Wie finde ich Schatten-IT, ohne Misstrauen zu erzeugen?

Begleiten Sie eine neue Kollegin am ersten Arbeitstag und notieren Sie, welche Konten in vier Stunden entstehen. Ergänzend hilft ein Blick in Ausgaben über Kreditkarten und in die Zugriffe im Netzwerkprotokoll. Der erste Weg findet mehr und beschädigt nichts.

Was ist das eigentliche Risiko?

Nicht das Werkzeug selbst, sondern die fehlende Grundlage: keine Auftragsverarbeitung, kein Verzeichniseintrag, kein Löschkonzept, keine Kontrolle über die Zugänge beim Austritt einer Person.

Wie geht man mit den Funden um?

Pro Punkt eine von drei Entscheidungen: offiziell machen, ersetzen, oder abschaffen, weil der Bedarf nicht besteht. Das Ergebnis gehört in den Einarbeitungsplan, damit die nächste neue Person in einer entschiedenen Landschaft startet.

Zum Wissensteil

Praxis · 2 Min. Lesezeit · Aktualisiert 16. August 2026

Schatten-IT

Kurz gesagtSchatten-IT ist selten Ungehorsam. Sie zeigt, wo das offizielle Werkzeug eine Aufgabe nicht erfüllt.

Auf einen Blick

Was es ist: Nutzung von Diensten oder Geräten ohne Freigabe, Vertrag und Verzeichniseintrag
Typische Auslöser: Fehlende Funktion, fehlender Weg für Externe, zu langsame Freigabeprozesse, Migration ohne Bedarfsanalyse
Rechtliche Folge: Verarbeitung ohne Auftragsverarbeitungsvertrag und ohne Eintrag im Verzeichnis der Verarbeitungstätigkeiten
Häufigster Ort: Messenger, Dateiversand, Übersetzung, KI-Assistenten, Terminplanung
Bester Fundzeitpunkt: Der erste Arbeitstag einer neuen Person — dort entstehen die Konten sichtbar
Was nicht hilft: Ein Verbot ohne Ersatz; es verlagert die Nutzung dorthin, wo sie unsichtbar wird

Schatten-IT bezeichnet Werkzeuge, die im Unternehmen benutzt werden, ohne freigegeben, vertraglich geregelt und im Verzeichnis der Verarbeitungstätigkeiten erfasst zu sein. Der Begriff klingt nach Regelverstoß und wird deshalb meist als Disziplinproblem behandelt.

Nützlicher ist die umgekehrte Lesart: Schatten-IT ist die genaueste Rückmeldung, die ein Unternehmen bekommen kann. Sie zeigt exakt dort auf, wo das offizielle Werkzeug eine Aufgabe nicht erfüllt, die erfüllt werden muss.

Wie sie entsteht

Der Ablauf ist immer ähnlich. Eine Funktion fehlt — Sprachnachrichten, ein schneller Weg für Externe, ein großer Dateiversand, eine Übersetzung. Der offizielle Weg dauert zu lange oder existiert nicht. Jemand löst es sich selbst, es funktioniert, und innerhalb von zwei Wochen ist die Lösung Standard in der Abteilung.

Besonders zuverlässig entsteht sie nach Migrationen. Wer vor der Umstellung nicht gefragt hat, welche fünf Handgriffe am häufigsten vorkommen, erfährt es danach — auf diesem Weg.

Der Fundtag

Der ehrlichste Test kostet einen halben Tag Aufmerksamkeit: Begleiten Sie eine neue Kollegin am ersten Arbeitstag und schreiben Sie mit, welche Konten in den ersten vier Stunden entstehen.

Das offizielle Konto wird eingerichtet. Dann kommt eine Besprechung mit einem anderen Videodienst. Dann eine zu große Datei. Dann etwas, das gestaltet, unterschrieben oder übersetzt werden soll. Am Ende des Tages liegen Daten in vier bis sechs Diensten, und keiner davon steht im Verzeichnis.

Das ist kein Fehlverhalten, sondern eine Bedarfsanalyse, die Ihnen jemand geschenkt hat.

Was mit den Funden zu tun ist

Pro Punkt eine von drei Entscheidungen: offiziell machen, ersetzen oder abschaffen. Offiziell machen heißt: Vertrag, Verzeichniseintrag, Zugangsverwaltung — die Anforderungen stehen unter Auftragsverarbeitung.

Was nicht hilft, ist ein Verbot ohne Ersatz. Es verlagert die Nutzung auf private Geräte und Konten, und aus einem Bedienproblem wird ein Datenschutzproblem, das niemand mehr sehen kann.

Der aktuelle Schwerpunkt

Derzeit entsteht Schatten-IT am häufigsten bei KI-Werkzeugen. Der Reflex, sie zu verbieten, scheitert an der Nützlichkeit. Wirksamer ist eine einseitige Regel, welche Datenkategorien nie in ein fremdes Werkzeug gehören, zusammen mit einem freigegebenen Werkzeug, das gut genug ist — und mit dem Wissen, welche Pflichten die EU-KI-Verordnung ohnehin auslöst.

Häufige Fragen

Wie finde ich Schatten-IT, ohne Misstrauen zu erzeugen?: Begleiten Sie eine neue Kollegin am ersten Arbeitstag und notieren Sie, welche Konten in vier Stunden entstehen. Ergänzend hilft ein Blick in Ausgaben über Kreditkarten und in die Zugriffe im Netzwerkprotokoll. Der erste Weg findet mehr und beschädigt nichts.
Was ist das eigentliche Risiko?: Nicht das Werkzeug selbst, sondern die fehlende Grundlage: keine Auftragsverarbeitung, kein Verzeichniseintrag, kein Löschkonzept, keine Kontrolle über die Zugänge beim Austritt einer Person.
Wie geht man mit den Funden um?: Pro Punkt eine von drei Entscheidungen: offiziell machen, ersetzen, oder abschaffen, weil der Bedarf nicht besteht. Das Ergebnis gehört in den Einarbeitungsplan, damit die nächste neue Person in einer entschiedenen Landschaft startet.
Und KI-Werkzeuge?: Sie sind derzeit der häufigste Neuzugang. Statt eines Verbots hilft eine einseitige Regel, welche Datenkategorien nie in ein fremdes Werkzeug gehören — plus ein freigegebenes Werkzeug, das gut genug ist, damit niemand ausweicht.

Quellen

BSI — IT-Grundschutz, Baustein OPS.1.1.6

Siehe auch

Check Alternativen Landkarte