Warum Ihre Mitarbeiter Schatten-IT nutzen: Ursachen und Lösungsstrategien

Laut Cisco nutzen 80 % der Mitarbeiter nicht genehmigte Software und Dienste. Dabei sind im Schnitt tatsächlich über 1.200 verschiedene Cloud-Anwendungen im Einsatz – weit mehr als viele IT-Abteilungen vermuten. Schatten-IT umfasst alle IT-Lösungen, die ohne Wissen oder Zustimmung der IT-Abteilung verwendet werden. Fehlende Regeln und Konsequenzen begünstigen diese unkontrollierte Nutzung, obwohl sie bei gezieltem Einsatz auch Vorteile bringen kann. Um wirksame Maßnahmen zu ergreifen, müssen Unternehmen die Gründe für Schatten-IT verstehen. Im Folgenden werden die wichtigsten Ursachen, Risiken und Strategien für einen strukturierten Umgang vorgestellt.

Grundlagen und Definition von Schatten-IT

Ein umfassendes Verständnis von Schatten-IT ist die Grundlage für die Entwicklung effektiver Sicherheitsmaßnahmen. Der Begriff beschreibt ein Phänomen, das sich in nahezu jeder Organisation wiederfindet und erhebliche Auswirkungen auf die IT-Sicherheitslage haben kann. 

Schatten-IT (auch Shadow IT genannt) umfasst alle informationstechnischen Systeme, Prozesse und Organisationseinheiten, die in Fachabteilungen neben der offiziellen IT-Infrastruktur eingesetzt werden – ohne Wissen oder Genehmigung der IT-Abteilung. Diese Ressourcen sind weder technisch noch strategisch in das IT-Service-Management des Unternehmens eingebunden. 

Die Definition ist dabei eindeutig: Jede Form von Software, Hardware oder Cloud-Dienst, die außerhalb der offiziellen IT-Governance genutzt wird, fällt unter diesen Begriff. Entscheidend ist nicht die Art der Technologie, sondern die fehlende Autorisierung durch die zuständigen IT-Verantwortlichen. 

Häufige Beispiele von Schatten-IT aus dem Arbeitsalltag

Die Bandbreite von Schatten-IT-Anwendungen ist beträchtlich und umfasst verschiedene Kategorien: 

Kommunikations- und Messaging-Dienste:

• WhatsApp, Telegram oder Signal für den Austausch mit Kollegen oder Kunden 

• Private E-Mail-Accounts für geschäftliche Korrespondenz 

Cloud-Speicher und Dateiaustausch:

• Private Konten bei Dropbox, Google Drive oder Microsoft OneDrive zum Teilen von Arbeitsdateien 

• Nicht genehmigte File-Sharing-Plattformen 

Produktivitäts- und Projektmanagement-Tools:

• Nicht autorisierte Nutzung von Trello, Asana oder Google Docs 

• Videokonferenz-Plattformen außerhalb der Unternehmensrichtlinien 

Das zunehmende Angebot cloudbasierter, oft kostenloser Programme verstärkt diese Entwicklung erheblich. Besonders eindrücklich zeigt eine Untersuchung von Microsoft die Dimension des Problems: IT-Abteilungen entdeckten bei Netzwerkprüfungen statt der erwarteten 30 Anwendungen tatsächlich über 1.000 nicht genehmigte Apps. 

Abgrenzung zu externen Bedrohungen

Es ist wichtig, zwischen Schatten-IT und anderen Sicherheitsrisiken zu differenzieren. Anders als Malware oder externe Hackerangriffe wird Schatten-IT bewusst von den eigenen Mitarbeitern eingesetzt. Diese Anwendungen stammen nicht von externen Angreifern, sondern werden von autorisierten Nutzern des Netzwerks verwendet. 

Der entscheidende Unterschied liegt in der Motivation: Während Malware gezielt Schaden anrichten soll, nutzen Mitarbeiter Schatten-IT normalerweise mit konstruktiven Absichten – etwa um ihre Produktivität zu steigern oder Lösungen für Aufgaben zu finden, für die keine offiziellen Tools verfügbar sind.  

Warum Mitarbeiter Schatten-IT nutzen: Die häufigsten Ursachen

Die Beweggründe für die Nutzung nicht genehmigter IT-Lösungen sind vielfältig und meist nachvollziehbar. Mitarbeiter greifen selten aus böswilliger Absicht zu Schatten-IT, sondern versuchen primär, ihre Arbeitsabläufe zu optimieren und Produktivitätshindernisse zu überwinden. 

Produktivitätsdruck und fehlende IT-Freigaben

Zeitdruck und Effizienzanforderungen treiben Mitarbeiter dazu, eigenständig nach Lösungen zu suchen. Eine RSA-Studie zeigt, dass etwa 35% der Beschäftigten Sicherheitsrichtlinien als Arbeitshindernis empfinden. Besonders in projektkritischen Situationen mit engen Deadlines werden offizielle Prozesse als zu langwierig wahrgenommen. 

Diese Situation führt zu einem problematischen Kreislauf: Teams benötigen schnelle Lösungen für drängende Aufgaben, während etablierte Freigabeverfahren wochenlange Wartezeiten bedeuten können. Mitarbeiter umgehen daher systematisch offizielle Kanäle und implementieren selbstständig Workarounds. 

Bequemlichkeit und bekannte Tools aus dem Privatgebrauch

Die Vertrautheit mit privat genutzten Anwendungen spielt eine entscheidende Rolle bei der Entstehung von Schatten-IT. Viele Beschäftigte setzen bewährte Tools aus ihrem persönlichen Umfeld auch beruflich ein, ohne dabei Sicherheitsaspekte zu berücksichtigen. 

Verstärkt wird diese Tendenz durch die wachsende technische Kompetenz der Mitarbeiter. Anstatt auf IT-Abteilungen zu warten, identifizieren und implementieren sie selbstständig Lösungen für ihre Arbeitsanforderungen. Der Trend zum ortsunabhängigen Arbeiten verstärkt dieses Phänomen zusätzlich. 

Langsame IT-Prozesse und fehlende Alternativen

Überlastete IT-Abteilungen können oft nicht zeitnah auf Anfragen reagieren. Wenn Freigabeprozesse mehrere Monate in Anspruch nehmen, suchen Fachabteilungen zwangsläufig nach sofort verfügbaren Alternativen. Personelle, finanzielle oder fachliche Engpässe führen dazu, dass legitime Toolanfragen zurückgestellt oder unvollständig bearbeitet werden. 

Ein typisches Szenario entwickelt sich folgendermaßen: Ein Mitarbeiter entdeckt eine leistungsfähigere Alternative zu bestehenden Tools, teilt diese Erkenntnis mit Kollegen und initiiert so die informelle Verbreitung nicht genehmigter Software. 

Teamentscheidungen ohne IT-Beteiligung

Die Dezentralisierung von Technologieentscheidungen verstärkt das Schatten-IT-Problem erheblich. Nach Gartner-Analysen werden 38% aller Technologiekäufe von Geschäftsführern statt von IT-Verantwortlichen getätigt. Noch deutlicher zeigt sich dieser Trend bei Cloud-Anwendungen: Ein Untersuchungsbericht weist darauf hin, dass etwa 85 % der Cloud-Applikationskäufe von Mitarbeitern außerhalb der IT-Abteilung initiiert werden. 

Häufig mangelt es Unternehmen an ausreichenden Entwicklerressourcen, weshalb Fachabteilungen eigenständig handeln, anstatt auf überlastete IT-Experten zu warten. Diese Entwicklung führt zu fragmentierten Technologielandschaften, die sich der zentralen Kontrolle entziehen. 

Welche Risiken Schatten-IT für Unternehmen birgt

Nicht autorisierte IT-Ressourcen verursachen erhebliche Sicherheitsrisiken für Organisationen. Eine Studie von Next DLP aus 2024 zeigt die Hauptgefahren deutlich auf: Datenverlust betrifft 65 Prozent der Fälle, mangelnde Kontrolle 62 Prozent und Datenschutzverletzungen 52 Prozent. Jedes zehnte Unternehmen vermutet bereits konkrete Datenpannen durch nicht autorisierte Tools. 

Verlust der IT-Kontrolle und Transparenz

Die IT-Landschaft wird für Administratoren zunehmend undurchsichtig. Unternehmen besitzen durchschnittlich 30 Prozent mehr gefährdete Systeme als bekannt. Dieser blinde Fleck ist gefährlich, denn Schutz setzt Wissen über vorhandene Ressourcen voraus. 

Ohne vollständigen Überblick über die genutzte Software verliert die IT-Abteilung die Kontrolle über kritische Unternehmensprozesse. Systemplanung wird zur Herausforderung, wenn wesentliche Komponenten der IT-Infrastruktur unbekannt bleiben. 

Datenschutzverletzungen und DSGVO-Risiken

Nicht genehmigte Anwendungen entsprechen meist nicht den Sicherheitsstandards des Unternehmens und schaffen Schwachstellen für Cyberattacken. Mitarbeiter geben dabei oft unbeabsichtigt vertrauliche Informationen preis oder werden Opfer von Social-Engineering-Angriffen. 

Besonders kritisch wird es bei personenbezogenen Daten in nicht freigegebenen SaaS-Diensten. Hier fehlt häufig jede Grundlage für DSGVO-Konformität. Unternehmen verlieren den Überblick über Speicherorte, Löschkonzepte, Zugriffskontrollen und Berechtigungsmodelle. 

Compliance-Verstöße durch unregulierte Tools

Rechtliche Konsequenzen können existenzbedrohend werden. Die Nutzung nicht autorisierter Software für sensible Datenverarbeitung zieht empfindliche Strafen nach sich. Das Beispiel Uber verdeutlicht die Dimensionen: 290 Millionen Euro Strafe in den Niederlanden wegen unzureichenden Schutzes von Fahrerdaten. 

Häufige Compliance-Verstöße umfassen: 

• Unzureichende Zugangskontrollen für sensible Daten 

• Unrechtmäßige Weitergabe von Informationen über nicht genehmigte Kanäle 

• Missachtung von Aufbewahrungsvorschriften und Löschkonzepten 

Kosten durch doppelte Softwareanschaffungen

Schatten-IT verursacht erhebliche finanzielle Ineffizienzen. Verschiedene Abteilungen abonnieren unwissentlich identische Dienste, was zu kostspieligen Doppelstrukturen führt. 

Zusätzliche Belastungen entstehen durch fehlende Integration, Kompatibilitätsprobleme und erhöhten Support-Aufwand. Nach aktuellen IBM-Studien liegen die durchschnittlichen Kosten einer Datenschutzverletzung weltweit bei rund 4,88 Millionen US-Dollar. Viele dieser Vorfälle resultieren aus unzureichend gesicherten, nicht autorisierten Softwarelösungen. 

Die Risiken von Schatten-IT gehen weit über technische Probleme hinaus und betreffen die gesamte Geschäftsstrategie von Unternehmen. 

Strategien zum Umgang mit Schatten-IT im Unternehmen

Organisationen benötigen strukturierte Ansätze, um nicht autorisierte IT-Lösungen wirkungsvoll zu managen. Ein pauschales Verbot von Schatten-IT erweist sich dabei selten als zielführend. Stattdessen empfehlen wir einen ausgewogenen Ansatz, der Sicherheitsanforderungen mit den Bedürfnissen der Fachabteilungen in Einklang bringt. 

Einführung von CASB-Lösungen zur Cloud-Überwachung

Cloud Access Security Broker (CASB) fungieren als zentraler Sicherheitskontrollpunkt zwischen Unternehmensbenutzern und Cloud-Diensten. Diese Technologie überwacht den gesamten Datenverkehr und setzt definierte Sicherheitsrichtlinien durch. CASBs bieten detaillierte Einblicke in alle genutzten Cloud-Anwendungen – sowohl genehmigte als auch nicht genehmigte. 

Durch die Integration von Datenverlustprävention (DLP) helfen CASB-Lösungen dabei, vertrauliche Informationen wie Finanzdaten oder personenbezogene Daten zu schützen und deren unbefugte Weitergabe zu verhindern. Unternehmen erhalten dadurch die notwendige Transparenz über ihre gesamte Cloud-Nutzung. 

Cloud Discovery zur Identifikation nicht genehmigter Apps

Mit Cloud Discovery lässt sich Schatten-IT im Unternehmensnetzwerk systematisch aufdecken. Die Technologie analysiert den Netzwerkverkehr und erstellt eine vollständige Liste aller verwendeten Cloud-Anwendungen. 

Strukturiertes Vorgehen bei der App-Bewertung: 

• Identifikation und Kategorisierung aller Cloud-Anwendungen 

• Bewertung als „sanktioniert“ oder „nicht sanktioniert“ durch IT-Verantwortliche 

• Überwachung oder Blockierung nicht sanktionierter Anwendungen 

• Benutzerwarnung bei kritischen Tools mit Hinweis auf sichere Alternativen 

Schulungen zur Sensibilisierung der Mitarbeiter

Regelmäßige Schulungen vermitteln Mitarbeitern notwendige Kenntnisse und schärfen das Bewusstsein für Sicherheitsrisiken. Dabei genügt es nicht, Sicherheitsmaßnahmen lediglich anzuordnen – Mitarbeiter sollten deren Bedeutung und Zweck verstehen. 

Die Erfahrung zeigt: Ohne entsprechendes Verständnis werden Maßnahmen im Arbeitsalltag häufig ignoriert. Effektive Schulungsprogramme erklären daher nicht nur das „Was“, sondern auch das „Warum“ hinter den Sicherheitsrichtlinien. 

Richtlinien für Softwarebeschaffung und BYOD

Klare IT-Richtlinien bilden ein wirksames Fundament zur Vermeidung von Schatten-IT. Diese sollten folgende Elemente umfassen: 

• Definition erlaubter Tools und Anwendungskategorien 

• Transparente Antragsprozesse für neue Software 

• Regeln für den Einsatz privater Geräte (BYOD) 

Besonders bei BYOD-Konzepten muss das Unternehmen die Verfügungsgewalt über dienstliche Daten behalten und deren Sicherheit gewährleisten. Gleichzeitig darf es grundsätzlich nicht auf private Daten der Mitarbeiter zugreifen. 

Einbindung der Fachabteilungen in IT-Entscheidungen

Die Zusammenarbeit zwischen IT und Fachabteilungen ist entscheidend für den Erfolg. Fachabteilungen sollten aktiv in IT-Projekte eingebunden werden, da ohne deren Beteiligung keine zukunftsfähigen, IT-gestützten Prozesse entstehen können. 

IT-Abteilungen müssen sich dabei vom rein technikorientierten Betreiber zum Prozessgestalter entwickeln. Sie müssen proaktiv auf die Fachabteilungen zugehen und dürfen nicht erwarten, dass sich diese eigenständig an die IT wenden. Nur durch diese partnerschaftliche Zusammenarbeit lässt sich Schatten-IT nachhaltig reduzieren. 

Innovation ermöglichen, aber bitte sicher

Schatten-IT stellt Unternehmen vor ein vielschichtiges Sicherheits- und Managementproblem. Die Diskrepanz zwischen wahrgenommener und tatsächlicher Nutzung nicht genehmigter Anwendungen verdeutlicht, wie weit sich dieses Phänomen etabliert hat.  

Mitarbeiter nutzen solche Tools oft, um ihre Arbeitsabläufe zu optimieren. Die Risiken – Verlust der IT-Kontrolle, Datenschutzverletzungen, Compliance-Verstöße – zeigen, dass eine passive Haltung keine Option ist. Verbote lösen das Problem nicht, sondern verlagern es. Erfolgreiche Unternehmen setzen auf einen ausgewogenen Managementansatz.  

Technische Lösungen wie CASB und Cloud Discovery schaffen Transparenz über das Ausmaß der Schatten-IT. Gleichzeitig müssen strukturelle Ursachen angegangen werden: effizientere Freigabeprozesse, klare Richtlinien und die Einbindung der Fachabteilungen in IT-Entscheidungen.  

Der Schlüssel liegt in der Balance zwischen Sicherheit und Innovationsdrang der Mitarbeiter. IT-Abteilungen, die als Partner der Fachbereiche agieren und proaktiv auf deren Bedürfnisse eingehen, können Schatten-IT erfolgreich steuern. Durch eine strategische Herangehensweise minimieren Unternehmen Sicherheitsrisiken und nutzen das kreative Potenzial ihrer Belegschaft. Organisationen, die diesen Wandel aktiv gestalten, stärken ihre Sicherheitslage und Innovationsfähigkeit.  

FAQs – weitere Fragen zu Schatten-IT

Was versteht man unter Schatten-IT und warum ist es ein Problem für Unternehmen?

Schatten-IT bezeichnet IT-Ressourcen, die ohne Genehmigung der IT-Abteilung im Unternehmen genutzt werden. Es ist problematisch, weil es zu Kontrollverlust, Datenschutzverletzungen und Compliance-Risiken führen kann. 

Warum greifen Mitarbeiter auf nicht genehmigte Software zurück?

Mitarbeiter nutzen oft Schatten-IT aus Gründen der Produktivität, Bequemlichkeit oder wegen langsamer IT-Prozesse. Sie verwenden vertraute Tools aus dem Privatleben oder suchen nach schnellen Lösungen für ihre Arbeitsaufgaben. 

Welche Risiken birgt die Nutzung von Schatten-IT für Unternehmen?

Die Hauptrisiken umfassen Datenverlust, mangelnde Kontrolle über die IT-Infrastruktur, Datenschutzverletzungen, Compliance-Verstöße und zusätzliche Kosten durch doppelte Softwareanschaffungen. 

Wie können Unternehmen Schatten-IT effektiv managen?

Effektive Strategien beinhalten den Einsatz von CASB-Lösungen, Cloud Discovery zur Identifikation nicht genehmigter Apps, Mitarbeiterschulungen, klare IT-Richtlinien und die Einbindung von Fachabteilungen in IT-Entscheidungen. 

Ist ein vollständiges Verbot von Schatten-IT sinnvoll?

Ein reines Verbot ist selten zielführend. Stattdessen sollten Unternehmen einen ausgewogenen Ansatz verfolgen, der die Sicherheitsbedürfnisse mit dem Innovationsdrang der Mitarbeiter in Einklang bringt und die IT-Abteilung als Partner positioniert. 

Autorin Joanna Lang-Recht