Aktualisiert am 4 Min. Lesezeit
Sébastien Nobour
Gründer von DEVEDANOS
Eine gemeinsam genutzte Tabelle, über die ein ganzes Geschäftsfeld läuft. Ein privates Cloud-Speicherkonto, um Dateien mit einem Kunden auszutauschen. Ein KI-Werkzeug, in das man ein Dokument kopiert, um eine Zusammenfassung zu bekommen. Keines dieser Werkzeuge hat das Unternehmen gewählt, und trotzdem hängt die Arbeit davon ab.
Man nennt das Shadow IT, auf Deutsch Schatten-IT. Das NCSC, das nationale Cybersicherheitszentrum des Vereinigten Königreichs (vergleichbar mit dem deutschen Bundesamt für Sicherheit in der Informationstechnik, BSI), fragt zuerst, warum sie entsteht. Seine Antwort beschränkt sich nicht darauf, sie zu blockieren.
Das NCSC hat Schatten-IT 2023 definiert. Schatten-IT bezeichnet „unbekannte IT-Ressourcen, die innerhalb einer Organisation für ihre Geschäftstätigkeit genutzt werden“.
Laut NCSC entsteht Schatten-IT „in der Regel, weil die Beschäftigten Schwierigkeiten haben, eine bestimmte Aufgabe mit den genehmigten Werkzeugen oder Verfahren zu erledigen“.
Das Phänomen ist verbreitet. Gartner, ein auf Informationstechnologie spezialisiertes Marktforschungsunternehmen, hat es in seinen Prognosen zur Cybersicherheit vom März 2023 beziffert. Laut Gartner haben 2022 41 % der Beschäftigten technische Werkzeuge beschafft, verändert oder selbst gebaut, ohne dass ihre IT-Abteilung davon wusste. Für 2027 rechnete Gartner mit 75 %. Diese Zahlen gelten für Unternehmen im Allgemeinen, nicht speziell für KMU.
Das NCSC nennt zwei Beispiele: sensible Unternehmensdaten, die in privaten Cloud-Speicherkonten liegen, und Messaging- oder Videokonferenzdienste, die das Unternehmen nicht genehmigt hat und die ohne Überwachung genutzt werden. Die Tabelle und das KI-Werkzeug sind zwei weitere, näher am Alltag eines KMU.
Eine Tabelle muss weder gekauft noch installiert werden: Sie ist schon auf jedem Rechner. Wenn das Werkzeug des Unternehmens nicht tut, was das Team braucht, baut jemand eine Tabelle, um die Lücke zu füllen. Erst ist die Datei nützlich, dann wird sie unverzichtbar.
Das Geschäft hängt dann an einer Datei, die niemand gewählt hat, mit den Fehlern, die eine Tabelle nicht meldet. Ist sie zum Werkzeug eines ganzen Teams geworden, wandelt man sie besser in eine Webanwendung um, als sie zu verbieten.
Shadow AI ist dasselbe Phänomen mit KI-Werkzeugen: Ein KI-Assistent, den das Unternehmen nicht gewählt hat, dient zum Schreiben, Zusammenfassen oder Übersetzen.
Unserer Ansicht nach liegt das Risiko in den Dokumenten, die man dort hineinkopiert. Enthalten sie personenbezogene Daten, etwa die eines Kunden oder eines Beschäftigten, weiß das Unternehmen nicht mehr, wem sie anvertraut wurden.
Die DSGVO regelt diese Frage für Dienstleister. Nach ihrem Artikel 28 nimmt ein Auftragsverarbeiter keinen weiteren Auftragsverarbeiter in Anspruch, etwa den Anbieter eines KI-Modells, ohne vorherige gesonderte oder allgemeine schriftliche Genehmigung des Verantwortlichen. Dieser Artikel betrifft die Beziehung zwischen dem Unternehmen und seinen Auftragsverarbeitern, nicht die Nutzung eines Werkzeugs durch einen Beschäftigten selbst.
Laut NCSC wird das Risikomanagement sehr schwierig, wenn Schatten-IT verbreitet ist, und das Unternehmen hat noch weniger Überblick über mögliche Risiken. Ein Werkzeug, das die IT-Abteilung nicht kennt, aktualisiert, sichert und überwacht sie unserer Ansicht nach auch nicht.
Das zweite Risiko betrifft die Daten. Unternehmensdaten landen in privaten Konten, bei Anbietern, mit denen das Unternehmen keinen Vertrag hat. Unserer Ansicht nach nimmt der Beschäftigte diese Konten mit, sobald er das Unternehmen verlässt.
Das dritte ist weniger sichtbar. Ein Werkzeug, das neben dem offiziellen gebaut wurde, zeigt einen Bedarf, den das offizielle nicht abdeckt. Solange es im Schatten bleibt, weiß niemand, dass es diesen Bedarf gibt, und das offizielle Werkzeug ändert sich nicht.
Das NCSC empfiehlt organisatorische Maßnahmen und technische Lösungen, etwa eine Bestandsaufnahme der IT-Ressourcen und die Kontrolle der Netzwerkzugänge. Es fügt zwei Ratschläge hinzu. Wer Schatten-IT entdeckt, sollte die Beschäftigten nicht rügen. Und nutzen Beschäftigte nicht genehmigte Werkzeuge, rät es, ihnen einen genehmigten und betreuten Dienst bereitzustellen, der diesen Bedarf erfüllt.
Unserer Ansicht nach liegt hier die dauerhafte Antwort. Ein Werkzeug zu blockieren beseitigt nicht den Bedarf, aus dem es entstanden ist: Das Team wird ein anderes finden. Fragen Sie das Team lieber, was es mit diesem Werkzeug tut, und was das offizielle Werkzeug ihm nicht ermöglicht. Deckt eine Standardsoftware diesen Bedarf ab, bleibt sie die einfachste Wahl. Passt keine zu Ihrer Arbeitsweise, muss sich das Werkzeug an Sie anpassen.
Bei DEVEDANOS entwickeln wir Ihre individuelle Software, innerhalb eines Monats nutzbar, zu einem festen Monatsbudget, und passen sie laufend an Ihr sich wandelndes Geschäft an. Das Budget wird gemeinsam mit Ihnen aufgebaut, auf Grundlage Ihrer Zahlen und Ziele: Wir legen zusammen den Betrag fest und das Problem, das Ihre Anwendung lösen soll.
Wir sprechen zuerst mit den Nutzern Ihrer Anwendung, um ihren Bedarf zu verstehen. Die Nutzer Ihrer Anwendung arbeiten ab dem ersten Entwicklungsmonat damit, und ihre Nutzung bestimmt, welche Funktion oder Funktionen als Nächstes kommen. Unser Ansatz geht von dieser Nutzung aus: ein Werkzeug, das seine Nutzer nicht umgehen müssen.
Und damit das, was gestern funktioniert hat, auch morgen noch funktioniert, gilt unsere Null-Regressions-Garantie: Jede Regression wird behoben und durch einen automatisierten Test abgesichert, damit sie nicht wiederkehrt, ohne Aufpreis.
Der Quellcode, die Infrastruktur, die Deployment-Pipeline und die Dokumentation sind Ihr geistiges Eigentum, sobald die erste Monatsrechnung beglichen ist.
Standardsoftware oder Individualsoftware? Unser Artikel zur Wahl einer Standardsoftware hilft zu erkennen, bei welchen Tätigkeiten sich Ihre Teams an das Werkzeug anpassen und bei welchen sich das Werkzeug an Sie anpassen muss.
Ihre Teams haben sich neben den Werkzeugen des Unternehmens eigene gebaut? Sprechen wir darüber?
Eine Webanwendung schützen, in welcher Sprache sie auch geschrieben ist: begrenzen, was eine Lücke einem Angreifer zugänglich macht, sofort alarmiert werden, Abhängigkeiten prüfen, jeden kritischen Patch noch am Tag seiner Veröffentlichung einspielen.
Sollte man die automatischen Updates von WordPress aktivieren oder deaktivieren? Wir raten von denen ab, die WordPress selbst und ohne jeden Test bei Plugins und Themes einspielt. Ein Hoster, der jedes Update vor dem Einspielen testet, kann sie übernehmen; ohne ihn aktualisieren Sie ein Plugin nach dem anderen und prüfen dann die Website.
Am 21. Oktober 2026 hat PHP zwei kritische Sicherheitslücken geschlossen, zeitgleich mit GitLab und Node.js. Wer betroffen ist, was noch am selben Tag zu tun ist, und wie sich der Schaden einer Lücke begrenzen lässt.