Schatten-IT

Definition

Schatten-IT bezeichnet IT-Systeme, Software oder Cloud-Dienste, die von Mitarbeitenden ohne Wissen oder Genehmigung der IT-Abteilung eigenständig genutzt werden, wodurch diese außerhalb der offiziellen Sicherheitskontrollen und Überwachung des Unternehmens agieren, insbesondere im betrieblichen Alltag.

Erklärung / Hintergrund

Schatten-IT entsteht häufig, wenn Mitarbeitende aus Bequemlichkeit oder zur schnelleren Erledigung von Aufgaben eigenständig Cloud-Dienste, Apps oder Software nutzen, ohne dass die IT-Abteilung davon Kenntnis hat, wodurch diese Systeme nicht in das offizielle Sicherheitskonzept des Unternehmens eingebunden sind.

Für Unternehmen ist Schatten-IT relevant, weil unbekannte, nicht überwachte Systeme blinde Flecken in der IT-Sicherheit schaffen, über die sensible Unternehmensdaten unkontrolliert abfließen oder Sicherheitslücken entstehen können, ohne dass die IT-Abteilung überhaupt von deren Existenz weiß.

Für Architektur- und Ingenieurbüros ist Schatten-IT relevant, wenn Mitarbeitende eigenständig nicht genehmigte Cloud-Speicherdienste zum Austausch von Projektdaten mit externen Partnern nutzen, wodurch sensible BIM-Daten außerhalb der Kontrolle und des Schutzniveaus der offiziellen Unternehmenssysteme landen könnten.

Abzugrenzen ist Schatten-IT von offiziell genehmigten, aber möglicherweise unzureichend abgesicherten Systemen, da der entscheidende Unterschied in der fehlenden Kenntnis und Kontrolle durch die IT-Abteilung liegt. Asset Management hilft, Schatten-IT durch eine vollständige Inventarisierung aller genutzten Systeme aufzudecken. Dies zeigt, wie eng die einzelnen Konzepte der Cybersicherheit miteinander verzahnt sind.

Praxisrelevanz

Für Sie als Geschäftsführerin oder Geschäftsführer eines Planungsbüros ist Schatten-IT relevant, weil Mitarbeitende eigenständig nicht genehmigte Cloud-Dienste zum Austausch von Projektdaten nutzen könnten, wodurch sensible BIM-Daten außerhalb der Kontrolle und des Schutzniveaus Ihrer offiziellen Systeme landen. Eine offene Unternehmenskultur, in der Mitarbeitende neue Werkzeuge transparent mit der IT-Abteilung besprechen können, sowie eine gezielte Suche nach ungenehmigten Systemen reduzieren dieses Risiko. Für die Cyberversicherung ist relevant, dass Schatten-IT ein häufig unterschätztes Risiko darstellt, da Sicherheitslücken in unbekannten Systemen bei der eigentlichen Risikoeinschätzung des Unternehmens gar nicht berücksichtigt werden können. Eine regelmäßige Überprüfung durch Ihren IT-Dienstleister schafft mehr Transparenz. Ein realistisches Verständnis dieses Zusammenhangs hilft Ihnen zudem, Prioritäten bei der eigenen IT-Sicherheit sinnvoll zu setzen und im Beratungsgespräch zur Cyberversicherung fundierte Fragen zu stellen.

Praxisbeispiel

Bei einer routinemäßigen Überprüfung entdeckt der IT-Dienstleister eines Ingenieurbüros, dass mehrere Mitarbeitende eigenständig einen nicht genehmigten, kostenlosen Cloud-Speicherdienst nutzen, um große BIM-Dateien mit externen Projektpartnern auszutauschen, da die offizielle Projektplattform ihnen zu umständlich erschien. Dieser Dienst entspricht nicht den Sicherheitsstandards des Unternehmens und war der IT-Abteilung bislang völlig unbekannt. Das Büro reagiert, indem es die Nutzung des inoffiziellen Dienstes unterbindet und gleichzeitig die offizielle Projektplattform nutzerfreundlicher gestaltet, um der Entstehung ähnlicher Schatten-IT künftig vorzubeugen. Der Vorfall wird intern dokumentiert und dient als Grundlage für weitere, gezielte Verbesserungen der eigenen IT-Sicherheit.

FAQ

Was ist Schatten-IT?

Schatten-IT bezeichnet IT-Systeme oder Cloud-Dienste, die von Mitarbeitenden ohne Wissen oder Genehmigung der IT-Abteilung eigenständig genutzt werden.

Warum entsteht Schatten-IT häufig?

Mitarbeitende nutzen aus Bequemlichkeit oder zur schnelleren Aufgabenerledigung eigenständig Systeme, ohne die IT-Abteilung zu informieren.

Warum ist Schatten-IT ein Sicherheitsrisiko?

Unbekannte, nicht überwachte Systeme schaffen blinde Flecken, über die sensible Daten unkontrolliert abfließen können.

Warum ist Schatten-IT für Ingenieurbüros relevant?

Mitarbeitende könnten nicht genehmigte Cloud-Dienste für den Austausch sensibler BIM-Daten mit externen Partnern nutzen.

Wie können Unternehmen Schatten-IT aufdecken?

Asset Management hilft durch eine vollständige Inventarisierung aller genutzten Systeme, Schatten-IT systematisch aufzudecken.

Verwandte Begriffe

• Security Operations Center (SOC) – kann ungewöhnliche Datenflüsse erkennen, die auf Schatten-IT hindeuten.

• Angriffsfläche – wird durch unentdeckte Schatten-IT unbemerkt vergrößert.

• Angriffsvektor – kann durch nicht überwachte Schatten-IT-Systeme entstehen.

• Attack Surface Management – hilft, auch Schatten-IT-Systeme in die Sicherheitsbewertung einzubeziehen.