Shadow IT

Ausführliche Erklärung

Shadow IT entsteht meist nicht aus böswilliger Absicht, sondern aus dem Wunsch nach Arbeitserleichterung und Effizienz. Mitarbeiter:innen nutzen private Dropbox-Accounts, um Dateien zu teilen, installieren ChatGPT zur Textverarbeitung oder verwenden WhatsApp-Gruppen für Projektabsprachen – oft ohne sich der Risiken bewusst zu sein. Studien zeigen, dass in deutschen Unternehmen durchschnittlich 87 verschiedene Cloud-Anwendungen genutzt werden, von denen die IT-Abteilung nur etwa ein Drittel kennt. Gartner schätzt, dass über 40 Prozent der Mitarbeitenden Technologien nutzen, die nicht offiziell verwaltet werden – mit steigender Tendenz.

Für KMU birgt Shadow IT erhebliche Risiken. Die fehlende Kontrolle über IT-Ressourcen gefährdet die Datensicherheit, da ungeprüfte Systeme Sicherheitslücken aufweisen können, die weder überwacht noch durch Updates geschlossen werden. Besonders kritisch wird es beim Datenschutz: Wenn Mitarbeiter:innen personenbezogene Daten über nicht genehmigte Cloud-Dienste verarbeiten, entstehen DSGVO-Verstöße mit möglichen Bußgeldern bis zu 20 Millionen Euro oder 4 Prozent des Jahresumsatzes. Auch Compliance-Anforderungen wie die NIS-2-Richtlinie werden unterlaufen, wenn unkontrollierte IT-Systeme nicht in Risikoanalysen erfasst sind. Hinzu kommen betriebliche Risiken: fehlende Backups, unkontrollierter Datenabfluss bei Mitarbeiterwechsel und versteckte Doppelkosten durch parallele Lizenzstrukturen.

Die Ursachen für Shadow IT liegen häufig in organisatorischen Defiziten: zu langsame Freigabeprozesse, fehlende benutzerfreundliche Alternativen oder mangelnde Kommunikation zwischen Fachabteilungen und IT. Mitarbeiter:innen greifen zu eigenen Lösungen, weil offizielle Tools nicht die gewünschte Funktionalität bieten oder Genehmigungen zu lange dauern. Verbote allein lösen das Problem nicht – sie treiben Shadow IT lediglich tiefer in den Untergrund. Eine erfolgreiche Strategie erfordert transparente Bestandsaufnahme, klare Richtlinien mit schnellen Freigabeprozessen, die Bereitstellung sicherer Standard-Tools und kontinuierliche Mitarbeiterschulungen zu Sicherheitsrisiken.