Shadow IT: Risiken und Management | Decripte Security

Shadow IT bezeichnet IT-Systeme, Anwendungen und Dienste, die innerhalb einer Organisation ohne ausdrückliche Genehmigung oder Kenntnis der IT-Abteilung genutzt werden und dadurch Sicherheits- und Compliance-Risiken schaffen.

Was ist Shadow IT

Shadow IT umfasst sämtliche Software, Hardware und Cloud-Dienste, die von Mitarbeitern bereitgestellt und genutzt werden, ohne die offiziellen IT-Genehmigungsprozesse zu durchlaufen. Sie reicht von SaaS-Anwendungen bis hin zu privaten Geräten, die für die Arbeit verwendet werden.

Das Phänomen ist mit der Verbreitung von Cloud-Diensten und der Zunahme von SaaS-Produktivitätstools, die per Kreditkarte zugänglich sind, exponentiell gewachsen.

Häufige Beispiele

Kollaborationstools: Nicht autorisierte Slack, Teams, Zoom.

Cloud-Speicher: Private Dropbox, Google Drive, OneDrive.

Projektmanagement: Nicht genehmigte Trello, Asana, Monday.com.

Entwicklung: Private GitHub-, GitLab-, AWS-Konten.

BYOD-Geräte: Private Laptops, Smartphones, Tablets.

Messenger: WhatsApp, Telegram, Signal für die Unternehmenskommunikation.

Sicherheitsrisiken

Datenverlust: Unternehmensdaten, die in nicht kontrollierten Diensten gespeichert werden.

Informationsabfluss: Unbeabsichtigtes Teilen mit nicht autorisierten Personen.

Malware und Phishing: Ungeprüfte Anwendungen können bösartig oder kompromittiert sein.

Fehlende Verschlüsselung: Daten sind möglicherweise nicht ausreichend geschützt.

Schwache Anmeldedaten: Verwendung schwacher oder wiederverwendeter Passwörter.

Fehlende MFA: Mangel an Multi-Faktor-Authentifizierung.

Unsichere Integration: APIs, die nicht autorisierte Systeme verbinden.

Compliance-Risiken

Verstoß gegen LGPD/DSGVO: Verarbeitung personenbezogener Daten außerhalb etablierter Kontrollen.

Branchenspezifische Nichteinhaltung: Verstoß gegen Vorschriften wie PCI-DSS, HIPAA, SOX.

Verlust der Prüfbarkeit: Unmöglichkeit, den Datenzugriff nachzuverfolgen.

Unzureichende Verträge: Fehlen von DPAs und Datenschutzklauseln.

Warum Shadow IT entsteht

Langsame Prozesse: IT-Genehmigungen dauern zu lange.

Unzureichende Tools: Unternehmenslösungen erfüllen die Anforderungen nicht.

Fehlende Alternativen: Die IT bietet keine gleichwertigen genehmigten Optionen an.

Komplexität: Offizielle Tools sind zu komplex.

Innovationskultur: Teams möchten neue Tools ausprobieren.

Remote-Arbeit: Bedarf an sofort verfügbaren Kollaborationstools.

Erkennung von Shadow IT

Cloud Access Security Brokers (CASB): Erkennung der genutzten Cloud-Anwendungen.

Network Monitoring: Datenverkehrsanalyse zur Identifizierung nicht autorisierter Dienste.

Endpoint Detection: EDR identifiziert installierte Anwendungen.

Cloud Discovery: Tools scannen SSO und Proxy-Protokolle.

Expense Reports: Analyse der Unternehmensausgaben.

User Surveys: Umfragen unter Mitarbeitern zu den genutzten Tools.

Management-Strategien

1. Erkennen: Sämtliche bestehende Shadow IT identifizieren.

2. Risiken bewerten: Anwendungen nach Risikostufe klassifizieren.

3. Maßnahme entscheiden:

• Genehmigen: Nutzung mit angemessenen Kontrollen legitimieren
• Ersetzen: Eine genehmigte Alternative anbieten
• Blockieren: Die Nutzung von Hochrisiko-Tools untersagen

4. Governance implementieren: Klare Genehmigungsprozesse für neue Tools.

5. Schulen: Bewusstsein für Risiken und genehmigte Alternativen schaffen.

Kollaborativer Ansatz

Statt einfach zu verbieten, eine kollaborative Haltung einnehmen:

• Verstehen, warum Mitarbeiter bestimmte Tools gewählt haben
• Genehmigte Alternativen anbieten, die die Anforderungen erfüllen
• Genehmigungsprozesse für legitime Tools beschleunigen
• Einen Katalog vorab genehmigter Anwendungen erstellen
• Schnelle SLAs für die Bewertung neuer Tools festlegen

Kontroll-Tools

CASB (Cloud Access Security Broker): Microsoft Defender for Cloud Apps, Netskope, Zscaler.

SaaS Management: BetterCloud, Torii, Zylo.

DLP (Data Loss Prevention): Verhindert die Exfiltration zu nicht autorisierten Diensten.

Identity Management: Zentralisiertes SSO zur Zugriffssteuerung.

Wirksame Richtlinien

• Klare Richtlinie zur akzeptablen Nutzung der IT
• Transparenter Antrags- und Genehmigungsprozess
• Leicht zugänglicher Katalog vorab genehmigter Anwendungen
• Sicherheitsrichtlinien für BYOD
• Klare Konsequenzen bei vorsätzlichen Verstößen
• Anreize, den Bedarf an neuen Tools zu melden

Best Practices

• Zum Geschäftspartner werden, nicht zur IT-Polizei
• Ein aktuelles Inventar aller genutzten Anwendungen führen
• SSO für Transparenz und Kontrolle implementieren
• Die Erkennung neuer Anwendungen kontinuierlich überwachen
• Richtlinien und Prozesse regelmäßig überprüfen
• Fortlaufende Sicherheitsschulungen anbieten
• Kennzahlen zur Messung der Reduzierung von Shadow IT festlegen