Was ist Schatten-IT?

Was ist Schatten-IT?

Der Begriff „Schatten-IT“ bezieht sich auf die nicht genehmigte Nutzung von Software, Hardware oder anderen Systemen und Diensten innerhalb eines Unternehmens, oft ohne Wissen der IT-Abteilung. Im Gegensatz zur Standard-IT-Infrastruktur wird Schatten-IT nicht intern von dem Unternehmen verwaltet.

Schatten-IT kann auf unterschiedliche Weise in ein Unternehmen eindringen, aber normalerweise geschieht dies durch eine von zwei Aktionen:

1. Verwendung eines nicht genehmigten Tools, um auf Unternehmensdaten zuzugreifen, sie zu speichern oder freizugeben. Wenn ein Unternehmen beispielsweise ausschließlich Google Workspace für die gemeinsame Nutzung von Dateien zugelassen hat, könnte ein Mitarbeiter Schatten-IT in das Unternehmen einführen, indem er Dateien über Microsoft 365 freigibt.
2. Unerlaubter Zugriff auf ein genehmigtes Tool. Um das Beispiel fortzusetzen: Wenn eine IT-Abteilung die Nutzung von Google Workspace über vom Unternehmen verwaltete Konten genehmigt hat, kann ein Mitarbeiter eine Schatten-IT in das Unternehmen einführen, indem er stattdessen über ein nicht verwaltetes persönliches Konto auf Google Workspace zugreift.

Unabhängig davon, ob die Einführung von Schatten-IT beabsichtigt ist oder nicht, verursacht sie ernsthafte Sicherheitsrisiken und Kosten. Sie erhöht das Risiko von Datenschutzverletzungen, Diebstahl und anderen Cyberangriffen und hält IT-Teams davon ab, möglichen Schaden mit kritische Maßnahmen zu begrenzen.

Warum nehmen die Nutzer Schatten-IT an?

Angesichts der unzähligen Sicherheitsrisiken von Schatten-IT mag es überraschen, dass Mitarbeiter bei der Einführung neuer Tools die IT-Genehmigung umgehen wollen. Die Gründe dafür können wie folgt aussehen:

• Die Mitarbeiter sind sich der Sicherheitsrisiken der Schatten-IT nicht bewusst. Die Mitarbeiter wollen möglicherweise nicht absichtlich die von ihrer IT-Abteilung eingerichteten Kontrollen umgehen, sondern wissen einfach nicht, dass ihre Handlungen sensible Unternehmensdaten kompromittieren und das Risiko von Datenschutzverletzungen und Angriffen erhöhen können.
• Den Mitarbeitern sind die Vorteile nicht genehmigter Tools wichtiger. Die besten Tools für die Aufgaben sind möglicherweise nicht diejenigen, die ausdrücklich von der IT-Abteilung eines Unternehmens genehmigt wurden. So greifen Mitarbeiter oft auf zusätzliche Dienste zurück, um einen bestimmten Geschäftsbedarf zu erfüllen, einen Wettbewerbsvorteil auf ihrem Markt zu erlangen oder effizienter zusammenzuarbeiten.
• Mitarbeiter verwenden nicht zugelassene Tools für böswillige Aktivitäten. Die meisten Schatten-IT-Anwendungen werden nicht zu böswilligen Zwecken eingesetzt. Einige Mitarbeiter könnten jedoch versuchen, mithilfe nicht zugelassener Anwendungen und Tools Daten zu stehlen, auf vertrauliche Informationen zuzugreifen oder andere Risiken für das Unternehmen zu verursachen.

Welche Risiken bringt Schatten-IT mit sich?

Auch wenn Schatten-IT einigen Angestellten die Arbeit erleichtern mag, überwiegen die Nachteile die Vorteile deutlich. Wenn IT-Teams nicht nachverfolgen können, wie Tools und Dienste in ihrem Unternehmen genutzt werden, ist ihnen möglicherweise nicht bewusst, in welchem Umfang Schatten-IT das Unternehmen durchdrungen hat – und sie haben keine Ahnung, wie auf Unternehmensdaten zugegriffen wird. Sie wissen auch nicht, wie sie gespeichert und übertragen werden.

Die Verwendung von Schatten-IT führt auch dazu, dass IT-Teams die Kontrolle über die Verwaltung und Bewegung von Daten verlieren. Wenn Mitarbeiter nicht genehmigte Dienste implementieren oder innerhalb genehmigter Dienste mit nicht genehmigten Methoden arbeiten, können sie sensible Daten einsehen und verschieben, ohne dass die IT-Abteilung sie angemessen kontrolliert. Infolge dieser mangelnden Sichtbarkeit und Kontrolle kann Schatten-IT zusätzliche Risiken schaffen, darunter die folgenden:

• Sensible Daten können kompromittiert oder gestohlen werden. Angreifer können Konfigurationsfehler und Schwachstellen in den in der Cloud gehosteten Diensten ausnutzen und so die Tür für Datenverstöße und andere Cyberangriffe öffnen. Diese Angriffe geschehen dann möglicherweise ganz ohne das Wissen der IT-Abteilung, insbesondere wenn sie auf nicht genehmigte (und eventuell ungesicherte) Anwendungen und Tools abzielen. Diese Angriffe zu beheben, kann kostspielig sein: In einer Studie aus dem Jahr 2020 schätzte IBM, dass Datenverstöße, die durch Fehlkonfigurationen in der Cloud verursacht wurden, durchschnittlich 4,41 Mio. USD kosteten.
• Unternehmen können unwissentlich gegen Datenschutzgesetze verstoßen. Für Unternehmen, die Datenschutzbestimmungen einhalten müssen (z. B. die DSGVO), ist es zwingend erforderlich, die Verarbeitung und Weitergabe von Daten zu verfolgen und zu kontrollieren. Wenn Mitarbeiter nicht zugelassene Tools für den Umgang mit sensiblen Daten verwenden, setzen sie ihr Unternehmen unbeabsichtigt dem Risiko aus, gegen diese Gesetze zu verstoßen. Das kann zu hohen Strafen und Bußgeldern führen.

Wie können Unternehmen Schatten-IT erkennen und beseitigen?

Es gibt mehrere Schritte, die ein IT-Team unternehmen kann, um die Auswirkungen von Schatten-IT in seinem Unternehmen zu minimieren:

• Implementieren Sie die Erkennung von Schatten-IT. Ein Tool zur Erkennung von Schatten-IT kann IT-Teams dabei helfen, alle derzeit genutzten Systeme und Dienste – sowohl die genehmigten als auch die nicht genehmigten – zu erkennen, zu verfolgen und zu analysieren. Anschließend können IT-Teams Richtlinien erstellen, um die Nutzung dieser Tools je nach Bedarf zu erlauben, einzuschränken oder zu blockieren.
• Verwenden Sie einen Cloud Access Security Broker (CASB) oder führen Sie eine SASE-Architektur ein. Ein CASB (der Teil der SASE-Architektur ist) hilft beim Schutz von in der Cloud gehosteten Anwendungen und Diensten durch gebündelte Sicherheitstechnologien, darunter die Erkennung von Schatten-IT, Zugriffskontrolle, Data Loss Prevention (DLP) und Browserisolierung.
• Verbessern Sie das Risikomanagement-Training für Mitarbeiter. Mitarbeiter sind sich der Sicherheitsrisiken von Schatten-IT oft nicht bewusst. Wenn Sie Ihren Nutzern die Best Practices in Schulungen nahelegen, verringern Sie die Wahrscheinlichkeit, dass Ihre Daten kompromittiert oder gestohlen werden. Zu den Best Practices gehören Aspekte wie keine Verwendung privater E-Mail-Adressen für den Zugriff auf Unternehmensressourcen, Offenlegung der Verwendung nicht genehmigter Hardware und Software, Meldung von Datenverletzungen usw.
• Sprechen Sie mit Ihren Mitarbeitern über die Tools, die sie benötigen. Mitarbeiter wissen oft, welche Tools für ihre Arbeit am besten geeignet sind, fühlen sich aber vielleicht nicht wohl dabei, die IT-Abteilung aufgrund von Budgetbeschränkungen oder anderen Bedenken um eine ausdrückliche Genehmigung zu bitten. Die Anregung solcher Gespräche und die Einführung einer „No Blame“-Kultur (für diejenigen, die bereits Schatten-IT eingeführt haben) können dazu beitragen, eine offenere und sichere Arbeitsumgebung zu schaffen.

Was ist eine Richtlinie für Schatten-IT?

Eine Schatten-IT-Richtlinie hilft bei der Erstellung von Protokollen für die Einführung, Genehmigung und Verwaltung neuer Hardware und Software in einem Unternehmen. IT-Abteilungen erstellen diese Richtlinien und passen sie an, je nachdem, wie sich die Sicherheitsrisiken und die Bedürfnisse des Unternehmens entwickeln.

Schatten-IT-Richtlinien sind einer von mehreren notwendigen Schritten, um Systeme und Dienste innerhalb einer Organisation zu kontrollieren und zu verwalten und dabei gleichzeitig die Einführung nicht genehmigter Tools zu vermeiden.Viele Unternehmen haben jedoch noch immer keine standardisierten Richtlinien für Schatten-IT. In einer Umfrage, die Entrust unter 1.000 US-amerikanischen IT-Fachleuten durchgeführt hat, gaben 37 % der Befragten an, dass es in ihren Unternehmen keine klaren Konsequenzen für die Nutzung von Schatten-IT gibt.

Wie schützt Cloudflare vor Schatten-IT?

Die Zero Trust-Sicherheitssuite von Cloudflare hilft IT-Abteilungen, nicht zugelassene Tools in ihren Unternehmen leicht zu entdecken, zu katalogisieren und zu verwalten. Erfahren Sie mehr darüber, wie Cloudflare Schatten-IT erkennt.

FAQs

Was ist Schatten-IT?

Schatten-IT bezieht sich auf die Nutzung von Software, Hardware oder anderen digitalen Diensten innerhalb eines Unternehmens ohne Genehmigung oder Aufsicht der IT-Abteilung. Dies geschieht, wenn Mitarbeitende nicht genehmigte Tools verwenden oder mit nicht autorisierten Methoden auf genehmigte Tools zugreifen. Schatten-IT ist besonders weit verbreitet bei der Nutzung von SaaS-Anwendungen.

Warum greifen Mitarbeitende in der Regel auf Schatten-IT zurück?

Die meisten Mitarbeitenden verwenden nicht genehmigte Tools, um effizienter zu arbeiten oder bestimmte geschäftliche Herausforderungen zu lösen, die genehmigte Tools möglicherweise nicht bewältigen können. In vielen Fällen sind sich die Nutzer der damit verbundenen Sicherheitsrisiken nicht bewusst, obwohl in seltenen Fällen Schatten-IT für böswillige Aktivitäten wie Datendiebstahl genutzt werden kann.

Was sind die primären Sicherheitsrisiken im Zusammenhang mit Schatten-IT?

Schatten-IT schafft erhebliche blinde Flecken für die Sicherheitsteams, was zu einem Mangel an Transparenz und Kontrolle über den Datenfluss führt. Das erhöht das Risiko von Datenschutzverletzungen durch falsch konfigurierte Cloud-Dienste und kann zu unbeabsichtigten Verstößen gegen Datenschutzgesetze führen.

Wie kann ein Cloud Access Security Broker (CASB) bei der Verwaltung von Schatten-IT helfen?

Ein CASB bietet eine Reihe von Sicherheitstechnologien zum Schutz von in der Cloud gehosteten Diensten. Er hilft IT-Teams, die nicht genehmigten Anwendungen zu entdecken und zu analysieren, die im gesamten Unternehmen verwendet werden, und ermöglicht es ihnen, Richtlinien zu implementieren, die diese Tools entweder zulassen, einschränken oder blockieren, um Datenverluste zu verhindern.

Welche Maßnahmen können Unternehmen ergreifen, um die Auswirkungen von Schatten-IT zu verringern?

Unternehmen können die Risiken minimieren, indem sie Discovery-Tools einsetzen, um nicht genehmigte Dienste zu katalogisieren, und indem sie eine Kultur ohne Schuldzuweisungen fördern, in der sich die Mitarbeitenden wohlfühlen, wenn sie die benötigten Tools anfordern. Darüber hinaus helfen Schulungen zum Risikomanagement den Mitarbeitenden zu verstehen, warum die Verwendung persönlicher Konten oder nicht genehmigter Hardware ein Risiko für Unternehmensdaten darstellt.

Was ist der Zweck einer Richtlinie für Schatten-IT?

Eine Richtlinie für Schatten-IT legt klare Protokolle dafür fest, wie neue Hardware und Software angefordert, genehmigt und verwaltet werden sollte. Diese Richtlinien tragen dazu bei, die Sicherheitspraktiken zu standardisieren und sicherzustellen, dass jedes im Unternehmen eingesetzte Tool die erforderlichen Sicherheits- und Compliance-Anforderungen erfüllt.