Schatten-IT im KMU: wenn Firmendaten in privaten Tools landen

Die kurze Antwort: Schatten-IT sind Programme und Dienste, die Beschäftigte ohne Freigabe der IT für die Arbeit nutzen: WhatsApp für das Foto vom Lieferschein, der private Cloud-Speicher für die Kalkulation am Heimrechner, der kostenlose Online-Konverter für das Vertrags-PDF. In den Griff bekommen Sie das Thema in drei Schritten: herausfinden, was tatsächlich genutzt wird, für jeden echten Bedarf eine bequeme freigegebene Alternative bereitstellen und erst danach sperren, was übrig bleibt. Ein reines Verbot löst das Problem nicht, denn Schatten-IT entsteht selten aus böser Absicht, sondern aus Bequemlichkeit und fehlenden Werkzeugen.

Wie Firmendaten in private Tools abwandern

Der Klassiker beginnt harmlos. Ein Kunde braucht schnell ein Dokument, der Dienstweg ist umständlich, also geht es per WhatsApp vom privaten Handy. Die Präsentation soll am Wochenende fertig werden, also wandert sie in die private Dropbox. Ein PDF muss in Word umgewandelt werden, ein Gratis-Konverter aus der Websuche erledigt das in Sekunden. Dazu kommen private E-Mail-Konten für Weiterleitungen und zunehmend kostenlose KI-Dienste, in die Texte mit Kundendaten kopiert werden. In jedem dieser Fälle verlassen Firmendaten die Umgebung, die Ihre IT kontrolliert und absichert.

Warum das mehr ist als ein Ordnungsproblem

Bei einem Gratis-Konverter wird die Datei auf den Server eines Anbieters hochgeladen, dessen Standort, Speicherdauer und Datenverwendung Sie nicht kennen. Private Cloud-Konten haben weder die Zugriffskontrollen noch die Mehrfaktor-Anmeldung Ihres Firmen-Tenants, und beim Ausscheiden eines Mitarbeiters bleiben die Daten einfach im privaten Konto liegen: kein Backup, keine Protokolle, im Ernstfall kein Zugriff. Dazu kommt der Datenschutz. Verantwortlich für personenbezogene Daten bleibt nach der Datenschutz-Grundverordnung das Unternehmen, auch wenn sie in privaten Tools verarbeitet werden, und Auskunfts- oder Löschpflichten lassen sich dort kaum verlässlich erfüllen. In der Praxis heißt das: Das Thema gehört auf den Tisch der Geschäftsführung. Wie Sie Datenflüsse und Nachweise geordnet halten, zeigt unsere Seite zur IT-Compliance.

Schritt 1: Herausfinden, was wirklich genutzt wird

Unterschätzen Sie den Bestand nicht. Laut dem Microsoft-Learn-Tutorial zum Entdecken und Verwalten der Schatten-IT schätzen IT-Verantwortliche die Zahl der genutzten Cloud-Apps im Schnitt auf 30 bis 40, tatsächlich sind es im Durchschnitt über 1.000, und 80 Prozent der Beschäftigten nutzen Apps, die niemand geprüft hat. Der erste Schritt ist deshalb ein offenes Gespräch: Fragen Sie Ihre Teams ohne Schuldzuweisung, welche Tools sie nutzen und warum. Jede Antwort zeigt eine Lücke in Ihrer offiziellen Ausstattung. Technisch ergänzt das die Cloud Discovery in Microsoft Defender for Cloud Apps, die über die Integration mit Microsoft Defender for Endpoint auf den Firmengeräten sichtbar macht, welche Dienste tatsächlich angesprochen werden, inklusive Risikobewertung je App.

Schritt 2: Ablösen statt nur verbieten

Wer nur sperrt, verlagert das Problem auf private Geräte und damit aus dem Sichtfeld der IT. Nachhaltiger ist es, jeden echten Bedarf mit einer freigegebenen Alternative zu beantworten, die mindestens so bequem ist: Teams statt WhatsApp für die schnelle Abstimmung, OneDrive und SharePoint statt privater Cloud-Speicher für das Arbeiten von unterwegs, Bordmittel oder lizenzierte Programme statt Gratis-Konverter, denn Word öffnet und exportiert PDF-Dateien direkt. Das BSI empfiehlt Unternehmen in seiner Publikation zur sicheren Nutzung von Cloud-Diensten, Cloud-Nutzung als strategischen Schritt zu behandeln, der geplant und vom Management getragen wird. Genau das ist der Unterschied zur Schatten-IT: bewusste Auswahl statt Wildwuchs. Erklären Sie zusätzlich das Warum, etwa in einem kurzen Awareness-Training, und schaffen Sie einen schnellen Weg, neue Tools unkompliziert anzufragen. Erst wenn die Alternativen stehen, wird der riskante Rest gezielt blockiert.

Häufige Fragen

Reicht es nicht, private Tools einfach zu sperren?

Nein. Der Bedarf hinter der Schatten-IT verschwindet durch eine Sperre nicht, die Arbeit verlagert sich nur auf private Geräte, wo Ihre IT gar nichts mehr sieht. Sperren ist der letzte Schritt, nachdem bequeme Alternativen bereitstehen und erklärt wurde, warum die Regeln gelten.

Sind kostenlose Online-Konverter wirklich ein Risiko?

Ja, denn die Datei wird auf fremde Server hochgeladen, und weder Speicherort noch Speicherdauer noch die weitere Verwendung sind für Sie prüfbar. Für Verträge, Kalkulationen oder Unterlagen mit Personenbezug ist das nicht vertretbar. Nutzen Sie Bordmittel wie den PDF-Export in Word oder lizenzierte Programme auf Firmengeräten.

Dürfen Mitarbeitende WhatsApp für Kundenkommunikation nutzen?

Heikel ist weniger die einzelne Nachricht als das Drumherum: Mit der Adressbuchfreigabe werden auch Telefonnummern von Kunden an den Anbieter übertragen, die dazu nie gefragt wurden, es gibt keine Trennung von privat und geschäftlich und keine geordnete Übergabe beim Ausscheiden. Für die Abstimmung im Team und mit Kunden sind freigegebene Kanäle wie Teams die sauberere Wahl.

So unterstützt Sie die High5Manufaktur GmbH

Die High5Manufaktur GmbH macht für kleine und mittlere Unternehmen zunächst sichtbar, welche Tools tatsächlich im Einsatz sind, und baut dann die passenden Alternativen in Microsoft 365 auf: Teams für die Kommunikation, OneDrive und SharePoint für Dateien, sauber verwaltete Firmengeräte. Dazu gehören klare Freigaberegeln und die Sensibilisierung Ihrer Mitarbeitenden. Mit direktem Ansprechpartner statt anonymer Hotline.

Quellen

• Microsoft Learn: Entdecken und Verwalten der Schatten-IT
• BSI: Sichere Nutzung von Cloud-Diensten