Was ist Shadow IT?

Shadow IT (Schatten-IT) ist Hardware, Software oder Cloud-Services, die in einer Organisation genutzt werden, ohne Wissen oder Freigabe der IT-Abteilung. Der Name passt: Sie arbeitet im Schatten der offiziellen Tool-Liste - das Filesharing-Konto für große Dateien, das Projektboard in der kostenlosen Testversion, der Ersatz-Router unter dem Schreibtisch. Selten ist es böswillig. Fast immer löst jemand ein echtes Problem schneller, als es der offizielle Weg könnte - auf privaten Geräten im BYOD-Umfeld oder auf nicht genehmigten Endgeräten, die die IT nie gesehen hat.

Typische Beispiele für Shadow IT

• Kostenlose SaaS-Anmeldungen - Filesharing, Notizen, Design, Messaging, Projektboards, in Minuten mit der Arbeits-E-Mail registriert.
• Abteilungs-Abos - bezahlte Tools, über die Teamkarte gebucht und abgerechnet, nie an die IT gemeldet, und niemand liest die AGB.
• KI-Tools - Assistenten und Transkriptionsdienste, in die Mitarbeitende Firmendaten einfügen, ohne dass jemand prüft, wohin diese Daten gehen.
• Private Hardware - USB-Sticks mit Arbeitsdateien, private Laptops von zu Hause, privat gekaufte Webcams oder Scanner, weil das offizielle Gerät nie eingetroffen ist.
• Geräte außerhalb des Registers - aus der Portokasse gekaufte Geräte, physisch vorhanden, aber in keinem IT-Inventar - und damit nie gepatcht, versichert oder beim Offboarding zurückgeholt.

Warum Shadow IT entsteht

Shadow IT wächst in der Lücke zwischen dem Bedarf und der Dauer des offiziellen Wegs. Ein Beschaffungsprozess, der sechs Wochen braucht, verliert gegen eine kostenlose Testversion in neunzig Sekunden. Sie wächst auch dort, wo das genehmigte Tool wirklich schlechter ist: Leute umgehen die IT nicht zum Spaß, sondern um Reibung zu vermeiden. Deshalb liest man Shadow IT am besten als Rückmeldung - eine aktuelle Karte davon, wo das genehmigte Toolset versagt.

Die Risiken

• Daten, die niemand abrufen oder löschen kann - wenn die Person geht, bleiben Dateien in einem Konto, das die Firma nicht kontrolliert.
• Kein Sicherheitsnetz - Shadow-Tools stehen außerhalb von Backups, MFA und Patching.
• Lizenz- und Vertragsrisiko - nicht genehmigte Tools bedeuten ungelesene Bedingungen, Doppelkosten und Überraschungen bei Software-Audits.
• Blinde Flecken bei der Compliance - personenbezogene Daten in unbekannten Systemen sind ein Problem unter der DSGVO, und „wir wussten nicht, dass es das gibt” ist keine Rechtfertigung.
• Nicht erfasste Geräte - Hardware ohne Register lässt sich nicht absichern, prüfen oder zurückfordern.

Shadow IT erkennen

Am besten funktionieren die unspektakulären Methoden. Spesen und Kartenabrechnungen auf wiederkehrende kleine Abos durchsehen. SSO- und DNS-Protokolle auf bekannte SaaS-Domains prüfen; für größere Umgebungen gibt es dedizierte Cloud-Discovery-Tools. Jede Inventur und jedes Offboarding als Gelegenheit zur Entdeckung behandeln - bei der Übergabe zum Austritt tauchen die unbekannten Konten und Geräte auf. Und die Teams einfach fragen, was sie tatsächlich nutzen; die meisten sagen es offen, denn sie haben nie etwas versteckt - sie wurden nur nie aufgehalten.

Shadow IT in der Praxis reduzieren

Verbote allein treiben die Nutzung nur tiefer in den Schatten. Was wirkt: den genehmigten Weg schneller machen als den Workaround - eine kurze Liste genehmigter Tools, einen Anfrage-Weg mit schneller Antwort und ein sichtbares Register, damit klar ist, was schon existiert, bevor erneut gekauft wird. AMPthilly unterstützt dieses Muster mit einem Ablauf aus Mitarbeiteranfrage und Wunschliste an den Genehmiger, sodass es schneller geht, nach dem richtigen Tool zu fragen, als am Prozess vorbei zu kaufen - und alles Genehmigte landet mit Eigentümer und Historie im Register.

Verwandte Begriffe

• Endpoint - jedes Gerät im Netz, bekannt oder nicht
• MDM - Geräteverwaltung, die nur Geräte abdeckt, die IT kennt
• BYOD - private Geräte bei der Arbeit, der engste Nachbar von Shadow IT
• Hardware Asset Management - die Register-Disziplin, die unbekannte Geräte sichtbar macht
• IT Inventory - die periodische Zählung, bei der Shadow-Assets entdeckt werden