Was als Shadow IT gilt
Das entscheidende Merkmal von Shadow IT ist nicht die Art der Technik, sondern das Fehlen von Wissen und Freigabe durch die IT. Dasselbe Cloud-Speicherkonto ist genehmigte IT, wenn die Abteilung es bereitgestellt hat. Es wird zu Shadow IT, wenn ein Mitarbeitender es selbst eröffnet, um eine Aufgabe schneller zu erledigen.
Shadow IT tritt in drei Ebenen auf: Hardware, etwa ein privater USB-Stick, ein nicht verwaltetes Notebook oder ein von zu Hause mitgebrachter Router; Software, die ohne Antrag direkt auf einem Firmenrechner installiert wird; und Cloud- oder SaaS-Dienste, die mit einer dienstlichen E-Mail-Adresse und Kreditkarte abonniert werden, am Einkauf vorbei.
Shadow AI ist ein neuerer, engerer Begriff für die Nutzung öffentlicher KI-Chatbots oder KI-gestützter Tools ohne Freigabe. Meist gilt er als Teil des größeren Shadow-IT-Problems. Er verdient eine eigene Erwähnung, weil sich kostenlose KI-Tools schnell verbreiten und sensiblen Text aufnehmen können, den Nutzer dort einfügen.
Warum Shadow IT entsteht
Shadow IT ist selten ein bewusster Versuch, Sicherheit zu umgehen. Sie entsteht aus alltäglichen Reibungspunkten:
| Ursache | Was sie antreibt |
|---|---|
| Geschwindigkeit | Ein kostenloses Konto ist in fünf Minuten da, ein Antrag wartet |
| Vertrautheit | Mitarbeitende bringen Tools mit, die sie aus früheren Jobs kennen |
| Lücken im Tool-Set | Kann die Firmensoftware etwas nicht, suchen Leute eine Alternative |
| Remote- und Hybridarbeit | Private Geräte verwischen die Grenze zur Firmentechnik |
| Geringe sichtbare Kosten | Günstige SaaS-Tools lassen sich als Ausgabe abrechnen, ohne große Prüfung |
Was die IT auf einem Arbeitsplatzrechner sieht
Der Reiter Anwendungen in der Karte eines Arbeitsplatzrechners zeigt die installierten Programme, die Ebene, auf der das Software-Inventar nicht beantragte Programme sichtbar macht.
Häufige Beispiele
Shadow IT zeigt sich in vielen Formen. Am häufigsten sind:
- Private Cloud-Speicher- oder Filesharing-Konten, mit denen Arbeitsdateien zwischen Zuhause und Büro verschoben werden.
- Consumer-Messenger für dienstliche Gespräche statt der freigegebenen Unternehmensplattform.
- Ein Team, das mit eigenem Budget ein SaaS-Tool für Projektmanagement oder Design abonniert, ohne die IT einzubeziehen.
- Private USB-Sticks, externe Festplatten oder ein privates Notebook bzw. Smartphone im Firmennetz.
- Browsererweiterungen oder kleine Hilfsprogramme, die Mitarbeitende installieren, um eine Routineaufgabe zu beschleunigen.
- Nicht genehmigte öffentliche KI-Tools zum Entwerfen, Zusammenfassen oder Analysieren von Arbeitsinhalten (Shadow AI).
Warum Shadow IT riskant ist
Da Shadow IT außerhalb des IT-Inventars liegt, greifen die üblichen Schutzmaßnahmen nicht:
| Risiko | Was schiefgehen kann |
|---|---|
| Keine Sicherheitsaufsicht | Patches und Virenschutz erfassen nicht genehmigte Software nicht |
| Unkontrollierter Datenfluss | Daten verlassen Zugriffskontrollen und Prüfpfad ohne Nachweis |
| Compliance-Risiko | Vorgaben, wo regulierte Daten liegen dürfen, sind nicht durchsetzbar |
| Doppelte Ausgaben | Teams zahlen für Tools, die vorhandene Firmenlizenzen überschneiden |
| Kein Support | Verlässt der Einrichter das Unternehmen, hat die IT weder Wissen noch Hilfe |
Wie Organisationen Shadow IT aufspüren und steuern
Da Shadow IT durch fehlende IT-Sichtbarkeit definiert ist, beginnt die Steuerung mit deren Wiedergewinnung, durch automatisierte Discovery und ein aktuelles Register im IT-Asset-Management. Danach folgen die Ursachen:
- 1
Automatisiertes Inventar und Discovery
Endpoint-Agenten und Netzwerkscans melden, welche Hardware angeschlossen und welche Software installiert ist, auch Elemente, die nie im Asset-Register standen.
- 2
Konfigurationsbasislinien
Der Vergleich angeschlossener Geräte mit der genehmigten Konfiguration kennzeichnet Abweichungen.
- 3
Sichtbarkeit von Netz- und Cloud-Verkehr
Die Überwachung der Ziele des Datenverkehrs deckt SaaS-Nutzung auf, die nie den Einkauf durchlaufen hat.
- 4
Richtlinien und ein schnellerer Freigabeweg
Ein klarer, zügiger Antragsprozess verringert den Anreiz, die IT zu umgehen.
- 5
Sensibilisierung der Mitarbeitenden
Das Risiko in einfachen Worten zu erklären, statt Tools nur zu verbieten, macht Nachfragen vor der Installation wahrscheinlicher.
So sieht es in Anexet aus
Anexet Inventory gibt der IT einen Überblick darüber, was auf jedem Arbeitsplatzrechner installiert und angeschlossen ist.
1 / 4
Mit Sichtbarkeit beginnen
Shadow IT ist durch fehlende IT-Sichtbarkeit definiert, deshalb ist der erste Schritt, sie zurückzugewinnen. Danach werden die Ursachen beseitigt, etwa langsame Freigaben und Lücken bei den genehmigten Tools.
Weiterlesen: Corporate Security im Unternehmen; Top 10 Mythen, die Ihr Unternehmen von Informationssicherheit abhalten.
Shadow IT zu steuern beginnt damit, die Sichtbarkeit der IT zurückzugewinnen und dann die Ursachen zu beseitigen.
Anexet TeamWie Anexet das löst
Anexet bezeichnet keine einzelne Funktion als „Shadow-IT-Erkennung“, doch das Inventory-Modul verschafft der IT die Sichtbarkeit, die Shadow IT sonst verbirgt:
Da die Plattform on-premise bereitgestellt wird, bleiben die erfassten Hardware- und Softwaredaten innerhalb der eigenen Infrastruktur der Organisation.
Vollständiges Softwareinventar pro Rechner
der Reiter Applications listet jedes installierte Programm auf jeder Workstation auf, mit Herausgeber, Installationsdatum, Größe, Version und Pfad, und gibt der IT damit ein vollständiges Bild dessen, was tatsächlich läuft, statt dessen, was formell beantragt wurde.
Warnungen bei Konfigurationsabweichungen
für jeden Rechner lässt sich eine Referenzkonfiguration festlegen; ein angeschlossenes Gerät, das davon abweicht, oder ein erwartetes Gerät, das nicht mehr gefunden wird, wird markiert und dem Sicherheitsbeauftragten gemeldet, was Hardware aufdeckt, die außerhalb genehmigter Kanäle ins Netzwerk gelangt ist.
Nicht kategorisierte Websites und Anwendungen
die Aktivitätsüberwachung ordnet besuchte Websites und genutzte Anwendungen Kategorien zu, und Elemente, die außerhalb der bekannten Kategorien liegen, fallen als nicht erkannte Ziele auf, die eine Überprüfung wert sind.
Geräteverwaltung und Bürokarte
Geräte lassen sich überprüfen, Rechnerkarten zuordnen und auf einer visuellen Bürokarte verorten, was es erleichtert, Ausrüstung zu entdecken, die nie in die genehmigte Konfiguration eingetragen wurde.
Prüfpfad
jede Hinzufügung, Änderung oder Neueinstufung eines Geräts oder einer Konfiguration wird protokolliert, sodass ein neu entdecktes Stück Shadow-Hardware bereits ab dem Moment seiner Entdeckung eine aufgezeichnete Historie besitzt.
Anexet Inventory
Mehr erfahren