Schatten-IT: Schatten-IT bezeichnet Software, Geräte oder Cloud-Dienste, die Mitarbeitende ohne Freigabe der IT-Abteilung im Unternehmen einsetzen; sie stellt ein Risiko für die Informationssicherheit dar, weil solche Systeme außerhalb der offiziellen Inventarisierung und Kontrolle laufen.
Typische Beispiele für Schatten-IT sind private Cloud-Speicher, die für Firmendaten genutzt werden, nicht genehmigte Messenger-Dienste für die interne Kommunikation, selbst installierte Browser-Erweiterungen oder private Endgeräte, die ohne Freigabe auf Firmenressourcen zugreifen. Meist entsteht Schatten-IT nicht aus böser Absicht, sondern weil offizielle Werkzeuge als zu umständlich empfunden werden.
Das Risiko liegt darin, dass solche Systeme nicht im Inventar der Werte erfasst sind, keine Sicherheitsupdates über die zentrale IT erhalten und im Ernstfall nicht Teil des Notfallplans sind. Ein Datenabfluss oder eine Schwachstelle in einem Schatten-IT-System bleibt oft lange unentdeckt, weil niemand aktiv danach sucht.
- Nicht genehmigte Cloud-Speicher für Firmendaten
- Private Messenger für dienstliche Kommunikation
- Eigenmächtig installierte Software oder Browser-Erweiterungen
- Private Endgeräte mit Zugriff auf Firmenressourcen
ISO/IEC 27001 adressiert dieses Risiko über Annex A, unter anderem über A.5.9 Inventar der Werte und A.8.1 Endgeräte der Benutzer. Auch die NIS2-Richtlinie fordert von betroffenen Unternehmen ein aktuelles Verständnis der eingesetzten IT-Systeme als Grundlage für Risikomanagement.
Der Umgang mit Schatten-IT sollte weniger auf reines Verbot als auf Ursachenbekämpfung setzen: Bietet die offizielle IT-Ausstattung Werkzeuge, die tatsächlich zu den Arbeitsabläufen passen, sinkt der Anreiz für Mitarbeitende, eigene Lösungen zu suchen. Ergänzend helfen technische Maßnahmen wie eine zentrale Geräteverwaltung, eingeschränkte Installationsrechte auf Firmengeräten sowie eine klare, verständlich formulierte Richtlinie, welche Software und Dienste erlaubt sind und welche nicht.
Relevanz für die Zertifizierung
Für ein ISMS nach ISO 27001 ist Schatten-IT ein klassischer blinder Fleck: Wenn das Inventar der Werte nach Annex A A.5.9 nicht vollständig ist, kann auch die Risikoanalyse nicht vollständig sein. Auditoren prüfen deshalb, ob Unternehmen Prozesse zur Erkennung nicht genehmigter Systeme etabliert haben, etwa durch Netzwerküberwachung oder regelmäßige Abfragen bei Mitarbeitenden, und ob eine klare Richtlinie zur Nutzung eigener Software und Geräte existiert.
Häufige Fragen zu Schatten-IT
Meist weil Mitarbeitende offizielle Werkzeuge als zu langsam, zu kompliziert oder nicht ausreichend empfinden und stattdessen private Cloud-Dienste, Messenger oder Software nutzen. Selten steckt böse Absicht dahinter, das Risiko entsteht aber trotzdem durch fehlende Kontrolle und fehlende Updates.
Schatten-IT gefährdet vor allem das Inventar der Werte nach Annex A A.5.9 sowie die Kontrolle über Endgeräte nach A.8.1. Ist Schatten-IT nicht erfasst, bleibt die Risikoanalyse lückenhaft, was im Zertifizierungsaudit als Abweichung auffallen kann, insbesondere wenn Auditoren gezielt nach dem Umgang mit privaten Geräten und Cloud-Diensten fragen.
Ja. Die NIS2-Richtlinie verlangt von betroffenen Unternehmen ein aktuelles Bild ihrer IT-Systeme als Basis für das Risikomanagement und für Meldepflichten bei Sicherheitsvorfällen. Nicht erfasste Schatten-IT-Systeme unterlaufen dieses Bild, erschweren die Nachweisführung gegenüber Aufsichtsbehörden und können im Ernstfall die Ursache eines Vorfalls sein, die sich nicht schnell genug identifizieren lässt.