Definition Was ist Schatten-IT?

Als Schatten-IT werden IT-Systeme, -Services oder -Lösungen bezeichnet, die ohne Wissen und Genehmigung der IT-Abteilung eingeführt und von Mitarbeitern für die Arbeit verwendet werden. Oft entsteht Schatten-IT, wenn IT-gestützte Lösungen für die Erledigung der Arbeitsaufgaben einzelner Abteilungen möglichst schnell bereitgestellt werden sollen. Für einzelne Abteilungen oder Mitarbeiter kann Schatten-IT vorteilhaft sein, für das Unternehmen entstehen aber auch viele Nachteile und Risiken.

Die englische Bezeichnung für Schatten-IT lautet "Shadow IT". Manchmal wird der Begriff "Stealth IT" verwendet. Es handelt sich bei Schatten-IT um IT-Systeme (Hard- und Software), IT-Lösungen und IT- oder Cloud-Services, die ohne Wissen der IT-Abteilung und unter Umgehung der üblichen IT-Genehmigungs- und -Einführungsverfahren eines Unternehmens beschafft, in Betrieb genommen und von Mitarbeitern für die Erledigung ihrer täglichen Arbeit verwendet werden.

Die Schatten-IT steht außerhalb der von der IT-Abteilung kontrollierten und verwalteten IT-Systeme. Sie entsteht häufig, wenn Mitarbeiter versuchen, möglichst schnell und effektiv IT-gestützte Lösungen für die Erledigung ihrer Arbeitsaufgaben zu finden und einzuführen, und die etablierten Genehmigungs- und Einführungsprozesse als zu umständlich und hinderlich empfunden werden.

Durch die Schatten-IT entsteht eine Lücke zwischen der offiziell genehmigten und gemanagten IT und den tatsächlich für die Geschäftsabläufe genutzten IT-Lösungen. Shadow IT ist ein weit verbreitetes Phänomen und in vielen Unternehmen und Organisationen vorzufinden. Besonders von Schatten-IT betroffen sind häufig Unternehmen, in denen junge, innovative Mitarbeiter mit guten IT-Kenntnissen beschäftigt sind, die auch privat komfortable IT-Lösungen nutzen. Die steigende Zahl und problemlose Verfügbarkeit cloudbasierter IT-Lösungen begünstigt das Entstehen von Schatten-IT. Für einzelne Abteilungen oder Mitarbeiter ist die Nutzung von Schatten-IT zunächst oft vorteilhaft. Langfristig und aus Sicht des Gesamtunternehmens entstehen durch die von den IT-Abteilungen nicht genehmigten und ihnen nicht bekannten IT-Lösungen aber zahlreiche Risiken und Nachteile.

Gründe für das Entstehen von Schatten-IT

Schatten-IT entsteht in der Regel, wenn Arbeitsanforderungen einzelner Abteilungen oder Personen von den vorhandenen, offiziell von der IT-Abteilung unterstützten IT-Lösungen nicht ausreichend erfüllt werden. Neue IT-Lösungen gemäß den etablierten Prozessen einzuführen oder vorhandene Lösungen entsprechend anzupassen, empfinden die Mitarbeiter als zu langwierig und zu aufwendig. Überlastete IT-Abteilungen, zu geringes IT-Budget, mangelndes Know-how der IT-Mitarbeiter, schlechte Abstimmung zwischen IT-Abteilungen und anderen Unternehmensbereichen, hohe Autonomie einzelner Fachbereiche, geringer organisatorischer Zusammenhalt, dezentrale Organisationsformen, unzufriedene Mitarbeiter und übermäßige Formalismen sind Faktoren, die das Entstehen von Schatten-IT begünstigen. Die Mitarbeiter begeben sich aus den genannten Gründen selbst auf die Suche nach geeigneten IT-Lösungen, die anschließend ohne Wissen der IT-Abteilung beschafft, installiert, betrieben und verwendet werden.

Mögliche Vorteile durch Schatten-IT

Durch die Schatten-IT entstehen zunächst zahlreiche Vorteile und Chancen für die jeweilige Abteilung und unter Umständen auch für das komplette Unternehmen. Zu diesen Vorteilen und Chancen zählen:

• höhere Effizienz der Prozesse durch aufgabenorientierte IT-Lösungen

• verbesserte Benutzerfreundlichkeit

• Steigerung der Produktivität

• höhere Motivation und Zufriedenheit der Mitarbeiter

• innovativere Prozesse

• kürzere Entwicklungszeiten und schnellere Einführung neuer Produkte

Mögliche Risiken und Nachteile für ein Unternehmen durch Schatten-IT

Diesen Vorteilen und Chancen stehen aus Unternehmenssicht zahlreiche durch Schatten-IT verursachte Nachteile und Risiken gegenüber. Durch den Wildwuchs von Hard- und Software, IT-Services und Anwendungen entsteht ein hohes Sicherheitsrisiko. Ohne professionelle Betreuung und Überwachung können Schwachstellen oder Sicherheitslücken der IT-Systeme und IT-Services unentdeckt bleiben. Es kann zu schwerwiegenden Sicherheitsvorfällen, Cyberangriffen, Datenverlust, Datendiebstahl oder Datenschutzverletzungen kommen. Die Einhaltung von gesetzlichen Vorschriften, Compliance-Richtlinien oder Unternehmensvorgaben ist unter Umständen ebenfalls nicht gegeben. Das Risiko von rechtlichen oder finanziellen Sanktionen für Unternehmen steigt.

Ein weiterer Nachteil durch Schatten-IT ist die zunehmende Heterogenität der IT-Landschaft. Inkompatibilitäten und nicht gemanagte IT-Systeme und IT-Komponenten können zu Störungen der Prozesse und Unterbrechungen der Workflows führen. Einzelne Abteilungen oder Teams verwenden unterschiedliche Tools und Anwendungen, was ihre Zusammenarbeit erschwert und negativen Einfluss auf die Gesamtperformance des Unternehmens hat. Die steigende Intransparenz der IT-Landschaft behindert eine effektive Planung der IT-Architektur und der benötigten IT-Kapazitäten. Weitere Nachteile und Risiken durch Schatten-IT sind Probleme in der Verfügbarkeit und im Support der IT und höherer Aufwand bei Veränderungsmaßnahmen oder Migrationen.

Einige typische Beispiele für Schatten-IT

Schatten-IT betrifft alle Bereiche der Informationstechnologie wie physische Systeme mit Hard- und Software, komplette IT-Lösungen, einzelne Anwendungen oder Dienste und Cloud-Services. Beispiele für Schatten-IT sind die Installation und der Betrieb eines eigenen Rechners oder Servers mit individuellen, ungenehmigten Anwendungen, die Nutzung von nicht genehmigten Kommunikationstools wie Messenger oder E-Mail-Services, die Verwendung von Cloud-Services beziehungsweise Software-as-a-Service für Büroanwendungen, selbst entwickelte Business-Intelligence-Anwendungen, die Nutzung nicht offiziell von der IT-Abteilung unterstützter Drucker oder Scanner, der Aufbau von Netzwerkverbindungen am offiziellen Unternehmensnetzwerk vorbei, der Betrieb nicht genehmigter Netzwerkkomponenten wie Router oder Switches, der Einsatz privater mobiler Geräte wie Smartphones, Laptops oder Tablets, die eigenmächtige Installation von lokalen Storage-Systemen oder die Nutzung von Cloud-Speicher für die Ablage von Unternehmensdaten und vieles mehr.

Strategien im Umgang mit Schatten-IT und Maßnahmen zu ihrer Reduzierung und Beseitigung

Schatten-IT ist ein weit verbreitetes Phänomen und lässt sich selbst durch strenge Vorgaben eines Unternehmens und die engmaschige Kontrolle durch die IT-Abteilung des Unternehmens kaum verhindern. Umso wichtiger ist es, Strategien, Abläufe und Regeln im Umgang mit Schatten-IT zu definieren und zu etablieren. Ohne entsprechende Maßnahmen kann Schatten-IT schnell außer Kontrolle geraten und zu einem riskanten und kostspieligen Problem für das Unternehmen werden. Es sind daher Maßnahmen zur Reduzierung oder Beseitigung oder zur Verhinderung der Entstehung neuer Schatten-IT zu ergreifen.

Eine sinnvolle Strategie im Umgang mit Schatten-IT kann aus diesen sechs Punkten bestehen:

• 1. Aufklärung der Mitarbeiter über mögliche Risiken und Folgen für das Unternehmen durch Schatten-IT

• 2. Identifizieren bereits vorhandener Schatten-IT

• 3. Prüfung der vorhandenen Schatten-IT (Identifizieren von Sicherheitsrisiken. Was darf weiter genutzt werden? Was muss abgeschaltet werden? Eventuelle nachträgliche Genehmigung oder Abschaltung. Integration in das Asset- und Konfigurationsmanagement etc.)

• 4. Entwickeln, Kommunizieren und Umsetzen von Richtlinien zur Schatten-IT

• 5. Einführung kontinuierlicher Kontrolllösungen

• 6. Optimierung der IT-Beschaffungs- und -Einführungsprozesse mit Ausrichtung an den tatsächlichen Bedürfnissen der verschiedenen Unternehmensbereiche

(ID:49581220)