Shadow IT: das Damoklesschwert für unsere Unternehmen

Der in den letzten zehn Jahren aufgekommene Begriff „Shadow IT" (auch „Rogue IT" im angelsächsischen Raum oder schlicht „Schatten-IT" in Deutschland) bezeichnet die Gesamtheit der Informationssysteme und Kommunikationslösungen, die ohne Genehmigung der IT-Abteilung (CIO) innerhalb eines Unternehmens eingesetzt werden.

Laut Gartner, das dieses Thema regelmäßig untersucht, handelt es sich um „Software, Dienste oder IT-Geräte, die nicht der IT-Abteilung einer Organisation gehören oder außerhalb ihrer Kontrolle liegen".

Da es „außer Kontrolle" ist, birgt das Shadow IT erhebliche Risiken für Unternehmen. Anhand von Schlüsselzahlen (aus aktuellen Drittstudien) und gezielten Erkenntnissen beleuchten wir dieses Phänomen, das unsere Unternehmen und die Integrität ihrer Daten bedroht.

DIE GESAMTE INFOGRAFIK HERUNTERLADEN

Alles beginnt mit den Mitarbeitenden

Laut einer Studie des Beratungsunternehmens Frost & Sullivan „geben mehr als 80 % der Angestellten zu, IT-Lösungen ohne formale Genehmigung ihrer IT-Abteilung zu verwenden."

Shadow IT ist also ein Massenphänomen, und Unternehmen müssen lernen, sich gegen sich selbst zu schützen. Schätzungsweise von etwa zwanzig in einem Unternehmen genutzten SaaS-Anwendungen wurden 7 davon nicht von der IT-Abteilung genehmigt. Das ist mehr als ein Drittel!

Ohne böse Absicht und ganz im Gegenteil (denn der Beweggrund ist sehr oft, ihre Produktivität zu steigern), sind es häufig die Mitarbeitenden selbst, die das trojanische Pferd ins Unternehmen einschleusen – aus vollständiger Unkenntnis der Risiken.

Hier sind 4 Situationen, in denen sich Shadow IT unweigerlich entwickelt:

• wenn Mitarbeitende der Meinung sind, dass die von der IT-Abteilung angebotenen Tools ihren fachlichen Anforderungen nicht gut gerecht werden;
• wenn ihre IT-Abteilung nicht reaktionsschnell genug ist oder die Anforderungen und Einschränkungen des Fachbereichs nicht ausreichend versteht
• wenn die Mitarbeitenden meinen, keine anderen Möglichkeiten zu haben, um die für ihre Aufgaben notwendigen Daten zu erhalten;
• wenn die Bedienung der Tools (Google Docs, Slack oder Dropbox ...) einfach, reibungslos und nahezu sofort erfolgt. „Diese Anwendungen können mit einem Klick heruntergeladen werden, und der Sinn, die IT-Abteilung über ihre Nutzung zu informieren, erscheint überflüssig." (Openip)

In dem Glauben, ein Problem zu lösen und Zeit zu sparen, erzeugen sie ebenso viele Schwachstellen für sich selbst, ihre Mitarbeitenden und das gesamte Unternehmen …

Vielfältige Nutzungen, die ebenso viele Bedrohungen darstellen

Laut dem CESIN (Shadow IT-Bericht 2017) schätzen IT-Abteilungen die Zahl der in ihrem Unternehmen genutzten Cloud-Anwendungen und -Dienste durchschnittlich auf 30 bis 40. In Wirklichkeit wird diese Zahl stark unterschätzt (man spricht von 250 bis 5.950 Cloud-Apps pro Unternehmen, mit einem Durchschnitt von rund 1.700 Apps (Shadow IT-Bericht 2017). Eine klaffende Wahrnehmungslücke, die keine Gewissheit über die nötigen Maßnahmen zur Prävention und Kontrolle des Shadow IT bietet.

Die Cloud-Speicherrevolution hat es Unternehmen wie Einzelpersonen ermöglicht, von der Cloud – oder besser gesagt den Clouds – zu profitieren: In seinem letzten Bericht erfasste Symantec mehr als 22.000 Cloud-Anwendungen mit geschäftlichem Charakter und Möglichkeit zum Informationsaustausch! Versuchungen genug für Mitarbeitende, ihre Lieblingssoftware ins Unternehmen einzuschleusen.

Welche Anwendungen, Cloud-Dienste und Geräte wurden also nicht von der IT-Abteilung genehmigt (was von Unternehmen zu Unternehmen sehr unterschiedlich ist)?

• Soziale Netzwerke: Twitter, Facebook, WhatsApp
• Dateispeicherung und -freigabe: Google Drive, Dropbox, WeTransfer
• Persönliche Messaging-Dienste: Outlook, Gmail, Yahoo
• Videoportale: YouTube, Dailymotion
• Persönliche Geräte: Computer, Tablet, Telefon
• Suchmaschinen: Google, Ecosia, Yahoo, Qwant

Ein weiteres trojanisches Pferd: das BYOD (»Bring Your Own Device«), das die CNIL als die Nutzung privater IT-Geräte (Tablet, Telefon, persönlicher Computer) in einem beruflichen Kontext definiert. Die Bereitstellung des eigenen Geräts durch Mitarbeitende, die die Grenze zwischen Berufs- und Privatleben, zwischen beruflicher und privater Software sowie zwischen beruflichen und persönlichen Daten aufhebt, stellt ebenfalls ein erhebliches Risiko für Unternehmen dar.

Lesen Sie auch: Urbanisierung und Governance im sozialen Unternehmensnetzwerk (SUN): Orientierungspunkte

Sicherheitslücken und Risiken von Cyberangriffen

Das Hauptrisiko des Shadow IT? Cyberkriminalität. „Im Jahr 2020 werden ein Drittel der Cyberangriffe auf das Shadow IT abzielen", so die seriöse Gartner-Studie.

Aber eine Vielzahl von Gefahren lauert für Unternehmen, die Shadow IT in ihrer Mitte grassieren lassen; das reicht von der Preisgabe strategischer Daten bis hin zum Infektionsrisiko durch Viren und dem Diebstahl von Zugangsdaten."

Hier sind die verschiedenen Risiken und Bedrohungen, die Shadow IT für Unternehmen darstellt:

• Sicherheit: Verletzung oder Diebstahl von Daten
• Kosten: generell höher als von der IT-Abteilung genehmigte Lösungen
• Compliance: eine willkürliche Anwendung der im Unternehmen geltenden Prozesse
• Datenzersplitterung und damit Informationsverlust
• fehlende technische Integration der Tools untereinander, also schlechter Informationsfluss
• Nachhaltigkeit: geringe Beständigkeit (da ein veraltetes Tool sofort oder parallel durch ein anderes ersetzt wird)
• DSGVO-Nichtkonformität
• Reputation: Risiko für das Unternehmensimage bei Problemen

Ein dennoch wachsendes Bewusstsein

Laut einer Studie, veröffentlicht von Entrust Datacard, sind 77 % der IT-Mitarbeitenden der Meinung, dass Schatten-IT bis 2025 zu einem größeren Problem in ihrem Unternehmen wird, wenn nichts dagegen unternommen wird.

Laut den Ergebnissen der letzten Umfrage, die vom Cybersicherheitsunternehmen Check Point und Dimensional Research durchgeführt wurde, berichteten 95 % der Unternehmen von zusätzlichen Herausforderungen durch die Einführung von Remote-Zugang in großem Umfang für Mitarbeitende und die Nutzung nicht genehmigter IT-Tools (Shadow IT).

IT-Abteilungen haben die Karten in der Hand

Um Shadow IT in ihrem Unternehmen einzudämmen und die Kontrolle über die von Mitarbeitenden genutzten Tools, Geräte und Software zurückzugewinnen, haben IT-Abteilungen mehrere Optionen:

• ein Netzwerk von Ansprechpartnern in jedem Fachbereich aufbauen, um Bedürfnisse (und Mängel) in der IT nach oben zu melden
• den Geschäftsteams bei der Umsetzung ihrer Projekte häufiger Unterstützung anbieten
• reaktive und effektive Hilfe bei den Problemen der IT-Integration von Fachtools anbieten

… und die Mitarbeitenden sensibilisieren für risikobehaftetes Verhalten.

Tatsächlich geben unter diesen 42 % an, dass eine klarere Politik, die beschreibt, wie Mitarbeitende Technologien anfragen können, dazu beitragen würde, neue Tools auf IT-konforme Weise einzuführen. (Quelle: Entrust Datacard, 2019)

Für Céline Massy, Architektin für digitale Transformation der IT beim CEA, „ist es für IT-Abteilungen dringend notwendig, kontinuierlich neue Bedürfnisse und Nutzungsweisen der Mitarbeitenden vorauszusehen. Eine kontinuierliche Beobachtung moderner Tools, die die Mitarbeitendenerfahrung verbessern können, ist keine Option mehr. Denn wenn die IT-Abteilung dabei nicht proaktiv ist, werden sich die Mitarbeitenden selbst die Lösungen suchen, die sie interessieren – und dabei manchmal Risiken bei der Sicherheit und im Datenmanagement eingehen. "

Im Bereich der Kollaborationstools (der den Großteil des Shadow IT ausmacht) wird ein weiterer Ansatz von IT-Abteilungen immer häufiger gewählt. Um Shadow IT zu begegnen, entscheiden sie sich für die Einführung einer kollaborativen Plattform, die es ermöglicht, den Austausch zu zentralisieren, zu modernisieren und zu sichern. Ein breites Funktionsspektrum, nativ integriert, das die meisten Geschäftsanforderungen abdeckt und Mitarbeitende so davon abhält, auf zusätzliche Tools zurückzugreifen.

Lesen Sie auch: 7 schlagende Argumente, um Ihre Unternehmensleitung von einem SUN-Projekt zu überzeugen

Entdecken Sie auch: die besten Kollaborationstools.

*
* *

Um mehr über Shadow IT zu erfahren, laden Sie unsere vollständige Infografik herunter:

Infografik herunterladen

Sehen Sie sich die vollständige Infografik an, um die Herausforderungen des Shadow IT für IT-Abteilungen sowie die verschiedenen damit verbundenen Risikoarten zu verstehen.

Herunterladen

Möchten Sie das Risiko von Shadow IT in Ihrem Unternehmen drastisch reduzieren? Das Team von Talkspirit steht Ihnen gerne zur Verfügung, um seine Lösung vorzustellen, Sie zu beraten und bei Ihrem Projekt zu begleiten. Kontaktieren Sie uns oder vereinbaren Sie eine Demo (kostenlose Beratung, unverbindlich).

Autoren: Benoît Renoul, Hugo Bessaguet

[Gestützt auf die Analyse von Drittanbieter-Studien beleuchten dieser Artikel und die dazugehörige Infografik die Ursachen und Herausforderungen des Shadow IT für KMU & mittelständische Unternehmen, mit dem Ziel, deren Führungskräfte stärker zu sensibilisieren]