Man kann es nun der Cloud, der Pandemie, dem Zusammenbruch zentralisierter IT-Systeme, der KI-Revolution oder all diesen Faktoren zuschreiben – doch in vielen Unternehmen gerät die Schatten-IT außer Kontrolle.
„Shadow-IT“ – also die Nutzung von IT-Systemen, Geräten, Software und Diensten durch Mitarbeiter ohne ausdrückliche Genehmigung oder Aufsicht durch die IT-Abteilung – kann viele Formen annehmen: Ein Beispiel hierfür ist ein Mitarbeiter, der sich für die kostenlose Testversion eines neuen Tools anmeldet. Es handelt sich um einen Manager mit Verwaltungsbefugnissen, der einen Antrag für seine Abteilung genehmigt und diesen ohne Aufsicht oder Genehmigung der IT-Abteilung umsetzt. Es handelt sich um eine neue Mitarbeiterin mit einem hybriden Arbeitsmodell, die einen USB-Stick verwendet, um Dokumente von ihrem Heimbüro zum Firmenbüro und wieder zurück zu transportieren.
Und laut Gartner handelt es sich dabei um ein Problem, das rasch an Bedeutung gewinnt. Das Technologie-Marktforschungsunternehmen prognostiziert, dass 75 Prozent der Mitarbeiter innerhalb der nächsten drei Jahre Technologien außerhalb des Sichtfelds der IT-Abteilung erworben, angepasst oder entwickelt haben werden – ein Anstieg gegenüber 41 Prozent im Jahr 2023.
„Mittlerweile hat in den meisten Unternehmen eine Demokratisierung der Technologie und der analytischen Arbeit stattgefunden“, erklärte Leigh McMullen, renommierter Vice President und Analyst bei Gartner, in einer Grundsatzrede auf dem Risikomanagement-Gipfel des Unternehmens im vergangenen Jahr. „Außerhalb der zentralen IT- und der bereichsbezogenen IT-Funktionen tut sich mehr als innerhalb dieser Bereiche.“ „Shadow-IT ist mittlerweile gang und gäbe.“
Der massive Wandel hin zu Remote-Arbeit ist ein wesentlicher Grund dafür. „Shadow-IT gab es schon immer, doch seit Beginn der Pandemie hat sie regelrecht explosionsartig zugenommen, da viele Menschen im Homeoffice arbeiten und ihre eigenen IT-Lösungen entwickeln“, erklärte Candy Alexander, CISO und Leiterin des Bereichs Cyberrisiken beim Technologieberatungsunternehmen NeuEon, in einem Exklusivinterview mit Focal Point .
Der rasante Aufstieg von „ “-Cloud- - und Software-as-a-Service-Lösungen (SaaS) verschärft das Problem zusätzlich. Und die sich abzeichnende KI-Revolution im Bereich „ “ macht dies zu einem Thema, das Unternehmen nicht länger ignorieren können. „Für die Mitarbeiter ist es so einfach, sich selbst Lösungen zu beschaffen“, sagt Alexander. „Das ist wirklich völlig außer Kontrolle geraten.“
Shadow-IT hat weiter an Bedeutung gewonnen – lernen Sie „Shadow-KI“ kennen
Eine der aktuellsten Sorgen hinsichtlich des nicht genehmigten Einsatzes von Technologie in Unternehmen ist die sogenannte „Shadow-KI“, also die Nutzung generativer KI zur Erstellung von Dokumenten, Code, Bildern und Audiodateien. „Shadow AI“ birgt für Unternehmen dieselben – oder möglicherweise sogar noch größere – Risiken wie „Shadow IT“.
Außerhalb der zentralen IT- und der bereichsbezogenen IT-Funktionen “ist mehr los als innerhalb dieser Bereiche. „Shadow-IT“ ist mittlerweile gang und gäbe.”Leigh McMullen, Vizepräsident und Analyst bei Gartner
„Angesichts der rasanten Verbreitung generativer KI hatten viele Unternehmen noch keine Gelegenheit, Richtlinien für den Einsatz von KI zu erarbeiten“, sagt Alexander. Zu den größten Risiken der „Schatten-KI“ gehört der Datenpool, aus dem das Unternehmen Inhalte bezieht. Sollten diese ungenau oder verzerrt sein, sind es auch die Ergebnisse, was möglicherweise dem Ruf des Unternehmens oder der Zuverlässigkeit seiner Produkte schaden könnte.
Nehmen wir beispielsweise ein Szenario, in dem Marketingmitarbeiter damit beginnen, KI-gestützte Social-Media- -Analysetools einzusetzen, um das Kundenverhalten zu analysieren, Werbekampagnen zu optimieren oder Trends vorherzusagen. Diese Mitarbeiter haben keine Genehmigung der Organisation für die Nutzung der KI-gestützten Tools eingeholt; daher unterliegen diese keiner ordnungsgemäßen Kontrolle und es wurden keine angemessenen Sicherheitsmaßnahmen getroffen. Zu den damit verbundenen Risiken könnte gehören, dass das Tool auf sensible Kundendaten oder geschützte Informationen zugreift, was zu Datenschutzverletzungen führen könnte, oder dass regulatorische Anforderungen wie HIPAA oder die Vorschriften der EU DSGVO nicht eingehalten werden.
Die Beschaffung und Nutzung dieser Systeme, Software, Dienste und Geräte ohne Genehmigung der IT-Abteilung stellt Unternehmen vor erhebliche Herausforderungen, so Alexander. Dies gefährdet die Daten des Unternehmens, da nicht bekannt ist, welche Anwendungen und Tools Zugriff darauf haben; es kann zu Compliance-Problemen führen, die möglicherweise rechtliche Konsequenzen sowie finanzielle Sanktionen und nach sich ziehen, sofern bestimmte Maßnahmen nicht erfüllt werden; und es kann eine fragmentierte IT-Umgebung mit uneinheitlichen Systemen begünstigen, die sich nicht nahtlos integrieren lassen.
[Lesen Sie auch: 6 Gründe, warum Mitarbeiter in Ihrem Unternehmen Schatten-IT nutzen]
„Bei der Sicherheit im Datenschutz geht es vor allem um die Identifizierung, Kontrolle und Überwachung“, sagt sie. „Und das ist unmöglich, wenn Ihre Mitarbeiter hinausgehen und alles überall und an beliebigen Orten abstellen.“ „Sie haben jegliche Kontrolle darüber verloren, wenn Sie nicht direkt davor sitzen.“
Auf der Suche nach Schatten-IT
Ohne die geeigneten Instrumente und Verfahren ist es schwierig einzuschätzen, inwieweit Ihr Unternehmen von Schatten-IT betroffen ist. Chris Cruz, CIO für den öffentlichen Sektor bei Tanium, erklärt jedoch, dass es einige Anzeichen gibt, auf die man achten sollte. „Shadow-IT“ ist in Unternehmen weit verbreitet, in denen die Abteilungen nicht der zentralen IT-Abteilung unterstehen, was zu einem Mangel an Governance-Strukturen und einer zentralisierten Beschaffung führt. Infolgedessen neigen diese Gruppen dazu, ihre eigenen Entscheidungen zu treffen, ihre eigenen Produkte zu kaufen und ihre eigenen Vorgehensweisen zu befolgen, sagt er.
“„Es ist für die Mitarbeiter so einfach, sich selbst Lösungen zu beschaffen.“Candy Alexander, CISO und Leiterin des Bereichs Cyberrisiken bei NeuEon
Zu den weiteren Anzeichen für Schatten-IT zählen unerklärliche Steigerungen der IT-Ausgaben, die auf den Erwerb nicht genehmigter Tools oder Software hindeuten, die nicht mit genehmigten IT-Projekten im Einklang stehen; vom zentralen Netzwerk getrennte Verbundnetzwerke, in denen Einzelpersonen keine Rechenschaft über ihre Entscheidungen ablegen müssen; und schließlich Sicherheitsvorfälle oder Datenlecks, die mit nicht genehmigten IT-Lösungen in Verbindung gebracht werden können.
Schatten-IT unter Kontrolle halten
Angesichts dieser hohen Risiken sollten Unternehmen konkrete Maßnahmen ergreifen, um Schatten-IT einzudämmen und zu kontrollieren – angefangen bei der Einführung von Tools zur Erkennung von Software und Anwendungen bis hin zur Einbeziehung der Nutzer in Gespräche über die von ihnen genutzten Technologien:
1. Investieren Sie in Technologien für die Bestandsverwaltung und -erfassung
Asset-Management-Tools, die zur Erfassung und Nachverfolgung von Anlagen in Unternehmen dienen, sowie Asset-Discovery-Tools, die Netzwerke scannen, um die mit dem Unternehmensnetzwerk verbundene Hardware und Software zu ermitteln, sind zwei Technologien, die für die Bekämpfung von Schatten-IT von entscheidender Bedeutung sind.
[Lesen Sie auch: Was versteht man unter der Erfassung und Bestandsaufnahme von IT-Assets?
„Die meisten Unternehmen wissen heutzutage nicht, welche Geräte an das Netzwerk angeschlossen sind“, sagt Cruz. „Sie wissen nicht, wie viele Endpunkte unter sie haben oder welche Ressourcen sich im Netzwerk befinden. „Ohne ein ordnungsgemäßes Asset-Management und ohne Einblick in die Vorgänge auf den Endgeräten können Sie nicht verwalten, was Sie nicht messen können.“
In einem Unternehmen mit etwa 120 Mitarbeitern beispielsweise identifizierten Discovery-Technologien 148 Anwendungen, von deren Existenz im Netzwerk die Organisation bisher nichts wusste, so Alexander. „Angesichts der Größe der Organisation ist das eigentlich völlig verrückt, aber diese Tools helfen dabei, genau zu erkennen, was vor sich geht.“
Diese Tools helfen Unternehmen nicht nur dabei, unbekannte Endgeräte, Software und Abonnements zu identifizieren, sondern sparen auch Kosten ein, indem veraltete Software außer Betrieb genommen wird, fügt Cruz hinzu. „Möglicherweise zahlen Unternehmen nach wie vor für Software, die sie gar nicht nutzen.“ „Diese Tools tragen zudem dazu bei, sicherzustellen, dass die Software, über die sie verfügen, ordnungsgemäß lizenziert ist, sodass bei Audits keine Probleme auftreten“, sagt er.
2. Erstellen Sie ein Inventar
Nach einer Bestandsaufnahme der Tools, der Hardware und der Software sollten Unternehmen ein Inventar erstellen, um festzustellen, was noch genutzt wird, ob es benötigt wird, welche Redundanzen bestehen, welche veraltete Software außer Betrieb genommen werden kann und bei welcher Software die Konditionen neu verhandelt werden könnten, so Cruz.
„Was man nicht messen kann, kann “man auch nicht steuern.“Chris Cruz, CIO für den öffentlichen Sektor bei Tanium
„Diese Bestandsaufnahme hilft Ihnen unter anderem dabei, festzustellen, welche Software im Einsatz ist, für die die Zugangsdaten bestimmter Personen noch nicht deaktiviert wurden und die möglicherweise weiterhin Zugriff auf kritische Daten gewähren“, sagt Cruz. „Dies unterstützt Sie nicht nur bei Ihren betrieblichen Abläufen und trägt zur Rentabilität bei, sondern hilft Ihnen auch dabei, Ihr Sicherheitsprofil zu optimieren und Software zu reduzieren, die potenzielle Sicherheitslücken aufweist, die Sie andernfalls nicht messen könnten.“
3. Beziehen Sie die Nutzergemeinschaft mit ein
Da die Mitarbeiter die Ursache für Schatten-IT sind, ist es laut Alexander von entscheidender Bedeutung, dass Unternehmen sie in Gespräche über die von ihnen genutzte Software und die von ihnen verwendeten Tools einbeziehen. Sie empfiehlt, die verschiedenen ähnlichen Tools oder Anwendungen auf einige wenige Optionen einzugrenzen und anschließend zu versuchen, zu verstehen , warum die Community diese nutzt und was ihr daran gefällt.
„Ihre ersten Worte sollten nicht lauten: ‚Nein, das dürfen Sie nicht.‘“ Sie müssen eine Beziehung zum Unternehmen und zur Nutzergemeinschaft aufbauen und wirklich verstehen, warum diese diese Tools nutzen. Liegt es daran, dass sie diese schon immer verwendet haben? Liegt es daran, dass ihnen jemand geraten hat, sie auszuprobieren? „Liegt es daran, dass die der Organisation zur Verfügung stehenden Instrumente ihren Anforderungen nicht gerecht werden?“ sagt sie. „Indem man ihre Meinung einholt, fühlen sie sich wertgeschätzt, da sie bei der Auswahl der Technologie eine wichtige Rolle spielen.“
4. Bildung und Ausbildung Vorrang einräumen
„Es ist wichtig, dass die Mitarbeiter verstehen, dass es Richtlinien gibt, die sie befolgen müssen, wenn sie neue Tools und Anwendungen einführen möchten“, sagt Cruz. Um die Schatten-IT in Unternehmen einzudämmen, sei die Schulung zu diesen Standardarbeitsanweisungen von entscheidender Bedeutung, sagt er.
“„Unsere oberste Priorität sollte es sein, dafür zu sorgen, dass das Sichere auch das Einfachste ist.“McMullen
„Die Nutzer müssen Teil der Lösung sein, doch sie müssen auch verstehen, dass sich jeder an dieselben Richtlinien und Verfahren für die Beschaffung neuer Technologien halten muss“, sagt er. „Je besser uns dies gelingt und je stärker Kommunikation, Partnerschaft und Vertrauen innerhalb unserer Organisation ausgeprägt sind, desto besser werden wir in der Lage sein, in Zukunft gegen Schatten-IT vorzugehen und sicherzustellen, dass es angemessene Richtlinien gibt, an die sich alle halten müssen.“
Tatsächlich erhöht laut Gartner die gemeinsame Entwicklung von Sicherheitsmaßnahmen mit den Anwendern die Wahrscheinlichkeit eines sicheren Verhaltens um 23 %. „Wir müssen uns intensiv mit der Mitarbeitererfahrung im Bereich der Cybersicherheit auseinandersetzen“, riet McMullen von Gartner. „Unsere oberste Priorität sollte es sein, dafür zu sorgen, dass das Sichere auch das Einfachste ist.“
Diese Richtlinien sollten Bestimmungen enthalten, wonach Mitarbeiter ausschließlich vorab genehmigte Anwendungen nutzen dürfen; Unternehmen sollten jedoch auch Verfahren bereitstellen, nach denen Nutzer neue Anwendungen und Tools zur Bewertung beantragen können – sei es über ein spezielles Portal oder ein Helpdesk-Ticket, so Alexander. „Das ist wichtig, weil man möchte, dass die Menschen das Gefühl haben, bei der Festlegung der technologischen Anforderungen mitwirken zu können“, sagt sie.
Da Unternehmen bestrebt sind, Schatten-IT zu bewältigen, ist es laut Cruz wichtig zu verstehen, dass es sich hierbei um einen fortlaufenden Prozess handelt. „Es ist wichtig, zu messen, zu steuern, nachzuverfolgen und sicherzustellen, dass sich alle an gemeinsame Prozesse und Standards halten und dass sie verstehen, wie wichtig es ist, dass in ihren jeweiligen Bereichen keine Türen unverschlossen bleiben“, sagt er. „Ich sage immer, dass Vorbeugen besser ist als Heilen, und dies ist der richtige Weg, dies zu erreichen.“
