Ein Team bucht sich ein eigenes Projekttool, weil das offizielle zu kompliziert ist. Ein Mitarbeiter lädt eine Kundenliste in einen privaten Cloud-Speicher, um von unterwegs darauf zuzugreifen. Beides klingt harmlos – und ist in vielen Unternehmen gelebter Alltag, ohne dass Geschäftsführung oder IT davon wissen. Genau das ist Schatten-IT.
Wie Schatten-IT entsteht
Die Ursache ist selten Nachlässigkeit, sondern meist Pragmatismus: Ein interner Freigabeprozess dauert zu lange, ein benötigtes Werkzeug fehlt offiziell, oder eine kostenlose App löst ein akutes Problem schneller als der offizielle Weg. Mitarbeiter wollen produktiv sein – und greifen zur nächstbesten Lösung.
Besonders häufig betrifft das Kommunikations- und Dateiaustausch-Tools: Wenn der offizielle Weg für den Versand großer Dateien umständlich ist, landet die Kundendatei schnell in einem privaten Cloud-Speicher – oft ohne böse Absicht, aber außerhalb jeder Kontrolle.
Die doppelte Kostenfalle
Schatten-IT kostet auf zwei Arten. Direkt, weil parallel bezahlte Tools dieselbe Funktion abdecken wie bereits vorhandene, offizielle Lösungen – ein klassischer Fall von SaaS License Sprawl. Indirekt, weil im Ernstfall – etwa beim Ausscheiden eines Mitarbeiters oder einem Sicherheitsvorfall – niemand genau weiß, welche Daten wo liegen und wie sie sich wiederherstellen oder sichern lassen.
Die indirekten Kosten zeigen sich oft erst Monate später: Verlässt eine Mitarbeiterin das Unternehmen, bleiben in einem nicht erfassten Tool häufig Kundendaten oder Dokumente zurück, auf die niemand mehr zugreifen kann – ein stiller Verlust, der in keiner Kostenaufstellung auftaucht.
Warum Schatten-IT ein Sicherheitsrisiko ist
Nicht freigegebene Tools durchlaufen keine Sicherheitsprüfung, sind nicht in die zentrale Backup-Strategie eingebunden und liegen außerhalb der üblichen Zugriffskontrolle. Im Zusammenspiel mit den in unserem Artikel zu Ransomware-Risiken beschriebenen Angriffsmustern entsteht so ein zusätzlicher, oft unbemerkter Angriffspunkt.
Besonders kritisch wird es, wenn ein solches Tool Zugriff auf Kundendaten oder Zahlungsinformationen hat: Ein Sicherheitsvorfall dort fällt möglicherweise erst auf, wenn der Schaden bereits eingetreten ist, weil das Tool schlicht nicht auf dem Radar der IT-Sicherheit stand.
Schatten-IT aufdecken, ohne Vertrauen zu zerstören
Der wirksamste erste Schritt ist unspektakulär: ein Abgleich von Kreditkartenabrechnungen und Abteilungsbudgets auf wiederkehrende Software-Buchungen. Ergänzend hilft ein offenes, nicht sanktionierendes Gespräch mit den Teams – meist zeigt sich schnell, welches Tool aus welchem konkreten Grund im Einsatz ist. Das liefert oft wertvolle Hinweise darauf, wo der offizielle Werkzeugkasten tatsächlich Lücken hat.
Entscheidend ist der Ton dieses Gesprächs: Wer Schatten-IT als Regelverstoß behandelt, treibt die Nutzung nur weiter unter den Radar. Wer stattdessen fragt, welches Problem das gefundene Tool löst, bekommt ehrliche Antworten – und oft die Grundlage dafür, eine offizielle, sichere Alternative bereitzustellen, die dasselbe leistet.
Häufige Fragen zu Schatten-IT
Was versteht man unter Schatten-IT?
Software oder Cloud-Dienste, die ohne Wissen oder Freigabe der IT-Abteilung eigenständig von Mitarbeitern genutzt werden.
Warum entsteht Schatten-IT überhaupt?
Meist aus Pragmatismus – langsame Freigabeprozesse oder fehlende offizielle Werkzeuge führen zu eigenmächtigen Lösungen.
Welche Kosten verursacht Schatten-IT konkret?
Direkt durch doppelt bezahlte Tools, indirekt durch Datenverlust- und Compliance-Risiken.
Welche Sicherheitsrisiken birgt Schatten-IT?
Fehlende Sicherheitsprüfung, keine Einbindung in Backups und keine zentrale Zugriffskontrolle.
Wie deckt man Schatten-IT im eigenen Unternehmen auf?
Durch Abgleich von Kreditkartenbuchungen und offene Gespräche mit den Teams über tatsächlich genutzte Tools.