Was ist Schatten-IT?

Unter Schatten-IT versteht man alle Hard- und Softwarelösungen, die in einem Unternehmen genutzt werden, ohne dass die IT-Abteilung oder die Geschäftsführung davon weiß oder diese freigegeben hat.

Das können zum Beispiel sein:

• selbst installierte Programme auf Firmenrechnern,
• private Cloud-Speicher (z. B. Dropbox, Google Drive),
• Messenger- oder Videokonferenz-Tools außerhalb der Unternehmensrichtlinien,
• oder auch KI-Anwendungen wie ChatGPT oder Perplexity, die ohne Prüfung eingesetzt werden.

Was zunächst nach pragmatischer Eigeninitiative aussieht („Ich nutze nur schnell ein Tool, das mir die Arbeit erleichtert“), kann im Hintergrund massive Risiken für Datenschutz, Informationssicherheit und Compliance verursachen.

Warum Schatten-IT entsteht

Schatten-IT entsteht meist nicht aus böser Absicht, sondern weil Mitarbeitende nach schnellen, effizienten Lösungen suchen.

Gründe sind oft:

• zu langsame interne Freigabeprozesse,
• unflexible IT-Systeme,
• fehlende Alternativen für moderne Arbeitsweisen,
• oder schlicht Unwissen über Risiken und Pflichten.

Doch genau diese unkoordinierten Lösungen entziehen sich der Kontrolle – und damit auch dem Schutz.

Datenschutzrisiken: Wenn Daten außer Kontrolle geraten

Aus Sicht der Datenschutz-Grundverordnung (DSGVO) ist Schatten-IT besonders heikel, denn sie führt dazu, dass personenbezogene Daten außerhalb der offiziellen, geprüften Systeme verarbeitet werden.

Dadurch entstehen gleich mehrere Probleme:

• Keine Rechtsgrundlage, keine Transparenz: Wenn Tools oder Apps ohne Genehmigung genutzt werden, weiß niemand, welche Daten wohin übertragen werden. Die Informationspflichten (Art. 13/14 DSGVO) können nicht erfüllt werden, und die Rechtmäßigkeit der Verarbeitung steht infrage.
• Fehlende Auftragsverarbeitungsverträge (AVV): Für fast alle Tools, die personenbezogene Daten verarbeiten, ist ein AV-Vertrag nach Art. 28 DSGVO nötig. Bei Schatten-IT existiert dieser Vertrag in der Regel nicht – ein klarer Verstoß.
• Datenübermittlung in Drittländer: Viele „kostenlose“ Tools speichern oder verarbeiten Daten auf Servern außerhalb der EU. Ohne Angemessenheitsbeschluss oder geeignete Garantien ist das ein Datenschutzverstoß mit Bußgeldrisiko.
• Fehlende Löschkonzepte und Sicherheitsvorkehrungen: Daten, die in unkontrollierten Tools liegen, können nicht nach den Lösch- und Aufbewahrungsfristen des Unternehmens entfernt werden.

Damit drohen Datenlecks oder unbeabsichtigte Offenlegungen.

IT-Sicherheitsrisiken: Einfallstor für Cyberangriffe

Neben dem Datenschutz stellt Schatten-IT auch eine erhebliche Gefahr für die IT-Sicherheit dar.

Denn nicht autorisierte Anwendungen:

• umgehen Sicherheitsmechanismen wie Firewalls oder Endpoint Protection,
• öffnen Angriffsflächen durch ungesicherte APIs oder alte Versionen,
• entziehen sich dem Patch-Management,
• und erschweren das Incident-Response-Management, weil niemand weiß, wo Sicherheitsvorfälle überhaupt auftreten könnten.

Ein klassisches Beispiel: Ein Mitarbeiter speichert sensible Kundendaten in einer privaten Cloud, um sie „von zu Hause weiterzubearbeiten“. Diese Cloud wird gehackt – und das Unternehmen erfährt es nicht einmal.

Organisatorische Risiken: Wenn Kontrolle und Verantwortung verschwimmen

Auch aus Sicht der Unternehmensführung ist Schatten-IT riskant: Sie untergräbt zentrale Prozesse wie Risikomanagement, Compliance und interne Revision. Zudem kann sie dazu führen, dass Verantwortlichkeiten unklar werden – wer haftet, wenn Daten verloren gehen oder veröffentlicht werden?

Letztlich drohen finanzielle und reputative Schäden durch Datenschutzverstöße, Sicherheitsvorfälle oder den Verlust geschäftskritischer Informationen.

Wie Unternehmen Schatten-IT vermeiden können

Schatten-IT lässt sich nicht allein durch Verbote verhindern – sie entsteht dort, wo Bedarf auf fehlende Flexibilität trifft.

Effektive Gegenmaßnahmen sind:

• Klare Richtlinien für die Nutzung von Software und Cloud-Diensten.
• Zentrale Genehmigungsprozesse, die schnell und pragmatisch sind.
• Transparente Kommunikation: Mitarbeitende müssen wissen, warum bestimmte Tools nicht genutzt werden dürfen.
• Regelmäßige Schulungen, die technische und rechtliche Risiken greifbar machen.
• Monitoring & Audits: Regelmäßige Überprüfung von Netzwerk- und Applogdaten auf nicht genehmigte Anwendungen.
• Attraktive Alternativen bereitstellen: Wer sichere und moderne Tools anbietet, verhindert, dass Mitarbeitende auf Schattenlösungen ausweichen.

Fazit

Schatten-IT ist kein Randproblem, sondern ein ernstzunehmendes Compliance- und Sicherheitsrisiko.

Sie gefährdet Datenschutz, Informationssicherheit und die Glaubwürdigkeit des gesamten Unternehmens.

Der Schlüssel liegt in Transparenz, Sensibilisierung und gelebter IT-Governance – nicht in Kontrolle, sondern in Aufklärung.

Wenn Sie Ihre internen Datenschutz- und Sicherheitsprozesse auf mögliche Schatten-IT prüfen oder klare Richtlinien entwickeln möchten, unterstützen wir Sie gern beratend dabei.