Schatten-IT bezeichnet IT-Systeme, Software oder Cloud-Dienste, die von Mitarbeitenden ohne Wissen oder Genehmigung der IT-Abteilung eigenständig genutzt werden, wodurch diese außerhalb der offiziellen Sicherheitskontrollen und Überwachung des Unternehmens agieren, insbesondere im betrieblichen Alltag.
Schatten-IT entsteht häufig, wenn Mitarbeitende aus Bequemlichkeit oder zur schnelleren Erledigung von Aufgaben eigenständig Cloud-Dienste, Apps oder Software nutzen, ohne dass die IT-Abteilung davon Kenntnis hat, wodurch diese Systeme nicht in das offizielle Sicherheitskonzept des Unternehmens eingebunden sind.
Für Unternehmen ist Schatten-IT relevant, weil unbekannte, nicht überwachte Systeme blinde Flecken in der IT-Sicherheit schaffen, über die sensible Unternehmensdaten unkontrolliert abfließen oder Sicherheitslücken entstehen können, ohne dass die IT-Abteilung überhaupt von deren Existenz weiß.
Für Architektur- und Ingenieurbüros ist Schatten-IT relevant, wenn Mitarbeitende eigenständig nicht genehmigte Cloud-Speicherdienste zum Austausch von Projektdaten mit externen Partnern nutzen, wodurch sensible BIM-Daten außerhalb der Kontrolle und des Schutzniveaus der offiziellen Unternehmenssysteme landen könnten.
Abzugrenzen ist Schatten-IT von offiziell genehmigten, aber möglicherweise unzureichend abgesicherten Systemen, da der entscheidende Unterschied in der fehlenden Kenntnis und Kontrolle durch die IT-Abteilung liegt. Asset Management hilft, Schatten-IT durch eine vollständige Inventarisierung aller genutzten Systeme aufzudecken. Dies zeigt, wie eng die einzelnen Konzepte der Cybersicherheit miteinander verzahnt sind.
Für Sie als Geschäftsführerin oder Geschäftsführer eines Planungsbüros ist Schatten-IT relevant, weil Mitarbeitende eigenständig nicht genehmigte Cloud-Dienste zum Austausch von Projektdaten nutzen könnten, wodurch sensible BIM-Daten außerhalb der Kontrolle und des Schutzniveaus Ihrer offiziellen Systeme landen. Eine offene Unternehmenskultur, in der Mitarbeitende neue Werkzeuge transparent mit der IT-Abteilung besprechen können, sowie eine gezielte Suche nach ungenehmigten Systemen reduzieren dieses Risiko. Für die Cyberversicherung ist relevant, dass Schatten-IT ein häufig unterschätztes Risiko darstellt, da Sicherheitslücken in unbekannten Systemen bei der eigentlichen Risikoeinschätzung des Unternehmens gar nicht berücksichtigt werden können. Eine regelmäßige Überprüfung durch Ihren IT-Dienstleister schafft mehr Transparenz. Ein realistisches Verständnis dieses Zusammenhangs hilft Ihnen zudem, Prioritäten bei der eigenen IT-Sicherheit sinnvoll zu setzen und im Beratungsgespräch zur Cyberversicherung fundierte Fragen zu stellen.
Bei einer routinemäßigen Überprüfung entdeckt der IT-Dienstleister eines Ingenieurbüros, dass mehrere Mitarbeitende eigenständig einen nicht genehmigten, kostenlosen Cloud-Speicherdienst nutzen, um große BIM-Dateien mit externen Projektpartnern auszutauschen, da die offizielle Projektplattform ihnen zu umständlich erschien. Dieser Dienst entspricht nicht den Sicherheitsstandards des Unternehmens und war der IT-Abteilung bislang völlig unbekannt. Das Büro reagiert, indem es die Nutzung des inoffiziellen Dienstes unterbindet und gleichzeitig die offizielle Projektplattform nutzerfreundlicher gestaltet, um der Entstehung ähnlicher Schatten-IT künftig vorzubeugen. Der Vorfall wird intern dokumentiert und dient als Grundlage für weitere, gezielte Verbesserungen der eigenen IT-Sicherheit.
Schatten-IT bezeichnet IT-Systeme oder Cloud-Dienste, die von Mitarbeitenden ohne Wissen oder Genehmigung der IT-Abteilung eigenständig genutzt werden.
Mitarbeitende nutzen aus Bequemlichkeit oder zur schnelleren Aufgabenerledigung eigenständig Systeme, ohne die IT-Abteilung zu informieren.
Unbekannte, nicht überwachte Systeme schaffen blinde Flecken, über die sensible Daten unkontrolliert abfließen können.
Mitarbeitende könnten nicht genehmigte Cloud-Dienste für den Austausch sensibler BIM-Daten mit externen Partnern nutzen.
Asset Management hilft durch eine vollständige Inventarisierung aller genutzten Systeme, Schatten-IT systematisch aufzudecken.
• Security Operations Center (SOC) – kann ungewöhnliche Datenflüsse erkennen, die auf Schatten-IT hindeuten.
• Angriffsfläche – wird durch unentdeckte Schatten-IT unbemerkt vergrößert.
• Angriffsvektor – kann durch nicht überwachte Schatten-IT-Systeme entstehen.
• Attack Surface Management – hilft, auch Schatten-IT-Systeme in die Sicherheitsbewertung einzubeziehen.