In jedem Unternehmen werden Cloud-Dienste genutzt, die nie freigegeben wurden. Der übliche Reflex ist das Verbot, doch es trifft ein Symptom: Die Aufgabe, für die der Dienst benutzt wurde, bleibt bestehen. Shadow IT Findings macht sichtbar, welche nicht genehmigten Dienste tatsächlich im Einsatz sind. Aus dieser Sichtbarkeit wird eine Entscheidung nach Risiko statt nach Bauchgefühl: Was ist unbedenklich, was gehört ersetzt, und wo fehlt schlicht ein freigegebenes Werkzeug.
Warum Shadow IT entsteht
Ein Mitarbeiter muss eine große Datei an einen Kunden schicken. Der freigegebene Weg hat ein Größenlimit, das nicht reicht. Er nimmt einen Filehosting-Dienst, den er privat kennt, und die Sache ist in zwei Minuten erledigt.
Aus seiner Sicht hat er ein Problem gelöst. Aus Sicht der IT-Sicherheit ist gerade ein Unternehmensdokument über einen Dienst gegangen, über den niemand etwas weiß: nicht über den Standort der Daten, nicht über die Aufbewahrung, nicht über die Zugriffsrechte.
Beide Sichtweisen sind berechtigt, und genau darin liegt die Schwierigkeit. Ein reines Verbot beseitigt den Dienst, nicht die Aufgabe. Die nächste große Datei muss trotzdem verschickt werden.
Sichtbarkeit vor Bewertung
Bevor man entscheiden kann, muss man wissen, worüber. Shadow IT Findings macht sichtbar, welche nicht genehmigten Cloud-Dienste in der Umgebung tatsächlich genutzt werden.
Der erste Blick auf eine solche Aufstellung überrascht in den meisten Häusern. Nicht wegen einzelner spektakulärer Funde, sondern wegen der Menge an harmlosen Werkzeugen, die sich über Jahre angesammelt haben, und wegen der wenigen, bei denen man sofort weiß, dass sie so nicht bleiben können.
Vom Verbot zur risikobasierten Entscheidung
Mit der Sichtbarkeit ändert sich die Art der Entscheidung. Statt einer pauschalen Regel entsteht eine Einordnung nach Risiko: Welcher Dienst verarbeitet welche Art von Daten, wo liegen sie, wie kritisch wäre ein Abfluss.
Daraus ergeben sich in der Praxis drei Gruppen. Dienste, die unbedenklich sind und freigegeben werden können. Dienste, für die es eine geeignete freigegebene Alternative gibt, auf die man umlenkt. Und Dienste, die weder das eine noch das andere sind und tatsächlich unterbunden gehören.
Die dritte Gruppe ist meist die kleinste. Der eigentliche Gewinn liegt in den ersten beiden: Sie schaffen Klarheit, ohne Arbeit zu blockieren.
Was die Zahlen über die eigene IT verraten
Eine Aufstellung genutzter Dienste ist auch eine Rückmeldung an die eigene Organisation. Wenn dreihundert Menschen denselben nicht freigegebenen Dienst nutzen, ist das keine Sammlung von Einzelverstößen, sondern ein Hinweis auf eine unerfüllte Anforderung.
Dieser Blick lohnt sich, bevor die Sperrliste geschrieben wird. Er verwandelt eine Kontrollmaßnahme in eine Erkenntnis darüber, was im Alltag fehlt.
Der Weg zur Freigabe
Wo ein Dienst freigegeben werden soll, hilft ein geordneter Ablauf statt einer Einzelfallmail. Ein Antrag, der bereits mit Risikoeinstufung und Nutzungskontext bei der Sicherheitsseite ankommt, lässt sich nachvollziehbar entscheiden und später begründen.
So wird aus der Entdeckung nicht nur eine Sperre, sondern ein Bestand an bewusst getroffenen Entscheidungen, den man in einem Prüfgespräch erklären kann.
Wenn viele Menschen denselben nicht freigegebenen Dienst nutzen, ist das kein Disziplinproblem. Es ist eine Anforderung, die bisher niemand erfüllt hat.
Der Weg zur Freigabe führt über den Browser
Sichtbarkeit allein ändert das Verhalten nicht. Wer einen Dienst braucht und keinen geordneten Weg zur Freigabe findet, nimmt ihn trotzdem. Deshalb sitzt der Antrag dort, wo die Entscheidung entsteht: im Browser, im Moment des Zugriffs.
Die Browser-Erweiterung CentaurNexusPlugin zeigt die Risikoeinstufung einer Adresse und lässt Nutzerinnen und Nutzer eine Freigabe direkt anstoßen, für eine URL, eine Cloud-Anwendung, eine interne Anwendung oder eine Policy. Die Sicherheitsseite bekommt den Antrag angereichert und entscheidet, statt zu recherchieren.
Damit schließt sich der Bogen dieses Artikels: erst sehen, welche Dienste genutzt werden, dann einen Weg anbieten, der schneller ist als der Umweg. Ein Verbot beseitigt einen Dienst. Ein guter Freigabeweg beseitigt den Grund für den nächsten.
Häufige Fragen
Was ist Shadow IT?
Die Nutzung von Software oder Cloud-Diensten ohne Freigabe durch die IT. Sie entsteht meist nicht aus Trotz, sondern weil eine Aufgabe erledigt werden muss und der freigegebene Weg nicht passt.
Was zeigt Shadow IT Findings?
Welche nicht genehmigten Cloud-Dienste in der Umgebung tatsächlich genutzt werden. Diese Sichtbarkeit ist die Voraussetzung für jede sinnvolle Entscheidung darüber.
Ist ein Verbot nicht der einfachste Weg?
Ein Verbot beseitigt den Dienst, nicht die Aufgabe, für die er benutzt wurde. Ohne freigegebene Alternative entsteht meist nur der nächste nicht freigegebene Dienst.
Was bedeutet risikobasiert freigeben?
Die Entscheidung richtet sich danach, welche Daten der Dienst verarbeitet, wo sie liegen und wie kritisch ein Abfluss wäre, statt nach einer pauschalen Regel für alle Dienste.
Hilft das bei Nachweispflichten?
Ja. Ein Bestand aus bewusst getroffenen, begründeten Entscheidungen lässt sich in einem Prüfgespräch erklären. Eine gewachsene Sammlung unbemerkt genutzter Dienste nicht.
Quellen
Den Arbeitsablauf im Kontext ansehen
Wählen Sie im Demo-Launcher die passende Rolle. Die Demo verwendet vorbereitete Beispieldaten.
Demo-Launcher öffnen