Unerwünschte und gefährliche Infrastruktur Schatten-IT identifizieren und eliminieren

Anbieter zum Thema

Soft & Cloud GmbH

Impossible Cloud GmbH

XOPERO SOFTWARE S.A.

Schatten-IT birgt enorme Risiken für Unternehmen. IT-Administratoren und Entscheider sollten Strategien kennen, um unerwünschte IT-Nutzung zu erkennen und zu unterbinden.

Schatten-IT beschreibt die unautorisierte Nutzung von IT-Ressourcen in Unternehmen, sei es Software, Cloud-Dienste oder Hardware, die ohne Wissen oder Zustimmung der IT-Abteilung verwendet wird. Mitarbeiter, die ohne Freigabe private Geräte oder nicht genehmigte Anwendungen nutzen, schaffen unkontrollierbare IT-Infrastrukturen, die erhebliche Sicherheitsrisiken darstellen.

Das Problem ist nicht neu, doch seine Bedeutung hat in der Ära der digitalen Transformation zugenommen. Nur: Was können IT-Administratoren tun, um Schatten-IT aufzuspüren und das Unternehmen zu schützen?

Was ist Schatten-IT?

Schatten-IT umfasst alle IT-Systeme, Anwendungen oder Geräte, die nicht offiziell von der IT-Abteilung verwaltet werden. Sie entsteht oft aus dem Wunsch der Mitarbeiter, Prozesse zu beschleunigen oder ihre Arbeitsweise zu optimieren. Häufig greifen sie dabei auf externe Anwendungen wie Cloud-Dienste, SaaS (Software as a Service) oder selbst beschaffte Hardware zurück, um ihre Aufgaben effizienter zu bewältigen. Das geschieht meist ohne böswillige Absicht, kann jedoch schwerwiegende Folgen für die IT-Sicherheit und Compliance eines Unternehmens haben.

Die Risiken von Schatten-IT

Die größten Gefahren von Schatten-IT liegen in der fehlenden Kontrolle und Transparenz über die genutzten IT-Ressourcen. Unbekannte Anwendungen und Dienste entsprechen nicht den Sicherheitsrichtlinien des Unternehmens und stellen ein Einfallstor für Cyberangriffe oder Datenverluste dar. Weitere Risiken sind:

• Sicherheitslücken: Schatten-IT entzieht sich der Kontrolle durch die IT-Abteilung, sodass Sicherheitsupdates und Patches häufig fehlen.

• Compliance-Verstöße: Unautorisiert eingesetzte Software kann gegen Datenschutzrichtlinien und andere gesetzliche Vorschriften verstoßen.

• Ineffizienz: Schatten-IT führt häufig zu unnötigen Doppelstrukturen und erhöhten Kosten, da offizielle IT-Ressourcen ungenutzt bleiben.

Diese Probleme stellen Unternehmen vor eine große Herausforderung, da Schatten-IT oft unbemerkt bleibt und IT-Entscheider wenig Einfluss auf diese Systeme haben.

Wie erkennen Unternehmen Schatten-IT?

Der erste Schritt zur Bekämpfung von Schatten-IT ist die vollständige Transparenz über die eingesetzten IT-Ressourcen. Wie genau man dabei vorgehen sollte, zeigt Abbildung 1. Das kann mithilfe von IT-Management-Tools und regelmäßigen Audits erreicht werden. Plattformen wie Beamy oder Proofpoint bieten eine umfassende Analyse der verwendeten SaaS-Anwendungen im Unternehmen und helfen dabei, unautorisierte Nutzung aufzudecken.

Eine weitere Möglichkeit besteht darin, Netzwerkverkehr und Softwareinstallationen kontinuierlich zu überwachen, um neue, unbekannte Anwendungen schnell zu identifizieren.

Technische Lösungen zur Eindämmung

Sobald Schatten-IT identifiziert ist, müssen konkrete Schritte unternommen werden, um diese zu eliminieren oder zu integrieren. Hierbei kommen Tools zur Anwendung, die speziell für das Management von SaaS-Anwendungen entwickelt wurden. SaaS-Management-Plattformen bieten IT-Entscheidern eine zentrale Übersicht über alle genutzten Dienste, ermöglichen eine effektive Überwachung und helfen dabei, Sicherheitslücken zu schließen. Ein Beispiel ist Beamy, das neben der Überwachung von SaaS-Anwendungen auch Risiken bewertet und Sicherheitsmaßnahmen vorschlägt.

IT-Governance stärken

Ein weiterer Schlüssel zur Reduzierung von Schatten-IT liegt in der Stärkung der IT-Governance. Klare Richtlinien zur Beschaffung und Nutzung von IT-Ressourcen sollten regelmäßig überprüft und kommuniziert werden. Durch die Schulung von Mitarbeitern und die Sensibilisierung für die Gefahren der Schatten-IT kann das Bewusstsein für IT-Sicherheitsrisiken gestärkt werden. Schulungsangebote, wie sie etwa der TÜV anbietet, helfen dabei, das Verständnis für den sicheren Umgang mit IT-Ressourcen zu fördern.

Enterprise Architecture Management (EAM) als Lösung

Einen weiteren Schutz gegen Schatten-IT bietet ein umfassendes Enterprise Architecture Management (EAM). EAM-Systeme bieten IT-Entscheidern eine zentrale Übersicht über die gesamte IT-Infrastruktur und erleichtern so die Planung und Kontrolle von IT-Ressourcen. Unternehmen sollten sicherstellen, dass alle verwendeten Anwendungen und Systeme in das EAM integriert sind. Durch die Nutzung professioneller EAM-Tools wie MEGA HOPEX oder LeanIX kann die Schatten-IT nahtlos in die offizielle IT-Governance eingegliedert werden.

Präventive Maßnahmen gegen Schatten-IT

Neben der Erkennung und Beseitigung von Schatten-IT sollten Unternehmen präventive Maßnahmen ergreifen, um die Entstehung von Schatten-IT zu verhindern. Hierbei spielen folgende Maßnahmen eine zentrale Rolle:

• Regelmäßige Audits und Monitoring: Um Schatten-IT frühzeitig zu erkennen, sollten IT-Administratoren regelmäßig Audits durchführen und den Netzwerkverkehr überwachen.

• Benutzerfreundliche IT-Lösungen bereitstellen: Oft entsteht Schatten-IT, weil die offiziellen IT-Systeme nicht den Anforderungen der Mitarbeiter entsprechen. Unternehmen sollten daher sicherstellen, dass ihre IT-Ressourcen flexibel und benutzerfreundlich sind.

• Offene Kommunikation: Mitarbeiter sollten ermutigt werden, ihre Anforderungen und Wünsche an IT-Systeme offen zu kommunizieren, statt auf inoffizielle Lösungen auszuweichen.

Fazit: Sicherheit durch Transparenz

Schatten-IT bleibt eine Herausforderung, die sich nicht vollständig eliminieren lässt. Durch proaktive Maßnahmen und eine klare IT-Governance können Unternehmen jedoch das Risiko minimieren und ihre IT-Sicherheit stärken. Entscheidend ist die frühzeitige Erkennung und Integration von unautorisierten IT-Ressourcen in die offizielle IT-Landschaft. IT-Entscheider sollten sicherstellen, dass ihre Architekturmanagement-Strategie flexibel genug ist, um auf neue Herausforderungen in der IT-Sicherheit zu reagieren.

Über den Autor

Thomas Kranz ist Senior Business Consultant bei der EAM Trusted Advisor GmbH und verfügt über 14 Jahre Erfahrung in der IT-Beratung mit Schwerpunkt auf Enterprise Architecture Management.

(ID:50248228)