Schatten-IT: So verhindern Sie unautorisierte Software im Unternehmen
Der Begriff Schatten-IT wird oft mit Schadsoftware gleichgesetzt. Tatsächlich aber beschreibt er zunächst nur Soft- oder Hardware, die ohne das Wissen der IT-Abteilung verwendet wird. Der Großteil der Schatten-IT wird ohne böswillige Absicht genutzt. Trotzdem birgt sie für Unternehmen große Risiken, weil sie meist nicht von den offiziellen Sicherheitsmaßnahmen erfasst und geschützt wird.
Es gibt viele Gründe für die Entstehung von Schatten-IT. Häufig ist eine schlechte Abstimmung innerhalb des Unternehmens oder ein schlechter Kontakt der Fachabteilungen zur Unternehmens-IT der Auslöser. Meistens wird beliebte und einfach nutzbare Soft- oder Hardware zu Schatten-IT, darunter private Mobilgeräte oder Kommunikations-Apps. Wir geben im Folgenden einige Beispiele für die Entstehung von Schatten-IT und wie Sie sich davor schützen können.
Risiko Schatten-IT
Durch Schatten-IT entstehen ernstzunehmende Risiken für Unternehmen. Insbesondere sensible Firmendaten können durch unautorisierte Software für Angriffe verwundbar werden. Dies ist ein großes Problem, denn gerade diese Daten werden von Angreifern mit Ransomware ins Visier genommen. Doch auch Benutzbarkeit und Arbeitsabläufe leiden unter Schatten-IT, wenn die firmeninterne Organisation unterwandert wird. Zudem spielen rechtliche Aspekte eine Rolle.
Probleme durch Schatten-IT
- Die Nutzung nicht autorisierter Apps öffnet Einfallstore für Angriffe.
- Compliance-Verstöße, z. B. aufgrund von Diensten, die Kontakte aus dem Adressbuch eines Gerätes ungefragt übernehmen, sind möglich. Landen Geschäftskontakte auf diesem Weg bei Dritten, verstößt dies sowohl gegen interne Compliance-Regeln als auch gegen den Datenschutz.
- In der Cloud gespeicherte Daten lassen sich, z. B. durch „Teilen“-Funktionen, von einem Endgerät auf ein anderes übertragen. So können sensible Daten auf ungesicherten Geräten landen, was wiederum sowohl gegen Datenschutz- als auch Compliance-Richtlinien verstößt.
So entsteht Schatten-IT: Beispiele
Als Schatten-IT wird häufig Software bezeichnet, die ohne Wissen und ohne Genehmigung der zentralen IT-Abteilung eines Unternehmens auf geschäftlich genutzten Geräten installiert wird. Solche Software befindet sich somit außerhalb der genehmigten IT-Infrastruktur. Aber auch Hardware kann zu Schatten-IT werden – vor allem wenn die Grenzen zwischen Arbeits- und Privatgeräten verschmelzen.
Schwerfällige Organisation
Ein langer Entscheidungs- und Beschaffungsprozess auf dem offiziellen Weg ist oft der Grund für die Nutzung von Anwendungen und Diensten ohne entsprechende Autorisierung. Die wichtigsten Ursachen für die Nutzung von Schatten-IT sind dann eine schlechte Aufklärung der Angestellten oder schlechte Prozesse im Unternehmen. Unwissenheit begünstigt auch die Nutzung von Diensten, die mit der eigentlichen Arbeit nichts zu tun haben und ebenfalls zur Schatten-IT zählen können – beispielsweise Apps für Musik-Streaming.
Viele möchten am Arbeitsplatz nicht auf den gewohnten Umgang mit einer bekannten, privat genutzten Software oder auf Musik-Streaming verzichten.
Die Angestellten tragen also nicht die Schuld für die Entstehung von Schatten-IT. Sperrige Prozesse und eine träge IT-Abteilung öffnen unautorisierten Anwendungen die Tür – vor allem dann, wenn ohne diese der Arbeitsalltag gestört oder erheblich erschwert wird.
Mobile Geräte und die Cloud
Auch spezifische Anforderungen einzelner Abteilungen an Hard- und Software fördern die Entstehung von Schatten-IT. So nutzen viele Abteilungen zum Beispiel Cloud-Speicherdienste, um das Teilen und Bearbeiten von Dateien im Team besonders einfach und effizient zu gestalten.
Nicht autorisierte mobile Geräte stellen ebenfalls eine Gefahr dar: Diese reichen von mobilen Flash-Speichern wie USB-Sticks für die Datenübertragung bis hin zu privaten Smartphones oder Tablets, mit denen auf das Firmennetzwerk zugegriffen wird. Auch populär genutzte Online-Services für Mail, Videotelefonie oder Instant-Messaging, wie Gmail, Skype und WhatsApp, werden zur Schatten-IT gezählt, wenn sie ohne Erlaubnis für den Austausch arbeitsrelevanter Themen genutzt werden.
Viele Unternehmen bieten die private Nutzung von Arbeitsgeräten – oder das Mitbringen der Privatgeräte zur betrieblichen Nutzung – als „Benefit“ an. In diesem Fall ist besondere Vorsicht geboten, weil private Anwendungen ein Einfallstor in die Unternehmens-IT werden können.
SaaS-Chaos im Unternehmen
Die schnelle Verfügbarkeit verschiedener Anwendungen aus der Cloud (sog. „Software-as-a-Service“ oder SaaS) stellt IT-Abteilungen vor Hürden. Einerseits muss die Entstehung von Schatten-IT durch unautorisierte Nutzung dieser Dienste verhindert werden. Darüber hinaus besteht aber auch bei autorisierten Anwendungen eine große Gefahr, den Überblick zu verlieren. Individuelle, häufig von Abteilungen selbst verwaltete Konten und nicht zentral erfasste Dienste verschieben Grenzen zwischen offizieller Unternehmens- und Schatten-IT.
Cloud-Anbieter stellen Dienste schnell und einfach bereit. Dadurch können auch individuelle Anforderungen verschiedener Abteilungen leicht erfüllt werden. Trotzdem sollten Sie bei der Einführung darauf achten, dass die verwendeten SaaS-Dienste für den Unternehmenseinsatz geeignet sind.
Eine Verbindung mit dem zentralen Single Sign-on (SSO) des Unternehmens und Kontoerfassung erleichtern beispielsweise das On- und Offboarding.
So verringern Sie Ihr Risiko für Schatten IT
Eine Möglichkeit, die Gefahr durch Schatten-IT zu verringern, ist das Verbot jeglicher unautorisierter Soft- oder Hardware. Auch die gezielte Einschränkung verschiedener Dienste durch Blocking oder limitierten Installationsrechten können das Risiko mindern. Dieser Ansatz bedeutet jedoch einen erheblichen Mehraufwand für die IT-Abteilung und kann darüber hinaus Unmut im Team hervorrufen.
Investitionen in die IT-Sicherheit sollten besser in den Einsatz von Endpoint-Security oder in kontrolliert gesteuerte Netzwerk-Hardware fließen. Meist ist es am effektivsten, das Thema Schatten-IT schlicht nicht zu tabuisieren. Vielmehr müssen die Angestellten sensibilisiert, sowie ihre Bedürfnisse erfasst und ernstgenommen werden. Der beste Weg zum Erfolg ist die Einführung eines unkomplizierten Prozesses, um benötigte oder gewünschte Software und Services in die offizielle IT-Infrastruktur zu übernehmen.
Dieser Ansatz nimmt erhebliche Last von der IT-Abteilung. Er nutzt das Innovationspotenzial der Schatten-IT, indem er neue, geeignete Anwendungen identifiziert und kontrolliert in die eigene IT einbringt. Damit fördert er sowohl die Zufriedenheit als auch die Effizienz der Mitarbeiter im Umgang mit Soft- und Hardware im Unternehmen.
Schützen Sie Ihre Unternehmens-Cloud
Eines der kritischsten Angriffsziele in Unternehmen sind Daten, weil diese oft auf lokalen Speichern oder in NAS-Strukturen organisiert sind. Entsprechend stellt Schatten-IT häufig eine besondere Gefahr für diese lokalen Daten dar. Deren Auslagerung und Sicherung in externen Cloud-Speicher ist für Unternehmen deshalb in vielen Fällen sinnvoll, erfordert aber zusätzliche Sicherheitsmaßnahmen – vor allem, wenn sensible oder besonders schützenswerte Daten in der Cloud liegen.
Die ausgelagerten Daten müssen sowohl auf dem Weg in die Cloud als auch vor Ort im Rechenzentrum des Anbieters durchgehend vor unbefugten Zugriffen geschützt sein. Wird die Cloud als Schatten-IT ohne entsprechende Autorisierung und Schutz eingesetzt, droht besonders große Gefahr. Leider ist vor allem diese inoffizielle Nutzung der Cloud noch weit verbreitet.
Wenn Ihre Angestellten die Cloud als Datenablage bevorzugen, sollten Sie diesem Vorschlag Gehör schenken. Viele Vorteile von Cloud-Speichern begünstigen heute effizientes und kostengünstiges Arbeiten im Team. Eine aktive Cloud-Strategie – inklusive angemessener Schutzmaßnahmen – hilft im besten Fall nicht nur, Kosten zu sparen, sondern beugt auch einer unsicheren Nutzung „im Schatten“ vor.
Eine ausgezeichnete Lösung für mehr Datensicherheit in der Cloud ist Ende-zu-Ende-Verschlüsselung, wie Boxcryptor sie bietet. Der Zugriff auf sensible Informationen ist so durch starke Verschlüsselungsalgorithmen geschützt, während die Arbeit im Team weiterhin unverändert und einfach möglich ist: Sicheres und einfaches Teilen und Bearbeiten von Daten und Dateien – nahtlos integriert in Ihre bestehende Infrastruktur, Dateien- und Nutzerverwaltung.
Der Einsatz von Boxcryptor hilft Unternehmen das Risiko in der Cloud zu senken. Sensible Daten bleiben sicher, Nutzerinnen und Nutzer können wie gewohnt mit OneDrive, Microsoft Teams & Co. arbeiten, die IT-Abteilung wird entlastet und selbst Compliance-Regelungen werden zuverlässig eingehalten. Cloud-Speicherdienste als Teil der Schatten-IT nutzen zu müssen, gehört damit der Vergangenheit an.
