Schatten-IT: ein enormes Sicherheitsrisiko für den deutschen Mittelstand

Welches Unternehmen kennt das nicht: Mitarbeiter:innen, die unüberlegt wichtige Unternehmensdaten per WhatsApp teilen oder im Homeoffice kritische Kundeninformationen auf einem beliebigen USB-Stick – der vielleicht ein Werbegeschenk war – speichern.

Die Nutzung von Geräten und Software, die nicht von der IT-Abteilung freigegeben wurde, wird auch als Schatten-IT bezeichnet, und öffnet Tür und Tor für eine Vielzahl von enormen betrieblichen Risiken: von der Offenlegung sensibler Daten über Cyberkriminalität bis zu Industriespionage im großen Stil.

Das Projekt „Wirtschaftsspionage und Konkurrenzausspähung in Deutschland und Europa“ (WISKOS) des Bundeskriminalamts kam 2018 zu dem Ergebnis, dass etwa jedes zweite deutsche Unternehmen bereits von Industriespionage betroffen war, geht aber von einer wesentlich höheren Dunkelziffer aus.

Jedes vierte betroffene Unternehmen gab an, dass der Vorfall im Zusammenhang mit dem Einsatz privater Geräte stand. Aber trotzdem ergriffen die Unternehmen nur selten Abhilfemaßnahmen.

Der Grund dafür? Gerade kleine und mittlere Unternehmen (KMU) verfügen meist nicht über ausreichend Zeit und Ressourcen, um ihre IT angemessen zu schützen oder sie sind von der Komplexität des Themas überfordert. Kein Wunder, dass in 80 Prozent aller Fälle von Wirtschaftsspionage mittelständische Unternehmen betroffen waren.

In diesem Artikel gehen wir den folgenden wichtigen Fragen auf den Grund:

• Was genau ist Schatten-IT?
• Warum ist Schatten-IT so beliebt?
• Was sind die Risiken von Schatten-IT?
• Wie können sich kleine und mittlere Unternehmen vor diesen Risiken schützen?

Was ist Schatten-IT?

Der Begriff Schatten-IT bezieht sich auf die Verwendung von Geräten und Software, die nicht von der IT-Abteilung eines Unternehmens abgesegnet worden sind und parallel neben der offiziellen IT-Infrastruktur existieren.

Remote-Work, das Arbeiten im Homeoffice und die zunehmende Verfügbarkeit von Cloudlösungen haben zu einem starken Anstieg der Schatten-IT geführt, da viele Mitarbeiter:innen sich daran gewöhnt haben, zu Hause ihre persönlichen Geräte und Kollaborationstools zu verwenden.

Schatten-IT entsteht meist, wenn die Software eines Unternehmens nicht die Anforderungen der Mitarbeiter:innen erfüllt.

Das sind die häufigsten Beispiele für Schatten-IT:

• P2P File-Sharing-Tools wie Dropbox
• Slack und Trello
• Skype
• Excel-Makros
• Bluetooth-basierte Tools wie AirDrop

• Messaging-Dienste wie WhatsApp, Snapchat und Facebook Messenger
• Google Drive
• Private E-Mail-Anbieter
• Persönliche Laptops, Smartphones oder Speichermedien

Warum ist Schatten-IT so beliebt?

Die meisten Mitarbeiter:innen haben keine schlechte Absicht, wenn sie Tools oder Geräte verwenden, die nicht von der IT-Abteilung freigegeben sind. Sie suchen normalerweise nach effizienten und effektiven Lösungen, um ihre Aufgaben schneller zu bewältigen – schneller als das IT-Team mithalten kann.

Oft füllen sie damit eine Lücke zwischen den vom Unternehmen bereitgestellten Lösungen und den eigenen Anforderungen. Sie möchten nicht warten, bis das IT-Team endlich Zeit hat, ihre beliebten Tools und Systeme ausgiebig zu testen und offiziell freizugeben.

Doch welche Risiken dieses Verhalten mit sich bringt, erläutern wir im folgenden Abschnitt.

Was sind die Risiken von Schatten-IT?

IT-Abteilungen sind nicht grundlos für die Freigabe von Tools und Geräten zuständig. Im Kern steht die Gewährleistung der Sicherheit von unternehmenskritischen Daten.

Die Schatten-IT stellt Unternehmen vor allem vor folgende Herausforderungen:

• Datenschutz: Unternehmen sind zur Einhaltung der europäischen Datenschutz-Grundverordnung verpflichtet, doch nicht alle Apps von Drittanbietern erfüllen diese Voraussetzungen. Bei Verstößen drohen Unternehmen Bußgeldzahlungen.
• Datensicherheit: Nicht ausreichend durch Passwörter und Verschlüsselung geschützte Daten sind leichtes Ziel für Hacker und Kriminelle. Im schlimmsten Fall werden Unternehmen Opfer von Industriespionage oder vertrauliche Kundendaten werden offengelegt.
• Kosten: Unternehmen entstehen unnötige Kosten durch mehrfache und versehentliche Software-Anschaffungen und ungenutzte Lizenzen. Wenn jede Abteilung eigene Abonnements abschließt, geht schnell der Überblick verloren.
• Datenverwaltung: Wenn die Mitarbeiter:innen eines Unternehmens wichtige Daten an verschiedenen Orten speichern, weiß am Ende niemand, welche Daten aktuell und richtig sind.

Kein Wunder, dass viele Unternehmen die Schatten-IT inzwischen kritischer betrachten und die Verwendung von Apps von Drittanbietern strikt untersagen.

Wie können kleine Unternehmen die Risiken von Schatten-IT verringern: 5 Tipps

In Zeiten von Homeoffice und Remote-Work lässt sich eine Schatten-IT nicht restlos vermeiden. Ihr Fachpersonal wird dem IT-Team in Sachen neueste Software für ihr Fachgebiet immer einen Schritt voraus sein.

SaaS-Anbieter bringen ständig neue Softwarelösungen auf den Markt, die bei Ihren Teammitglieder auf Anklang stoßen werden. Wie können Sie diese Risiken als kleines Unternehmen also so gering wie möglich halten?

Schulen Sie Ihre Mitarbeiter:innen

Nutzen Sie beispielsweise eine On-Demand-Schulungsplattform wie Salesforce Trailhead und bieten Sie Ihren Mitarbeiter:innen Fortbildungen in den Bereichen Cybersicherheit und Datenschutz an. Achten Sie darauf, dass alle Teammitglieder den Unterschied zwischen öffentlichen, privaten und vertraulichen Daten und die entsprechenden Risiken verstehen.

Kategorisieren Sie Ihre Unternehmensdaten und legen Sie gemeinsam fest, wie welche Daten gehandhabt werden müssen. Beschränken Sie die Nutzung von privaten Geräten (wie USB-Sticks) und kostenlosen File-Sharing-Angeboten auf Daten, die nicht unternehmenskritisch sind. 

Setzen Sie auf moderne und verknüpfte Software

Ihr Team nutzt nicht grundlos nicht-sanktionierte Geräte und Tools. Vielleicht sind Ihre derzeitigen Software-Lösungen und Ihre Hardware, wie Scanner oder Drucker, veraltet oder die einzelnen Programme sind nicht miteinander kompatibel. Für Ihre Mitarbeiter:innen bedeutet das meist unnötige Mehrarbeit und Effizienzeinbußen.

Denken Sie daher über die Einführung moderner Technologie nach, mit der Ihre Mitarbeiter:innen Daten mühelos – und vor allem sicher – speichern, teilen und auswerten können.

Eine zentrale Datenverwaltung ist außerdem die Voraussetzung für die Automatisierung von Routineaufgaben, wodurch sich Produktivitätslücken im Unternehmen beheben lassen. 

Fördern Sie eine offene Unternehmenskultur

Setzen Sie sich gemeinsam mit Ihrem Team an einen Tisch und besprechen Sie die aktuelle Lage. Welche Tools vermissen Ihre Mitarbeiter:innen? Warum bevorzugen Sie die Lösungen von Drittanbietern? Was können diese Anwendungen besser als Ihre derzeitige Unternehmenssoftware?

Überlegen Sie anschließend mit Ihrer IT-Abteilung, wie sich diese Tools auf sichere Weise in Ihre Unternehmensabläufe integrieren lassen. Vielleicht können Ihre Mitarbeiter:innen mithilfe von einfachen App-Buildern wie auf der IT-Plattform von Salesforce auch firmeneigene Lösungen mit ähnlicher Funktionalität erstellen.

Setzen Sie Ihre Digitalisierungsbemühungen fort

Inwieweit haben Sie bereits Fortschritte bei der Digitalisierung erzielt? Setzen Sie noch stets auf isolierte Legacy-Systeme oder sind Sie bereits in der Cloud? Verfolgen Sie eine einheitliche Strategie zum Datenmanagement?

Überhaupt ist Einheitlichkeit das Stichwort. Abteilungen, die sich für eigene Lösungen entscheiden, erschaffen oft Digitalisierungsinseln. Vermeiden Sie diese Art von Schatten-IT, indem Sie auf eine unternehmensweite Plattform wie ein CRM setzen, die mit Ihren Anforderungen mitwächst und Marketing, Vertrieb, Kundendienst und Buchhaltung unter einem Dach vereint.

Gehen Sie auf Spurensuche

Verschaffen Sie sich zuerst einen Überblick über die Schatten-IT in Ihrem kleinen und mittleren Unternehmen. Ergreifen Sie anschließend angemessene Sicherheitsmaßnahmen, um die davon ausgehenden Risiken zu minimieren.

Eliminieren Sie alle kritischen Risiken, die Ihr KMU finanziell ruinieren könnten. Schützen Sie Ihre wichtigsten Assets und Ihr Know-how vor Industriespionage, damit Sie nicht zu den 50 Prozent aller KMU gehören, die leider davon betroffen sind.

Werfen Sie ein Licht auf Ihre Schatten-IT

Eine Schatten-IT ist ein Einfallstor für Cyberkriminalität und Datendiebstahl und stellt für Unternehmen ein großes wirtschaftliches Risiko dar. Sie verlieren damit jedoch nicht nur wichtige Daten, sondern riskieren auch das Vertrauen ihrer Kund:innen und Partner:innen und schlussendlich ihren guten Ruf.

Mit nur drei Schritten bringen KMU jedoch Licht in das Dunkel:

• Schritt 1: Verschaffen Sie sich einen Überblick über das Ausmaß der Schatten-IT in Ihrem Unternehmen.
• Schritt 2: Prüfen Sie, ob die genutzte Software sicher ist und bieten Sie eventuell Alternativen an.
• Schritt 3: Legen Sie Richtlinien fest und vermeiden Sie somit, dass sich zukünftig neue Schatten-IT ausbreitet.

Schatten-IT wird sich nie vollständig vermeiden lassen, denn Ihre IT-Abteilung kann niemals mit der Geschwindigkeit mithalten, mit der neue Cloudlösungen und SaaS-Angebote auf dem Markt erscheinen.

Aber mit einem geschulten Team, das sich der Bedrohungen solcher Technologien bewusst ist, lassen sich Risiken abfedern. Gleichzeitig profitieren Ihre Mitarbeiter:innen von den allerneuesten Features.

Wie können Sie als kleines Unternehmen die größten Hürden bei der Digitalisierung und Automatisierung von Geschäftsprozessen überwinden? Unser neues E-Book liefert Antworten.