Schatten-IT: aus Entdeckungen klare Verantwortung machen

Ein Team führt ein Werkzeug ein, weil es ein echtes Problem löst. Das Sicherheitsproblem beginnt, wenn Inventar, Verträge und Zugriffsprozesse der Organisation diese Nutzung nicht abbilden. Eine Anwendung kann für einen Geschäftsprozess unverzichtbar werden, bevor irgendjemand entschieden hat, wer sie administriert, welche Daten sie enthalten darf oder wie sie wieder abgeschaltet wird.

Schatten-IT umfasst Dienste, Anwendungen und Geräte, die außerhalb etablierter Genehmigungs- oder Managementprozesse genutzt werden. Die Entdeckung sollte zu einer verhältnismäßigen Entscheidung und einer benannten verantwortlichen Person führen, nicht bloß zu einer längeren Liste verdächtiger Domains.

Für einen CTO ist das Ziel betrieblicher Natur: die Abhängigkeit verstehen, inakzeptable Gefährdungen eindämmen und dem Geschäft einen praktikablen Weg zu verwalteter Technologie bieten.

Legen Sie die Grenze fest, bevor Sie Signale sammeln

Schatten-IT ist ein Zustand der Steuerung, keine Kategorie von Produkten, die an sich unsicher sind. Ein seriöser Kollaborationsdienst kann unverwaltet sein, wenn Beschäftigte persönliche Arbeitsbereiche anlegen. Ein privater Laptop kann im Rahmen einer kontrollierten Bring-your-own-Device-Regelung legitim sein. Umgekehrt kann ein gekaufter Dienst außerhalb wirksamer Steuerung liegen, wenn niemand seine Administratoren oder die Beendigung von Zugängen kontrolliert.

Schauen Sie über unbekannte Softwarenamen hinaus. Relevante Beispiele sind:

• Private Cloud-Speicher, Messaging-Konten und Passwortmanager, die für Unternehmensinformationen genutzt werden.
• Browsererweiterungen, KI-Meeting-Assistenten und Transkriptionsdienste mit Zugriff auf Unternehmensinhalte.
• Drittanbieteranwendungen, die über OAuth mit E-Mail, Kalendern, Repositorys oder Dateiablagen verbunden sind.
• Nicht verwaltete Laptops, Wechseldatenträger, Netzwerkgeräte und Fernzugriffswerkzeuge.
• Cloud-Konten einzelner Teams, Low-Code-Anwendungen und Automatisierungsskripte, die Produktivabläufe unterstützen.

Auch genehmigte Anwendungen können unverwaltete Nutzungen entwickeln. Eine neue Integration, eine Einstellung zur öffentlichen Freigabe oder eine KI-Funktion kann die ursprüngliche Risikobeurteilung verändern, ohne dass sich der Produktname ändert.

Beginnen Sie mit einem Geschäftsprozess oder einer Abteilung. Legen Sie fest, welche Konten, Endgeräte, Netzwerke, Lieferanten und Datenflüsse zur ersten Überprüfung gehören. Das macht Feststellungen umsetzbar und deckt Lücken in der Methode auf, bevor die organisationsweite Erhebung beginnt.

Setzen Sie das Bild aus mehreren Quellen zusammen

Keine einzelne Quelle zeigt jedes Werkzeug. Identitätsdaten übersehen lokale Konten; Ausgabendaten übersehen kostenlose Dienste; Netzwerkprotokolle zeigen vielleicht ein Ziel, ohne zu erklären, welche Informationen dorthin gelangt sind.

Nutzen Sie sich ergänzende Quellen und bewahren Sie die Herkunft jeder Feststellung.

Erklären Sie, warum die Erhebung stattfindet, was erfasst wird, wer es einsehen kann und wie lange es aufbewahrt wird. Beachten Sie anwendbare Datenschutz- und arbeitsrechtliche Vorschriften. Bevorzugen Sie Metadaten, die ausreichen, um den Dienst und seinen Zugriff zu identifizieren, statt Nachrichteninhalte, Aufzeichnungen oder private Browserinhalte zu erheben. Beschränken Sie auch den Zugriff auf die Erhebungsdaten selbst.

Stellen Sie Teams praktische Fragen: Wo teilen Sie große Dateien, zeichnen Besprechungen auf, übersetzen Dokumente, sammeln Kundenfeedback oder automatisieren wiederkehrende Aufgaben? Fragen Sie, welche Werkzeuge die Arbeit unterbrechen würden, wenn sie morgen entfernt würden. Diese Fragen zeigen Abhängigkeiten, die eine Domainliste nicht zeigen kann.

Normalisieren Sie Feststellungen, bevor Sie sie zählen. Ein Anbieter kann mehrere Domains, Produkte, Arbeitsbereiche und Abrechnungseinheiten haben. Trennen Sie die Produktidentität von der Mandantenidentität und unterscheiden Sie Hinweise auf Installation, Autorisierung, Anmeldung und bestätigte geschäftliche Nutzung. Dokumentieren Sie unsichere Feststellungen als Kandidaten, statt jedes beobachtete Ziel zur nicht genehmigten Anwendung zu erklären.

Machen Sie aus jeder Feststellung einen Verantwortungseintrag

Ein nützliches Register beschreibt die Nutzung, nicht nur den Anbieter. Zwei Teams, die dasselbe Produkt nutzen, können unterschiedliche Daten, Zugriffe, Verträge und Folgen haben.

Erfassen Sie für jede bestätigte Nutzung:

• Produkt, Lieferant, Kennung von Mandant oder Arbeitsbereich und Quelle der Entdeckung.
• Geschäftlichen Zweck, abhängigen Prozess, Nutzerkreis und Kritikalität.
• Datenkategorien, Datenquellen, Ziele, Freigabeeinstellungen und Aufbewahrung.
• Kontotypen, Administratoren, Authentisierung, Integrationen und erteilte Berechtigungen.
• Vertragsinhaber, Abonnement, Verlängerungsdetails und relevante Verarbeitungsvereinbarungen.
• Fachlich verantwortliche Person, technisch betreuende Person, prüfende Person, vorgeschlagene Behandlung und Überprüfungsdatum.

Die fachlich verantwortliche Person begründet den Bedarf und koordiniert die zulässige Nutzung. Die technisch betreuende Person verwaltet Konfiguration, Zugriffe, Integrationen und die Außerbetriebnahme. Die Sicherheit bewertet das Risiko; Einkauf und Datenschutzfachleute prüfen Themen in ihrem Zuständigkeitsbereich. In einer kleinen Organisation können diese Verantwortlichkeiten bei derselben Person liegen, sollten aber ausdrücklich bleiben.

Wird niemand einen Dienst verantworten, stufen Sie ihn nicht als genehmigt ein, nur weil Nutzer ihn mögen. Benennen Sie einen vorübergehend verantwortlichen Sponsor und eine Entscheidungsfrist. Dokumentieren Sie, was unbekannt bleibt und wer es klärt.

Verfolgen Sie die Daten ebenso wie die Anwendung. Ein Werkzeug kann Uploads empfangen, ganze Ordner synchronisieren, Transkripte erstellen oder Inhalte an einen weiteren Anbieter senden. Unser Leitfaden zur Datenermittlung erklärt, wie Sie diese Beziehungen nachverfolgen.

Prüfen Sie OAuth-Zugriffe getrennt von der Anwendungsnutzung

OAuth ermöglicht es einer Anwendung, berechtigten Zugriff zu erhalten, ohne das Passwort des Nutzers zu kennen. Das ist nützlich, doch die Autorisierung kann weiter reichen oder länger gelten, als die Aufgabe erfordert. Sich bei einer Anwendung anzumelden und ihr Zugriff auf Unternehmensressourcen zu gewähren sind unterschiedliche Ereignisse.

Prüfen Sie für jede verbundene Anwendung, soweit verfügbar, Herausgeber oder Client-Identität, die erteilende Person, die Ressource, die Scopes, die Art der Einwilligung und das Erteilungsdatum. Unterscheiden Sie delegierten Zugriff im Namen eines Nutzers von Anwendungsberechtigungen, die ohne interaktiven Nutzer wirken können. Prüfen Sie das Verhalten von Refresh-Tokens und ob die Autorisierung fortbestehen kann, nachdem der Nutzer das Werkzeug nicht mehr aktiv verwendet.

Priorisieren Sie Berechtigungen, die das Lesen von Postfächern, das Ändern von Dateien, Verzeichniszugriff, Änderungen an Repositorys oder weitreichenden nutzerübergreifenden Zugriff erlauben. Prüfen Sie, ob die angeforderten Scopes zum angegebenen Zweck passen. Ein Terminplanungswerkzeug, das Kalenderzugriff anfordert, wirft eine andere Frage auf als eines, das Postfachinhalte und unbeschränkten Dateizugriff anfordert.

Beschränken Sie als praktische Maßnahme Einwilligungen mit großer Tragweite auf Administratoren oder einen Prüfablauf, sofern die Plattform dies unterstützt. Überprüfen Sie neu erteilte Berechtigungen und Änderungen an bestehenden Anwendungen, nicht nur neue Anwendungsregistrierungen.

Das Entfernen einer Browsererweiterung oder das Trennen einer nutzerseitigen Integration entfernt womöglich nicht jede Berechtigung, jedes Token oder jede externe Datenkopie. Verifizieren Sie den Widerruf in der Ressourcenplattform und im Konto beim Lieferanten. Verschlüsselte Übertragung beweist nicht, dass eine Integration sicher ist, und macht auch nicht jede Prüfung unmöglich; die Sichtbarkeit hängt von den verfügbaren Maßnahmen und der Telemetrie ab.

Priorisieren Sie nach Exposition und geschäftlicher Abhängigkeit

Nutzen Sie eine Triage, um zu entscheiden, was zuerst Aufmerksamkeit braucht. Behandeln Sie nicht jedes nicht genehmigte Werkzeug als gleich dringend.

Bewerten Sie Schutzbedarf und Umfang der betroffenen Informationen, Reichweite der Zugriffe, externe Freigaben, Gerätezustand, administrative Kontrolle und Hinweise auf eine Kompromittierung. Berücksichtigen Sie auch die Verfügbarkeit: Eine undokumentierte Automatisierung kann der einzige Weg sein, Bestellungen an einen Lieferanten zu senden.

Ein öffentliches Werkzeug für Designreferenzen, das ohne Uploads genutzt wird, braucht vielleicht nur eine einfache Registrierung. Ein KI-Meeting-Assistent mit Kalenderzugriff, Aufzeichnungen und Kundengesprächen erfordert eine tiefere Prüfung von Berechtigungen, Speicherung, Aufbewahrung und nachgelagerter Verarbeitung. Ein nicht verwalteter Fernzugriffsdienst auf einem Produktivsystem rechtfertigt eine sofortige Eindämmung und Untersuchung.

Dokumentieren Sie ein konkretes Risikoszenario, nicht „Schatten-IT-Risiko“. Zum Beispiel: „Ein ehemaliger Mitarbeiter behält die Administration des Arbeitsbereichs und kann Kundenangebote exportieren.“ Diese Aussage weist auf eine verantwortliche Person, eine Änderung der Maßnahmen und einen Test hin.

Eine Entdeckung ist nicht automatisch ein Beleg für eine Sicherheitsverletzung. Deuten Feststellungen auf eine unbefugte Offenlegung oder Kompromittierung hin, wechseln Sie in den Vorfallprozess und sichern Sie relevante Protokolle. Sind personenbezogene Daten betroffen, hängt die Prüfung der Meldepflicht nach Artikel 33 und 34 DSGVO von den Umständen und der Rolle der Organisation ab, nicht einfach davon, ob das Werkzeug genehmigt war.

Wählen Sie eine Behandlung, die den geschäftlichen Bedarf erhält

Jede Entscheidung braucht eine verantwortliche Person, eine Begründung, Abschlusskriterien und eine Nachverfolgung. In der Praxis sind vier Behandlungen nützlich.

Genehmigen und in die Steuerung überführen

Eine Genehmigung sollte die zulässige Nutzung beschreiben, keine unbeschränkte Erlaubnis für das Produkt erteilen. Richten Sie eine vom Unternehmen kontrollierte Administration, geeignete Authentisierung, Zugriffe nach dem Prinzip der minimalen Rechte, Prozesse für Eintritt, Wechsel und Austritt sowie eine unterstützte Konfiguration ein. Prüfen Sie Protokollierung, Freigabebeschränkungen, Wiederherstellungs- oder Exportmöglichkeiten und Aufbewahrung anhand des Anwendungsfalls.

Prüfen Sie, wo anwendbar, Lieferant und Vertrag. Verarbeitet der Lieferant personenbezogene Daten im Auftrag der Organisation, bewerten Sie die erforderlichen Regelungen zur Auftragsverarbeitung nach Artikel 28 DSGVO. Regelungen zu internationalen Datenübermittlungen erfordern eine gesonderte Bewertung; eine gewählte Hosting-Region klärt nicht jede Frage. Die Sicherheitsmaßnahmen nach Artikel 32 sind risikobasiert, keine allgemeine Checkliste, die eine einzelne Einstellung erfüllt.

Bewahren Sie Nachweise der Genehmigung auf: Konfigurationsexporte, Zuweisungen von Administratoren, Zugriffstests, Vertragsprüfung und das akzeptierte Restrisiko.

Durch eine geeignete Alternative ersetzen

Ein Ersatz funktioniert nur, wenn die Alternative den tatsächlichen Bedarf erfüllt. Testen Sie Dateigrößenlimits, externe Zusammenarbeit, Barrierefreiheit, Automatisierung und erforderliche Integrationen, bevor Sie die Migration vorschreiben.

Legen Sie die Migrationsreihenfolge fest, gleichen Sie Datensätze ab und bestätigen Sie, dass Nutzer den Arbeitsablauf abschließen können. Bewahren Sie erforderliche Aufzeichnungen und relevante Metadaten. Prüfen Sie nach der Umstellung geteilte Links und Integrationen und schließen Sie dann den alten Mandanten, statt nur die Zahlung einzustellen.

Ungerechtfertigte Nutzung beenden

Bei einem Werkzeug ohne vertretbaren Zweck oder mit inakzeptabler Exposition stoppen Sie neue Nutzung und planen die Entfernung. Widerrufen Sie Berechtigungen und Tokens, entfernen Sie Erweiterungen oder Software, deaktivieren Sie Konten, schließen Sie Freigabelinks und kümmern Sie sich um bereits exportierte Daten. Wechseln Sie offengelegte Zugangsdaten, wenn die Feststellungen dies rechtfertigen.

Das Löschen eines Kontos belegt nicht, dass alle beim Lieferanten gespeicherten Informationen verschwunden sind. Holen Sie die verfügbaren Löschnachweise ein und dokumentieren Sie vertragliche Aufbewahrung, Datensicherungen oder andere Einschränkungen. Bewahren Sie Informationen, die vorgeschriebenen Aufbewahrungsfristen oder einer rechtlich veranlassten Aufbewahrung (Legal Hold) unterliegen.

Eine kontrollierte, befristete Ausnahme zulassen

Ein geschäftskritisches Werkzeug kann eine Übergangsfrist benötigen. Legen Sie zulässige Nutzer und Daten, kompensierende Maßnahmen, eine für die Risikoakzeptanz verantwortliche Person, ein Ablaufdatum und Ausstiegsbedingungen fest. Beschränken Sie eine weitere Ausbreitung, wo praktikabel. Eine dauerhafte „befristete“ Ausnahme ohne Überprüfung ist eine ungelöste Steuerungslücke.

Beispiel: ein KI-Meeting-Assistent

Betrachten Sie als Beispiel eine Organisation, die ihren Vertriebsprozess überprüft. Angenommen, acht Beschäftigte nutzen einen kostenlosen Meeting-Assistenten über persönliche Konten. Gespräche bestätigen, dass er Kundentelefonate aufzeichnet; ein Identitätsexport zeigt Kalenderberechtigungen. Es gibt keinen Beschaffungsvorgang, und eine Vertriebsleiterin stützt sich bei Übergaben auf die Transkripte.

Die erste Entscheidung lautet, zusätzliche Aufzeichnungen und Nutzer zu stoppen, während ermittelt wird, was erfasst wurde. Die Sicherheit dokumentiert die Berechtigungen und Kontoidentitäten. Die Vertriebsleiterin benennt die betroffenen Besprechungen und den betrieblichen Bedarf. Datenschutz und Einkauf prüfen die Verarbeitungsvereinbarungen, die Information der Teilnehmenden, die Lieferantenbedingungen, die Aufbewahrung und relevante Regelungen zu Datenübermittlungen. Das Team prüft außerdem, ob Aufzeichnungen oder Transkripte öffentlich zugänglich sind und ob der Dienst Inhalte für andere Zwecke nutzt.

Angenommen, die Prüfung ergibt, dass der kostenlose Tarif weder eine vom Unternehmen kontrollierte Administration noch die erforderlichen Aufbewahrungseinstellungen bieten kann. Die Entscheidung lautet Ersatz, nicht Verzicht auf den Übergabeprozess. Der Vertrieb testet eine genehmigte Alternative mit geeigneten Zugriffs- und Aufzeichnungsmaßnahmen, während die technisch betreuende Person die alten Kalenderberechtigungen widerruft und zulässige Aufzeichnungen migriert.

Zu den Nachweisen für den Abschluss gehören die Liste der betroffenen Konten, die Konfiguration des Ersatzes, die Ergebnisse des Widerrufs der Berechtigungen, die Prüfung alter Freigabelinks und verfügbare Löschbestätigungen. Eine ungeklärte Einschränkung bei der Aufbewahrung in Datensicherungen bleibt dokumentiert. Die Vertriebsleiterin verantwortet die zulässige Nutzung; die IT verantwortet Konfiguration und Beendigung von Zugängen. Die Überprüfung endet mit einem gesteuerten Prozess, nicht bloß mit einer blockierten Anwendung.

Verhindern Sie den nächsten blinden Fleck mit einem praktikablen Antragsprozess

Teams führen Werkzeuge oft ein, um langsame Genehmigungen, fehlende Funktionen oder Reibung in bestehenden Systemen zu umgehen. Die Entdeckung sollte diese Ursachen offenlegen. Andernfalls verlagert die Entfernung dieselbe Tätigkeit nur an einen weniger sichtbaren Ort.

Machen Sie es leicht, Anträge zu stellen. Fragen Sie nach Zweck, Nutzern, Datenkategorien, Integrationen, Dringlichkeit und einer fachlich verantwortlichen Person. Veröffentlichen Sie die Kriterien, die eine tiefere Prüfung auslösen, und bieten Sie einen praktikablen Weg für risikoarme Tests. Geben Sie Antragstellenden einen Status und einen erwarteten Entscheidungszeitpunkt; lassen Sie Anträge nicht in einer unerklärten Warteschlange liegen.

Vermitteln Sie konkrete Verhaltensweisen: Fragen Sie nach, bevor Sie einen Dienst mit der Unternehmens-E-Mail verbinden, laden Sie keine Kundeninformationen in ein ungeprüftes Werkzeug hoch und melden Sie einen bestehenden Arbeitsbereich, bevor Sie ihn verlängern. Geben Sie Teams einen Meldeweg, der auf das Schließen von Lücken ausgerichtet ist, statt Meldungen in gutem Glauben zu bestrafen.

Überwachen Sie Änderungen auch nach der Genehmigung. Prüfen Sie neue OAuth-Berechtigungen, administrative Änderungen, externe Freigaben, neu aktivierte KI-Funktionen und die Ausweitung auf sensiblere Daten. Als praktische Empfehlung sollten Sie ereignisgesteuerte Prüfungen mit regelmäßiger Bestätigung durch die Verantwortlichen kombinieren. Die Prüfhäufigkeit sollte sich nach Exposition und geschäftlicher Kritikalität richten, nicht nach einem allgemeingültigen Intervall.

Machen Sie die Nachweise für das ISMS nutzbar

ISO/IEC 27001 betrifft ein Informationssicherheitsmanagementsystem mit festgelegtem Geltungsbereich. Feststellungen zur Schatten-IT können in Inventarisierung der Werte, Lieferantenbewertung, Zugriffskontrollen, Risikobeurteilung und -behandlung einfließen. Die Auswahl der Maßnahmen bleibt risikobasiert; eine Anwendungsliste ist weder ein ISMS noch ein Beweis, dass Maßnahmen funktionieren.

Halten Sie Umfang der Erhebung, Bewertung, Behandlungsentscheidung, Umsetzungsnachweise und Wirksamkeitsprüfung auseinander. Ein geschlossenes Ticket mit dem Vermerk „entfernt“ ist ein schwächerer Nachweis als ein widerrufener Zugriff plus ein getestetes Ergebnis. Eine Risikoakzeptanz sollte erkennen lassen, wer befugt war, sie zu erteilen, und wann sie erneut geprüft werden muss. Eine Zertifizierung begründet für sich keine DSGVO-Konformität.

Secani bietet einen vernetzten Arbeitsbereich, um Systeme und Dienste zu modellieren, Nachweise mit Anforderungen und Entscheidungen zu verknüpfen und Verantwortliche sowie Prüfaufgaben zuzuweisen. Halten Sie Erkennung und Durchsetzung in den passenden Betriebssystemen und bringen Sie relevante Exporte, Prüfungen und Freigaben dann in diesen Compliance-Kontext. Behandeln Sie KI-gestützte Vorschläge als Entwürfe, die eine menschliche Prüfung erfordern, wobei die Nachvollziehbarkeit der Quellen erhalten bleibt.

Wählen Sie für die nächste Überprüfung einen Geschäftsprozess und gleichen Sie dessen Feststellungen aus Identitäten, Ausgaben, Endgeräten und Gesprächen ab. Schließen Sie jede bestätigte Feststellung mit einer benannten verantwortlichen Person, einer Behandlung, einer Frist und einem Abschlusstest ab. Nützliche Kennzahlen sind Abdeckung mit Verantwortlichen, überfällige Entscheidungen, auslaufende Ausnahmen und abgeschlossene Prüfungen von Zugriffsentzügen, nicht nur die Zahl der entdeckten Werkzeuge.