Schatten-IT

Schatten-IT ist kein Sicherheitsproblem von Nachlässigen. Sie entsteht, wo ein freigegebenes Werkzeug schlechter ist als ein frei verfügbares — und das ist die häufigste Konstellation überhaupt.

Warum sie gerade jetzt wächst

Weil KI-Werkzeuge im Browser laufen, keine Installation brauchen, keine Beschaffung, kein Ticket. Ein Mitarbeiter, der eine Vertragsklausel zusammenfassen will, ist in dreißig Sekunden bei einem US-Dienst — mit dem Vertrag im Eingabefeld. Kein Netzwerkfilter der Welt fängt das ab, wenn es vom privaten Telefon aus passiert.

Das ist auch der Grund, warum die KI-Verordnung indirekt zur Souveränitätsfrage wird: Sie verlangt Dokumentation dessen, was eingesetzt wird. Wer das nicht weiß, kann die Pflicht nicht erfüllen. Siehe EU-KI-Verordnung (AI Act).

Was nicht funktioniert

Verbote. Wir haben noch keine Verbotsrichtlinie gesehen, die die Nutzung gesenkt hätte; sie senken die Sichtbarkeit. Danach ist dieselbe Nutzung vorhanden, nur ohne Protokoll und ohne Vertrag.

Was funktioniert

Erst messen, dann entscheiden. Ein Blick in die Proxy-Protokolle und in die Kreditkartenabrechnungen der Abteilungen zeigt in einem Nachmittag, was tatsächlich läuft. Das Ergebnis überrascht in jedem Unternehmen.

Einen Zugang stellen, der gut genug ist. Wenn die freigegebene Variante dieselbe Aufgabe genauso schnell erledigt, benutzt niemand die andere. Das ist die einzige zuverlässige Durchsetzung, die es gibt.

Die Beschaffung beschleunigen, nicht verschärfen. Ein Werkzeug für 15 Euro im Monat, dessen Freigabe sechs Wochen dauert, wird nicht beantragt, sondern privat gekauft.

Der Nebeneffekt für die Souveränität

Die Liste der tatsächlich genutzten Dienste ist dieselbe Liste, die NIS2 als Lieferantenübersicht verlangt und die jede Abhängigkeitsbetrachtung braucht. Wer Schatten-IT aufdeckt, hat den unangenehmsten Teil der Bestandsaufnahme bereits hinter sich. Siehe Auftragsverarbeitung und Unterauftragsverarbeiter.