Schatten-IT (engl. „Shadow IT“) bezeichnet Software, Hardware oder Cloud-Dienste, die Mitarbeitende ohne Zustimmung der IT-Abteilung nutzen. Da die IT-Abteilung keine Kenntnisse über die Nutzung hat, werden keine (regelmäßigen) Sicherheitsupdates durchgeführt und Kontrollen bleiben aus. Dies führt zu Cyberangriffen, Datenlecks und Datenverlust. Häufig geht damit auch die Missachtung von Gesetzen, Regulierungen und Unternehmensrichtlinien einher. Die steigende Anzahl an Software und cloudbasierten Lösungen erhöht die Bedrohungen durch Schatten-IT.

Beispiele für Schatten-IT

Es gibt diverse Beispiele für Schatten-IT:

• Nutzung von Schattenanwendungen: Mitarbeitende verwenden nicht genehmigte Softwareanwendungen oder Apps für ihre Arbeitsaufgaben, wie z. B. Messaging-Apps, Projektmanagement-Tools oder Collaboration-Plattformen.
• BYOD (Bring Your Own Device): Mitarbeitende nutzen ihre eigenen Geräte, um auf Unternehmensnetzwerke zuzugreifen, befolgen dabei aber nicht die geltenden Richtlinien.
• Zugriff Externer auf Daten: Externe wie Freiberufler oder Dienstleister verwenden ihre eigenen Geräte oder Anwendungen, um auf Unternehmensdaten zuzugreifen oder mit ihnen zu arbeiten. Die interne IT hat in diesem Fall keine Kontrolle über die IT-Nutzung.
• Verwendung von privaten USB-Flash-Laufwerken: Mitarbeitende nutzen private USB-Flash-Laufwerke, um schnell und einfach arbeitsbezogene Daten zu speichern und zu übertragen.
• Arbeit mit Cloud-Speicherlösungen: Zur Speicherung und gemeinsamen Nutzung von Dateien verwenden Mitarbeitende oft Cloud-Lösungen und File-Sharingplattformen wie Google Drive oder Dropbox, ohne dass dies von der IT-Abteilung genehmigt oder kontrolliert wird.
   

Es gibt mehrere Möglichkeiten, Schatten-IT zu reduzieren. Dazu zählt neben der Aufklärung der Mitarbeitenden über die Risiken und Folgen der Schatten-IT die Bereitstellung von Schulungen, in denen alles Wissenswerte über eine sichere Nutzung von IT-Systemen vermittelt wird. Auch Richtlinien fördern das Bewusstsein der Mitarbeitenden. Nicht zuletzt sollten Unternehmen Technologien zur Erkennung und Kontrolle von Schatten-IT-Anwendungen und -Diensten nutzen. Dies scheitert aber häufig an dem Mangel an (fachlichen) Ressourcen.

Zurück zum IT-Lexikon