Schatten-IT – Fluch (und Segen) für Unternehmen

Lesedauer ‘Schatten-IT – Fluch (und Segen) für Unternehmen’ 6 Minuten

Im Zeitalter voranschreitender Digitalisierung und der damit einhergehenden technologischen Entwicklung stehen Firmen vor einer Flut neuer Herausforderungen. Eine äußerst tückische, häufig unentdeckte Gefahr bedroht dabei die IT-Sicherheit und den Datenschutz in hohem Maße: die sogenannte ‘Schatten-IT’. Was sich hinter diesem Begriff versteckt und warum Unternehmen diese Bedrohung ernst nehmen müssen, erfahren Sie im folgenden Blogartikel.

Wo Schatten-IT herkommt

Automatisierung, Cloud-Computing, Big Data, künstliche Intelligenz, Internet der Dinge … technologischer Fortschritt hat die Geschäftswelt nachhaltig geändert und Unternehmen in die Lage versetzt, ihre Geschäftsstrukturen zu verbessern, datengetriebene Geschäftsmodelle zu erstellen und innovative Produkte oder Services zu schaffen. Ob es um Resilienz, Agilität, Effizienzsteigerung, innovative Wachstumsmöglichkeiten, Nachhaltigkeit oder auch Kostenvorteile geht – die Potenziale, die sich aus der fortschreitenden Evolution bahnbrechender Technologien herausbilden, sind quasi unendlich und eröffnen Unternehmen bisher unerwartete Chancen.

Laut einer aktuellen Studie des Capgemini Research Institutes passen sich etliche Firmen dieser Dynamik an und setzen den Fokus auf intelligente Produkte sowie Services, die auf digitalen Technologien und künstlicher Intelligenz aufbauen. Knapp sieben von zehn Unternehmen sind der Meinung, dass sie ohne Investitionen in intelligente Produkte und Services Marktanteile verlieren plus Wettbewerbsvorteile riskieren. Es wird erwartet, dass in den kommenden drei Jahren durchschnittlich 28 Prozent des Unternehmensumsatzes aus intelligenten Services kommen werden – aktuell sind es nur 12 Prozent.

Ungeachtet dieser Vorteile führt die Implementierung innovativer Technologien auch zu unerwarteten Nebenwirkungen.

Schatten-IT – eine Definition

Der Begriff ‘Schatten-IT’ bezeichnet den Einsatz von IT-Instanzen in der Infrastruktur eines Unternehmens, ohne das diese durch die IT-Abteilung autorisiert wurden. Dies geschieht häufig in Eigeninitiative der MitarbeiterInnen mit dem Hintergedanken, Zeit zu sparen und Arbeitsabläufe zu vereinfachen, um so die Produktivität zu potenzieren. Mögliche Risiken in Bezug auf IT-Sicherheit, Compliance oder Datenschutz werden dabei leider außer Acht gelassen – sei es durch Unwissenheit oder Fahrlässigkeit. Der Begriff definiert dabei sowohl Hardware- (private Mobiltelefone, Router, Drucker etc.) als auch Software-Komponenten (Cloud-Dienste, Apps, eigenentwickelte Anwendungen, Skripte usw.).

Schatten-IT – die Risiken auf einen Blick

Die unkontrollierte Nutzung solcher IT-Komponenten stellt eine große Bedrohung für Firmen dar und birgt immense Risiken. Ein paar der potenziellen Bedrohungen und Risiken von Schatten-IT sind:

Sicherheitsrisiken

Wenn Mitarbeiter Schatten-IT in Form von Hard- oder Software ohne die Befugnis oder das Wissen der IT-Abteilung nutzen, entstehen unweigerlich Sicherheitslücken. Und da der IT-Abteilung die Übersicht über diese Systeme fehlt, bleiben diese Sicherheitslücken zudem unentdeckt, was das Schadenspotenzial nochmals erhöht.

Compliance-Risiken

Unternehmen unterliegen oftmals branchenspezifischen Regeln, Normen und Gesetzen in Bezug auf IT-Sicherheitsanforderungen. Die Nutzung von Schatten-IT erhöht das Risiko der Nichteinhaltung dieser Vorschriften um ein Vielfaches. Rechtliche Konsequenzen, Strafen und Reputationsverlust sind die logische Folge.

Datenverlust

Im Rahmen der unautorisierten Nutzung von Schatten-IT erfolgt oftmals eine Speicherung sensibler Unternehmensdaten auf u.U. unzureichend gesicherten IT-Systemen (z.B. lokale Sicherung auf einem Tablet, Sicherung bei einem Cloud-Dienstleister). So entsteht ein hohes Risiko, dass diese Daten abhandenkommen (Geräteklau, Hackerangriffe usw.).

Mangelnder Support

Ohne die Unterstützung der IT-Abteilung, dedizierte Serviceverträge oder ähnliche Supportmodelle sorgt jede Störung an Schatten-IT-Komponenten für unnötige, langwierige Verzögerungen im Geschäftsablauf – dies führt den Initialgedanken, der überhaupt zum Einsatz solcher IT-Komponenten geführt hat, ad absurdum!

Ineffizienz

Ein weiterer ‘Ad Absurdum-Faktor’ – beschaffen einzelne Teammitglieder voneinander unabhängig Schatten-IT in Form von Hard- oder Software, kann es zu Kompatibilitätsproblemen kommen, was die Zusammenarbeit ineffizient macht (als Beispiel: unterschiedliche Dateiformate).

Unerwartete Folgekosten

Alle aus den vorangegangenen Punkten entstandenen Probleme sind mit Folgekosten in Form von Serviceeinsätzen verbunden. Die Behebung solcher Probleme ist nicht oder nur schwer kalkulierbar, wird so gut wie nie im Budget für IT-Ausgaben berücksichtigt und kommt in den meisten Fällen zum ungünstigsten Zeitpunkt.

Wie Sie Schatten-IT im Unternehmen identifizieren und verhindern

Um die Verbreitung von Schatten-IT in Unternehmen zu vermeiden oder zumindest einzudämmen, können Unternehmen verschiedene Ansätze verfolgen und sowohl präventive als auch reaktive Strategien in die IT-Sicherheitsstrategie integrieren. Ein elementarer erster Schritt liegt darin, die Erwartungen wie auch Ansprüche der Mitarbeiter zu ermitteln und passende Hard- und Software ganz offiziell bereitzustellen. Weitere Maßnahmen sind:

Richtlinien und Prozesse

Entwickeln Sie klare und informative Richtlinien für die Verwendung sämtlicher IT-Ressourcen und aktualisieren Sie diese in regelmäßigen Abständen. Im Rahmen dieser Richtlinien sollten Sie die Gefahren der Benutzung von Schatten-IT explizit ansprechen (und entsprechende Sanktionen für Verstöße festlegen).

Mitarbeitersensibilisierung und Schulung

Durch kontinuierliche Sensibilisierungsmaßnahmen und Schulungen machen Sie Ihre Mitarbeiter fit für die Gefahren von Schatten-IT. Effizienztipp: Die generelle Bedeutung der Einhaltung von IT-Sicherheitsrichtlinien und -Vorschriften (s.o.) in diesem Zusammenhang direkt mit aufzeigen!

Audits und Kontrollinstanzen

Die Durchführung regelmäßiger IT-Audits und die Einführung effizienter Kontrollinstanzen (Wartung o.ä.) identifiziert Schatten-IT und ermöglicht passende Gegenmaßnahmen.

Zugangskontrollen und Identitätsmanagement

Die Implementierung robuster Zugangskontrollen und eines funktionierenden Identitätsmanagements garantiert, dass ausschließlich autorisierte Benutzer Zugriff auf sensible Informationen oder Systeme haben.

Offene Kommunikation und Feedback-Kultur

Die Förderung einer geöffneten Kommunikations- und Feedback-Kultur sorgt für die proaktive Identifikation genutzter Schatten-IT. Motivieren Sie alle MitarbeiterInnen dazu, Zweifel bezüglich der internen IT-Sicherheit auszudrücken und Vorschläge für Optimierungen zu unterbreiten. Zudem kann das Team so gemeinsam Lösungen erarbeiten, die den Einsatz von Schatten-IT in Form von Hard- und Software grundlegend überflüssig machen.

Incident Response und Notfallplanung

Firmen sollten Incident Response-Pläne erstellen, welche klare Verantwortlichkeiten sowie Verfahren für die Interaktion mit Sicherheitsvorfällen im Kontext mit Schatten-IT definieren. Achtung: Dies Pläne müssen regelmäßig geprüft und ergänzt werden, um sicherzustellen, dass sie auf dem neuesten Stand der Technik sind und wechselnden Bedrohungen und Gefahren gerecht werden.

Schatten-IT: Eine Chance für Innovation und Kreativität im Unternehmen

Ungeachtet der Risiken, die mit dem Gebrauch von Schatten-IT verknüpft sind, gibt es auch einige Vorteile. Wenn Mitarbeiter selbstständig Programme aussuchen und implementieren, trägt dies zur Aufwertung ihrer Laune und Bindung an das Unternehmen bei. Sie sind motiviert, ihre Produktivität zu erhöhen und die Arbeit effizienter zu gestalten. Zudem sorgt die Integration der Teammitglieder bei der Auswahl Lösungen für hohe Akzeptanz – ein Garant für deren Nutzung.

Ein weiterer Vorteil von Schatten-IT ist die Workload-Reduzierung für die IT-Abteilung. Wie der Artikel zeigt, sind Schatten-IT-Komponenten alles andere als sicher oder sinnvoll, können jedoch als offizieller Bestandteil der IT-Infrastruktur den Aufwand der IT-Abteilung mindern. Zum Beispiel dann, wenn einzelne Teammitglieder sich um die Administration bestimmter Komponenten (auf Anwenderebene) selbst kümmern können und so die IT-Abteilung entlasten.

Zu guter Letzt kann tatsächlich eintreffen, was initialer Gedanke hinter autarkem Mitarbeiterhandeln war – Anstatt Anträge für ein neue Hard- oder Software-Komponente einzureichen und dann auf die Implementierung durch die IT-Abteilung warten zu müssen, nimmt Ihr Team die Sache in die eigenen Hände.

Fazit: Chancen nutzen, Risiken minimieren!

Fakt ist: Für Unternehmen ist Schatten-IT ein zweischneidiges Schwert. Einerseits kann sie die Arbeit beschleunigen und die Mitarbeiterzufriedenheit verbessern. Auf der anderen Seite birgt sie teils enorme Risiken in Bezug auf IT-Infrastruktursicherheit, Compliance sowie Datenschutz. Um die komplexen Herausforderungen mit Erfolg zu bewältigen, ist eine gesamtheitliche und präzise IT-Sicherheitsstrategie unabdingbar. Erstellen Sie hierfür einen Katalog aus pro- und reaktiven Maßnahmen. Durch die gründliche Implementierung solcher Konzepte sind Unternehmen in der Lage, die Gefahren von Schatten-IT effektiv zu reduzieren und eine sichere, effiziente und produktive Arbeitsumgebung für das Team zu schaffen.

Wollen auch Sie sich mit einer ganzheitlichen und umfangreichen IT-Sicherheitsstrategie vor den Risiken von Schatten-IT schützen? Haben Sie weiterführende Fragen zum Thema oder zu anderen Aspekten der IT-Sicherheit? Sprechen Sie uns an – unter 0800 4883 338 (innerdeutsch kostenfrei) sind wir für Sie da!

 

Weiterführende Infos: Audits und IT-Infrastrukturanalysen | IT-Sicherheitsanalysen aus Angreifersicht

 

Foto © Mue Ervive @ Pexels