Unter dem Radar: Schatten-IT – der ewige Kampf

Das Aufkommen cloudbasierter Self-Service-Anwendungen, generativer KI sowie schnell verfügbare Anwendungen aus den App-Stores bringt für IT-Abteilungen eine sekundäre Herausforderung mit sich: User sind in ihren Netzwerken längst nicht mehr ausschließlich auf die vom Unternehmen geprüften Anwendungen beschränkt. Stattdessen nutzen sie heute vermehrt vor allem die Tools, die ihre Arbeit vereinfachen oder effizienter gestalten. In einer Zeit, in der die Grenzen zwischen beruflicher und privater Nutzung des Internets zunehmend verschwimmen, gerade auf mobilen Devices, stellt die Verwendung nicht autorisierter Software-Applikationen im Unternehmensnetzwerk eine immer komplexere Bedrohung dar. Wir haben uns in unserem Blog schon zuvor mit der sogenannten Schatten-IT beschäftigt und das Problem wird in Zukunft eher noch zunehmen. Gartner schätzt, dass bis 2027 voraussichtlich bereits 75 Prozent der Mitarbeiter in Unternehmen Technologien erwerben, verändern oder erstellen werden, die nicht im Einflussbereich der IT liegen – 2022 lag diese Zahl noch bei 41 Prozent.

Schatten-IT entsteht hauptsächlich dann, wenn Mitarbeiter ihre Arbeit auf die Weise erledigen möchten, die ihnen am effizientesten erscheint. Oftmals haben sie bereits positive Erfahrungen mit bestimmten Anwendungen gesammelt oder finden diese effektiver als die vom Unternehmen offiziell angebotenen Lösungen. In einigen Fällen stellt das Unternehmen vielleicht nicht einmal eine offiziell genehmigte Lösung für spezifische Bedürfnisse wie Messaging oder Dateifreigabe bereit, was die Mitarbeiter dazu veranlasst, auf Alternativen wie Dropbox, WhatsApp oder Google Drive zurückzugreifen. Oder die Verfahren, um Ressourcen oder Dienste über ein offizielles Unternehmenssystem anzufordern, sind sehr langsam und ineffizient.

Die Nutzung solcher nicht genehmigter Tools birgt immense Sicherheitsrisiken für die IT-Infrastruktur, da den IT-Abteilungen die Einsicht und Kontrolle über diese Anwendungen fehlen. Der Trend zum Homeoffice sowie der Einsatz neuer Tools für generative KI verschärfen dieses Problem. Schatten-IT unterscheidet sich dabei von BYOD, bei dem Unternehmen durch effektive BYOD-Richtlinien ein gewisses Maß an Kontrolle über die Unternehmensdaten und die auf dem Gerät der User zugelassenen Ressourcen behalten und so das Risiko steuern können.

Schatten-IT reicht viel weiter: IT-Admins wissen hier überhaupt nicht, ob und welches Risiko besteht – besonders kritisch in Zeiten, in denen Cyberattacken immer häufiger vorkommen. Insbesondere wenn User zur Zielscheibe von Ransomware oder Malware werden, brauchen Admins dringend den Überblick, welche infizierten Geräte dann auf den Rest des Netzwerks ausgreifen können oder generell wo das Kernproblem liegt. Denn Cyberkriminelle nutzen immer raffiniertere Methoden, um Unternehmen zu infiltrieren und sensible Daten zu verschlüsseln, oft mit dem Ziel, Lösegeld zu erpressen. Das Bewusstsein für die möglichen Risiken, die die Nutzung solcher Software sowie von persönlich verwalteten SaaS-Tools darstellen kann, ist auf Mitarbeiterseite oft immer noch nicht wirklich ausgeprägt.

Die Bekämpfung von Schatten-IT beginnt damit, Licht in die digitale Schattenwelt Ihres Unternehmens zu bringen. Manuelle Methoden zur Überprüfung von Endpoints sind dafür allerdings viel zu veraltet. Der Schlüssel zum Erfolg liegt im Einsatz fortschrittlicher Analyse- und Inventarisierungstools, die eine stille Überwachung ermöglichen, ein detailliertes Verständnis der genutzten Ressourcen bieten und so helfen, einen effektiven Plan zur Lösung der Probleme durch Schatten-IT zu entwickeln.

• Transparenz schaffen – Der Einsatz von fortschrittlichen Analysewerkzeugen ist essenziell, um die Nutzung unautorisierter IT-Ressourcen aufzudecken. Werkzeuge wie Software Asset Management (SAM), Mobile Device Management (MDM) und Unified Endpoint Management (UEM) ermöglichen, dass IT-Teams eine Überwachung der Softwarenutzung in ihrem Unternehmensnetzwerk erlangen können. Das Entfernen lokaler Admin-Rechte und die Implementierung von Anwendungs-Whitelisting verstärken die Sicherheit. Auch Cloud Access Security Broker (CASBs) spielen eine zunehmende Rolle in der IT-Sicherheit. Sie bieten  Sichtbarkeit, Compliance, Datensicherheit und Schutz vor Bedrohungen in Cloud-Umgebungen, was sie für Unternehmen, die Cloud-Dienste nutzen, unerlässlich macht.
   
• Proaktive IT-Verwaltung etablieren – Die erwähnten Instrumente unterstützen IT-Admins dabei, präventiv zu agieren und die Nutzung von IT-Ressourcen so zu lenken, dass Schatten-IT im Unternehmen reduziert wird. Sie können dadurch die Kontrolle über Softwareversionen gewährleisten, Updates und Patches effizient einzuspielen, Schwachstellen aufzuspüren und Endgeräte fortlaufend zu verwalten. Automatisierte Verfahren zur Softwareverteilung vereinfachen standardisierte Rollouts. Durch Self-Service-Portale für User erhalten diese mehr Autonomie innerhalb eines kontrollierten Rahmens, was gleichzeitig das IT-Personal von der manuellen Bearbeitung jeder einzelnen Nutzeranfrage entbindet. Die Verwaltung der IT-Landschaft ist ein kontinuierlicher Prozess, der fortlaufend angepasst und überwacht werden muss, um sicherzustellen, dass die implementierten Verfahren optimal auf Ihre Anforderungen und Beschränkungen abgestimmt sind.
   
• Mitarbeiter schulen und einbinden – Eine zentrale Rolle bei der Eindämmung von Schatten-IT im Unternehmen spielt auch die Schulung der Mitarbeiter eine zentrale Rolle, Schatten-IT zu verringern. Durch regelmäßige Sicherheitsschulungen, die Vermittlung klarer Richtlinien und die Schaffung einer benutzerfreundlichen IT-Umgebung kann das Bewusstsein geschärft und die Notwendigkeit für die Nutzung unerlaubter Geräte und Software minimiert werden. In Zeiten der Telearbeit ist es zudem wichtig, eine umfassende Kontrolle über alle Geräte zu gewährleisten, die Unternehmensdaten berühren, und durch das Engagement der Führungskräfte eine Kultur der Sicherheit zu fördern.

Die Existenz von Schatten-IT hat in einem Punkte enorme Signalwirkung: IT-Abteilungen müssen ihre Unternehmensrichtlinien überdenken und anpassen. Die Schatten-IT gibt wichtige Hinweise darauf, dass die offiziell genehmigten IT-Lösungen offenbar nicht alle Bedürfnisse der Mitarbeitenden nach effizienten Arbeitsprozessen erfüllen. IT-Fachkräfte sollten daher immer versuchen zu verstehen, welche Bedürfnisse die unautorisiert eingesetzten Anwendungen erfüllen und welche sicheren Alternativen sie dafür bieten können.