Schützen Sie sich vor Schatten-IT in Ihrem Unternehmen

Schatten-IT in Unternehmen bildet sich dann, wenn die bestehenden IT-Tools und -Prozesse nicht den Anforderungen der Benutzer: innen gerecht werden. Hinzukommt, dass IT-Abteilungen eine ständig wachsende Zahl von Geräten und Konten überwachen muss. Den Überblick zu bewahren, ist eine herausfordernde Aufgabe. Häufig sind schwerwiegende Sicherheitsprobleme und steigende Kosten die Folgen der nicht autorisierten Nutzung von IT-Ressourcen wie Apps, Programme, Hardware oder Cloud-Diensten und -Tools.

Die Everest Group stellt fest, dass über die Hälfte der gesamten IT-Ausgaben in grossen Unternehmen von Schatten-IT verursacht werden. In einer Forcepoint-Umfrage geben 63 Prozent der Teilnehmenden an, private Endgeräte zu nutzen, um auf Dokumente und Dienste ihres Arbeitgebenden zuzugreifen. Private E-Mail- oder File-Sharing-Cloud-Dienste werden von 55 Prozent für Arbeitszwecke verwendet. McAfee befragte 500 IT-Führungskräfte in Deutschland und kommt zu dem Ergebnis, dass mehr als die Hälfte der Mitarbeitenden in Unternehmen Anwendungen benutzen, ohne dass die IT-Abteilung davon weiss. Hinzukommen 41 Prozent der Befragten, die unerlaubte Cloud-Services einsetzen. In aller Regel sind sich Anwender:innen über die Sicherheitsrisiken, die dadurch entstehen, überhaupt nicht im Klaren.

Doch auch IT-Abteilungen tragen zu Schatten-IT bei: Häufig werden kurzfristige Entscheidungen über IT-Lösungen getroffen, damit die Produktivität der Mitarbeitenden nicht leidet und der Betrieb reibungslos läuft. Beispielsweise werden mehrere, isolierte Produkte eingekauft oder Software sogar doppelt angeschafft.

Die häufigsten Gründe für Schatten-IT in Unternehmen

• Mitarbeitenden fehlen die Werkzeuge und Ressourcen, die sie benötigen
• Mitarbeitenden sind die Cybersicherheitsrisiken nicht bekannt
• Fehlende IT-Richtlinien und Genehmigungsverfahren (oder sie sind nicht bekannt)
• Wachsende Anzahl vernetzter Geräte
• Nicht verwaltete Browser, die sensible Anmeldedaten, Kennwörter und Kreditkarteninformationen speichern
• Entwickler und DevOps-Teams müssen schnell und effizient arbeiten. Deshalb wird häufig Sicherheit der Geschwindigkeit geopfert.

Was tun gegen Schatten-IT?

IT-Sicherheitsteams stehen vor der gewaltigen Aufgabe, Licht ins Dunkel zu bringen, um Sicherheitsanforderungen und Datenschutz mit Produktivitätsanforderungen in Einklang zu bringen. Was können Sie dafür tun?

Im Austausch mit Fachabteilungen und Mitarbeitenden erhalten Sie einen Überblick, welche Schattenanwendungen bereits genutzt werden. Wenn Sie ein möglichst vollständiges Bild vorliegen haben, prüfen Sie die gefundenen Ergebnisse hinsichtlich Sicherheit und Effizienz und analysieren Sie, welche Anwendungen oder Prozesse beibehalten werden können, oder wo Sie für adäquaten Ersatz sorgen müssen. Legen Sie IT-Richtlinien und Genehmigungsverfahren fest, die einfach und im Unternehmen bekannt sind.

Die bisherigen Ausführungen machen deutlich, dass Zero-Trust-Modelle für Informationssicherheit an Bedeutung gewinnen. Auf technischer Ebene bedeutet dies, dass Sie die Effektivität der MFA-Implementierung sicherstellen, Anmeldedaten mit höherem Risiko in einem PAM-System schützen und gerade ausreichenden Zugang zulassen sollten.

Einschränkungen sind Benutzer:innen häufig ein Dorn im Auge. Deshalb kommunizieren Sie transparent, dass weniger Privilegien im Interesse jedes Mitarbeitenden sind und die Reduktion von Privilegien im gesamten Unternehmen stattfindet. Machen Sie sich die Mühe, den Benutzer:innen zu erklären, wo Sie Sicherheits- und Compliance-Risiken sehen. Begleiten Sie sie auch bei der Umstellung auf neue Tools und Dienste. Mitarbeitende sollten verstehen, was Schatten-IT ist und welche Risiken sie mit sich bringt. Nur so können Sie nachhaltig verhindern, dass sie sich um eigene praktikable Lösungen bemühen.