In diesem Artikel 8 Abschnitte
Ein Online-Werkzeug ist mit wenigen Klicks abonniert. Im Arbeitsalltag löst es vielleicht ein echtes Problem, taucht aber weder im IT-Inventar noch in der Lizenzplanung auf. Kritisch wird Schatten-IT nicht allein wegen der zusätzlichen Rechnung, sondern weil unklar bleibt, welche Daten wo liegen, wer Zugriff hat und wie das Unternehmen bei einem Austritt oder Anbieterwechsel weiterarbeitet.
Warum Schatten-IT entsteht
Mitarbeitende beschaffen Dienste meist nicht, um Regeln zu umgehen. Häufig fehlen ein geeignetes Werkzeug, ein verständlicher Freigabeweg oder eine rechtzeitige Antwort. Auch Testkonten werden schrittweise produktiv: Erst entsteht eine Grafik, später liegen Kundendaten, Vorlagen und Freigaben im selben Konto.
Ein reines Verbot löst diese Ursache nicht. Es kann die Nutzung lediglich weniger sichtbar machen. Das Ziel sollte eine kurze, verlässliche Entscheidung sein: freigeben, mit Auflagen weiterführen, ersetzen oder geordnet beenden.
Zuerst ein belastbares Inventar erstellen
Beginnen Sie mit den vorhandenen Spuren. Prüfen Sie Kreditkarten- und Spesenabrechnungen, Lieferantenlisten, Browser-Lesezeichen auf verwalteten Geräten, Single-Sign-on-Anwendungen sowie OAuth-Zustimmungen. Netz- oder Cloud-App-Erkennung kann zusätzliche genutzte Dienste sichtbar machen. Solche technischen Funde sind Hinweise; sie müssen fachlich bestätigt werden, bevor Sie daraus Massnahmen ableiten.
Erfassen Sie pro Dienst mindestens:
- Zweck und verantwortlicher Fachbereich
- Vertragsinhaber, Abrechnung und Kündigungsfrist
- administratives Konto und Stellvertretung
- Nutzergruppen und Berechtigungen
- verarbeitete Datenkategorien und Speicherorte
- Schnittstellen zu anderen Systemen
- Export-, Lösch- und Exit-Verfahren
- Freigabestatus und nächster Prüftermin
Private oder gemeinsam verwendete Administratorkonten sollten in kontrollierte Firmenkonten überführt werden. Kündigen Sie jedoch nicht voreilig: Zuerst müssen Daten, Abhängigkeiten und laufende Prozesse gesichert sein.
Risiken nach Wirkung priorisieren
Nicht jedes unbekannte Abo hat dieselbe Dringlichkeit. Eine einfache Bildbearbeitung mit veröffentlichten Inhalten ist anders zu behandeln als ein CRM mit Kundenhistorie oder ein Transkriptionsdienst mit Gesprächsaufzeichnungen.
Priorisieren Sie Dienste mit besonders schützenswerten Personendaten, Geschäftsgeheimnissen, weitreichenden OAuth-Berechtigungen, externen Freigaben oder fehlender administrativer Kontrolle. Ebenfalls kritisch sind Konten, die an eine private E-Mail-Adresse oder eine einzelne Kreditkarte gebunden sind. Ein Hersteller-Risikoscore kann die Vorprüfung unterstützen, ersetzt aber weder Vertragsprüfung noch die Bewertung Ihres konkreten Anwendungsfalls.
Einen schlanken Freigabeprozess einführen
Ein KMU braucht dafür kein grosses Gremium. Ein kurzes Formular und eine benannte Entscheidungsperson reichen oft aus. Fragen Sie vor der Beschaffung:
- Welches Problem löst der Dienst, und gibt es bereits eine freigegebene Alternative?
- Welche Personen- und Geschäftsdaten werden verarbeitet?
- Wo verarbeitet der Anbieter diese Daten, und welche Unterauftragnehmer sind beteiligt?
- Unterstützt der Dienst Mehrfaktor-Authentifizierung, Rollen und zentrale Administration?
- Wie lassen sich Daten exportieren und nach Vertragsende löschen?
- Welche Kosten entstehen bei zusätzlichen Nutzern, Speicher oder Schnittstellen?
- Wer übernimmt Betrieb, Schulung und Austrittsprozesse?
Soweit das auslagernde Unternehmen datenschutzrechtlich Verantwortlicher ist, bleibt es für die datenschutzkonforme Bearbeitung verantwortlich; der Cloud-Anbieter handelt häufig als Auftragsbearbeiter. Verträge und technische Kontrollen müssen deshalb zum Risiko passen. Ein Speicherort in der Schweiz beantwortet nur einen Teil der Prüfung: Auch Betreiberzugriffe, Supportwege, Unterauftragnehmer und internationale Bekanntgaben sind zu beurteilen.
Identitäten statt einzelner Passwörter verwalten
Wo möglich, binden Sie freigegebene SaaS-Dienste an die zentrale Identitätsverwaltung an. Single Sign-on erleichtert die Zuordnung von Zugriffen; Mehrfaktor-Authentifizierung schützt zusätzlich gegen die Nutzung gestohlener Passwörter. Rollen sollten nach Aufgabe vergeben und bei Stellenwechsel oder Austritt zeitnah angepasst werden.
Kontrollieren Sie auch App-Zustimmungen. Ein scheinbar kleines Zusatzwerkzeug kann über OAuth Rechte auf E-Mail, Dateien oder Kontakte erhalten. Definieren Sie, wer solche Berechtigungen genehmigen darf, und überprüfen Sie bestehende Zustimmungen regelmässig. Die technischen Grundlagen dafür gehören zu einem sauber betriebenen Modern Workplace.
Portabilität und Exit vor dem Einkauf prüfen
Ein Download-Knopf allein beweist noch keine brauchbare Exit-Fähigkeit. Testen Sie, ob sich Daten, Anhänge, Metadaten und Beziehungen in dokumentierten Formaten exportieren lassen. Klären Sie, wie lange der Zugriff nach Kündigung besteht und wie die Löschung bestätigt wird. Dokumentierte APIs, offene Formate und verbreitete Standards erleichtern Migrationen und reduzieren die Bindung an einen einzelnen Anbieter.
Open-Source-Lösungen und selbst kontrollierbare Infrastruktur sollten als echte Alternative geprüft werden, besonders bei sensiblen Daten oder zentralen Geschäftsprozessen. Sie schaffen jedoch nicht automatisch geringere Kosten oder bessere Sicherheit: Updates, Überwachung, Sicherungen und Verantwortlichkeiten bleiben nötig. Entscheidend ist, dass Sie zwischen Cloud-Dienst, Schweizer Hosting und eigenem Betrieb bewusst wählen können. Für KI-Dienste kommen Modellnutzung und Trainingsbedingungen hinzu; dazu finden Sie Kriterien unter KI & Datenhoheit.
Abos laufend konsolidieren
Nach dem Inventar folgt die Bereinigung. Ordnen Sie doppelte Werkzeuge nach tatsächlichem Zweck, nicht nur nach Produktkategorie. Prüfen Sie aktive Nutzer, ungenutzte Konten und separat gekaufte Funktionsüberschneidungen. Behalten Sie Ausnahmen, wenn sie fachlich begründet sind; dokumentieren Sie aber Eigentümer, Kostenstelle und Prüftermin.
Wenn ein Dienst ersetzt wird, planen Sie Datenexport, Validierung, Nutzerumstellung, Abschaltung von Schnittstellen und Löschbestätigung als einen zusammenhängenden Ablauf. Wiederkehrende Freigaben und Austritte lassen sich anschliessend über KMU-Automatisierung unterstützen – nicht bevor Regeln und Zuständigkeiten feststehen.
Schatten-IT wird beherrschbar, wenn Beschaffung einfach, Zuständigkeit sichtbar und ein Exit jederzeit vorbereitet ist. Unterstützung beim Inventar, bei Identitäten und beim laufenden Betrieb finden Sie unter Managed IT Services.