Thought Leadership
Wenn Fachabteilungen ohne Wissen der IT eigene Software einführen, ist das meist ein Zeichen für ungedeckten Bedarf, nicht für Regelverstoß.
Wie groß das Ausmaß nicht offiziell erfasster IT-Systeme in Unternehmen ist, zeigt eine vielzitierte Untersuchung von Cisco: Demnach nutzten Unternehmen im Schnitt 15-mal mehr Cloud-Dienste zur Speicherung kritischer Unternehmensdaten, als ihre IT-Abteilungen genehmigt hatten. Wo IT-Verantwortliche von rund 51 im Einsatz befindlichen Cloud-Diensten ausgingen, waren tatsächlich etwa 730 Dienste aktiv. Eine Befragung von McAfee aus dem Jahr 2019 kam zu einem ähnlichen Bild: 53 Prozent der befragten IT-Leiter gaben an, dass mehr als die Hälfte ihrer Belegschaft Anwendungen nutzt, von denen die IT-Abteilung keine Kenntnis hat.
Der Wirtschaftsinformatiker Christopher Rentrop vom Konstanzer Institut für Prozesssteuerung untersuchte das Phänomen gemeinsam mit Kollegen bereits ab 2010 systematisch und entwickelte zwischen 2012 und 2014 anhand von vier großen Fallstudien in der Praxis eine Methodik zum Umgang mit Schatten-IT. Aus den dabei gesammelten knapp 400 Praxisbeispielen zog das Forschungsteam einen zentralen Schluss: Schatten-IT lässt sich in den seltensten Fällen einfach ausmerzen, ohne den Fachbereichen zugleich dringend benötigten Handlungsspielraum zu nehmen.
Warum Verbote das Problem oft verschärfen
Die Gesellschaft für Informatik weist in ihrer Fachdokumentation zu Schatten-IT auf einen entscheidenden Mechanismus hin: Versuchen IT-Abteilungen, Fachbereiche über strenge Genehmigungsprozesse vom externen Beschaffungsmarkt fernzuhalten, führt dies häufig nicht dazu, dass der Bedarf verschwindet. Stattdessen erstellt der Fachbereich die gewünschte Prozessunterstützung eigenständig, ohne fachkundige externe Unterstützung. Nach den in diesem Zusammenhang ausgewerteten Studien ist die Qualität solcher rein intern gebastelten Lösungen dabei deutlich geringer als die zugekaufter Software, wodurch für das Unternehmen unterm Strich größere Risiken entstehen als bei einer kontrollierten Beschaffung.
Eine Befragung des Anbieters Entrust Datacard kam parallel zu einem bemerkenswerten Ergebnis: 77 Prozent der befragten IT-Fachleute waren der Ansicht, dass Unternehmen von Schatten-IT profitieren und sogar einen Wettbewerbsvorteil erzielen könnten, sofern sie diese als Chance begreifen statt als reines Sicherheitsrisiko.
Vom Verbot zur strukturierten Befähigung
Als eine der wichtigsten strukturellen Antworten auf dieses Spannungsfeld gilt inzwischen die gezielte Befähigung von Fachanwendern durch Low-Code– und No-Code-Plattformen, über die sogenannte Citizen Developer eigene Anwendungen bauen können, ohne dafür Programmierkenntnisse zu benötigen. Das Marktforschungsunternehmen Gartner geht davon aus, dass bereits bis 2025 rund 80 Prozent aller neu entstehenden Technologieprodukte und -dienste von Personen außerhalb klassischer IT-Abteilungen gebaut werden. Bereits 2022 prognostizierte Gartner zudem, dass der Anteil der Nutzer von Low-Code-Werkzeugen außerhalb der IT-Abteilungen von 60 Prozent im Jahr 2021 auf 80 Prozent im Jahr 2026 steigen werde.
Der entscheidende Unterschied zur klassischen Schatten-IT liegt dabei in der Governance-Struktur: Statt Anwendungen komplett unsichtbar für die IT zu betreiben, laufen Citizen-Development-Lösungen über eine zentrale Plattform, auf der die IT-Abteilung nachvollziehen kann, welche Anwendungen in welchem Fortschritt entstehen und wo zusätzliche Unterstützung benötigt wird. Genau darin liegt für IT-Verantwortliche der praktische Hebel: Wird die Energie, die Fachbereiche ohnehin in eigene Lösungen investieren, in einen kontrollierten Rahmen überführt, bleibt die Innovationskraft der Fachabteilung erhalten, während zentrale Anforderungen an Sicherheit, Lizenzierung und Datenschutz erfüllbar werden.
Chancen und Risiken im direkten Vergleich
Die folgende Übersicht fasst zusammen, welche Effekte Schatten-IT in der Fachliteratur typischerweise zugeschrieben werden:
| Chancen | Risiken |
|---|---|
| Schnelle Verbesserung konkreter Fachprozesse ohne lange Abstimmungsschleifen | Compliance-Risiken bei Datenschutz, Lizenzrecht und Aufbewahrungspflichten |
| Rasche Adoption neuer Technologien direkt in der Wertschöpfung | Größere Angriffsfläche für Cyberangriffe |
| Hohe Akzeptanz bei Fachanwendern, da selbst ausgewählt und konfiguriert | Doppelte Lizenzkosten und redundante Insellösungen |
| Entlastung der zentralen IT von kleineren, spezifischen Anwendungsfällen | Geringere Qualität rein intern gebastelter Lösungen ohne Fachunterstützung |
Wie sich Fachbereichs-Tools in der Praxis kategorisieren lassen
Aus Prof. Rentrops Fallstudien ging zudem eine praktische Unterscheidung hervor, die IT-Abteilungen als Ausgangspunkt für den Umgang mit bereits bestehender Schatten-IT nutzen können. Statt jede eigenständig beschaffte Anwendung gleich zu behandeln, lässt sich danach unterscheiden, wie kritisch die jeweilige Anwendung für den betroffenen Geschäftsprozess ist und wie hoch das damit verbundene Risiko für Datenschutz, Sicherheit oder Lizenzrecht tatsächlich ausfällt. Auf dieser Grundlage lassen sich einzelne Anwendungen anschließend in die offizielle IT-Landschaft überführen, mit zusätzlichen Auflagen weiterbetreiben oder im begründeten Ausnahmefall auch ablösen, statt pauschal jede Fachbereichslösung als Risiko zu behandeln.
Was das für IT-Verantwortliche praktisch bedeutet
Die verfügbare Forschung legt insgesamt nahe, dass der heimliche Software-Kauf einer Fachabteilung in erster Linie ein Signal ist, das auf einen ungedeckten Bedarf oder zu langsame interne Prozesse hinweist. Prof. Rentrops Praxisstudien wie auch die Einschätzung der von Entrust Datacard befragten IT-Fachleute deuten übereinstimmend darauf hin, dass ein reines Verbot dieses Signal lediglich unsichtbarer macht, ohne die zugrunde liegende Ursache zu beseitigen. Strukturen wie Low-Code-Plattformen mit zentraler Sichtbarkeit bieten IT-Abteilungen dagegen einen Weg, die Eigeninitiative der Fachbereiche innerhalb eines kontrollierten Rahmens zu nutzen, statt sie ausschließlich als Kontrollverlust zu behandeln.
