IT-Scan durch. Nutze die oben beschriebenen Methoden (Netzwerkanalyse, Finanzdaten, Mitarbeiterbefragung) und vergleiche die Ergebnisse mit dem Vorquartal. Ein Trend zu weniger Shadow IT zeigt, dass dein offizielles Angebot die Bedürfnisse besser abdeckt.

Awareness schaffen

Viele Mitarbeiter wissen nicht, dass die Nutzung nicht genehmigter Cloud-Dienste ein Sicherheitsrisiko darstellt. Integriere das Thema in deine Awareness-Schulungen:

Was ist Shadow IT und warum ist sie problematisch?
Welche offiziellen Alternativen gibt es?
Wie funktioniert der Fast-Track-Beschaffungsprozess?
An wen wende ich mich, wenn ich ein Tool brauche, das nicht im Katalog steht?

Der Ton sollte nicht moralisierend sein ("Ihr dürft nicht"), sondern lösungsorientiert ("So bekommst du das richtige Tool auf dem sicheren Weg").

Shadow IT im ISMS

Relevante Controls aus ISO 27001

A.5.9 (Inventar der Informationen und zugehörigen Assets): Alle genutzten Systeme und Dienste müssen inventarisiert sein, auch Cloud-Dienste.
A.5.23 (Informationssicherheit für die Nutzung von Cloud-Diensten): Anforderungen an die Sicherheitsbewertung und Steuerung von Cloud-Diensten.
A.8.1 (Endbenutzer-Endgeräte): Kontrolle der auf Endgeräten installierten Software.
A.5.19 (Informationssicherheit in Lieferantenbeziehungen): Sicherheitsanforderungen an Dienstleister, auch an SaaS-Anbieter.

Risikobewertung

Shadow IT sollte als eigenes Risikoszenario in der ISMS-Risikobewertung erscheinen:

Risiko "Nutzung nicht genehmigter Cloud-Dienste": Eintrittswahrscheinlichkeit hoch (weil es fast überall vorkommt), Schadenshöhe abhängig von der Art der betroffenen Daten (niedrig bei öffentlichen Daten, hoch bei personenbezogenen oder geschäftskritischen Daten).

Die Maßnahmen gegen dieses Risiko sind die in diesem Artikel beschriebenen: technische Discovery, Bewertung, Legitimierung oder Ablösung und der nachhaltige Steuerungsprozess. In ISMS Lite lässt sich jeder entdeckte Cloud-Dienst als Asset erfassen, mit einer Risikobewertung versehen und der Legitimierungs- oder Ablösungsprozess als Maßnahme nachverfolgen. Das Tool kostet 500 Euro pro Jahr für alle Module, ohne Benutzerlimits.

Kennzahlen

Tracke folgende Kennzahlen, um den Fortschritt zu messen:

Anzahl der entdeckten nicht genehmigten Cloud-Dienste (Trend über Zeit)
Anteil der Dienste, die legitimiert, abgelöst oder abgeschaltet wurden
Durchschnittliche Bearbeitungszeit für Software-Beschaffungsanträge
Nutzung des Self-Service-Katalogs (Anzahl der Aktivierungen)

Die richtige Haltung: Partner statt Polizei

Der wichtigste Erfolgsfaktor bei der Shadow-IT-Steuerung ist die Haltung der IT-Abteilung und des ISB. Wenn du als Polizei auftrittst, die Tools verbietet und Mitarbeiter für Kreativität bestraft, erzeugst du Widerstand und treibst die Shadow IT weiter in den Untergrund. Wenn du als Partner auftrittst, der die Bedürfnisse versteht und sichere Lösungen bereitstellt, entsteht ein Klima, in dem Mitarbeiter von sich aus auf die IT zukommen, bevor sie ein neues Tool einsetzen.

Das Ziel ist nicht, jede nicht genehmigte Nutzung zu unterbinden. Das Ziel ist, einen Prozess zu haben, der neue Tools schnell, sicher und unkompliziert bereitstellt, so dass der Umweg über Shadow IT schlicht unnötig wird. Wenn du das erreichst, hast du nicht nur ein Shadow-IT-Problem gelöst, sondern die Zusammenarbeit zwischen IT und Fachabteilungen grundlegend verbessert.

Weiterführende Artikel

Shadow IT Cloud-Sicherheit SaaS Compliance ISMS Governance Risikomanagement