.svg)
Das Wichtigste in Kürze
- Shadow IT (auch Schatten-IT) umfasst alle Geräte, Apps und Cloud-Dienste, die Mitarbeitende ohne Wissen oder Freigabe der IT nutzen. Dazu zählen inzwischen auch KI-Chatbots, die sogenannte Shadow AI.
- Shadow IT entsteht dort, wo die offizielle Freigabe länger dauert als ein Klick. Sie ist meist ein Prozessproblem und selten ein Disziplinproblem.
- Rechtlich relevant wird sie über vier DSGVO-Pflichten: das Verzeichnis (Art. 30), den Auftragsverarbeitungsvertrag (Art. 28), die Sicherheit der Verarbeitung (Art. 32) und die Meldung einer Datenpanne an die Aufsichtsbehörde, möglichst innerhalb von 72 Stunden (Art. 33). Verstöße gegen diese Artikel können nach Art. 83 Abs. 4 mit bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes geahndet werden, es gilt der höhere Betrag.
- ISO 27001 verlangt ein Inventar der Informationen und Werte (Anhang A.5.9) und Regeln für Cloud-Dienste (A.5.23). Für Unternehmen im Anwendungsbereich von NIS2 nennt § 30 Abs. 2 Satz 2 BSIG zehn Mindestmaßnahmen, darunter Lieferkettensicherheit und die Verwaltung der Anlagen.
- Wirksam sind vier Schritte in fester Reihenfolge: sichtbar machen, bewerten, entscheiden, Regeln und Schulung nachweisen. Ein Verbot ohne freigegebene Alternative reicht nicht.
Was ist Shadow IT?
Shadow IT bezeichnet Hardware, Software und Cloud-Dienste, die Mitarbeitende im Unternehmen einsetzen, ohne dass die IT-Abteilung davon weiß oder sie freigegeben hat. Im deutschen Sprachraum heißt das auch Schatten-IT. Der Begriff beschreibt keine Absicht, sondern einen Zustand: Etwas ist im Einsatz, aber niemand führt es im Inventar.
Das ist für jedes Informationssicherheitsmanagementsystem (ISMS) ein Grundproblem. Eine ISO 27001 Zertifizierung setzt voraus, dass das Unternehmen weiß, welche Informationen und Werte es schützt. Anhang A.5.9 verlangt dafür ein Inventar mit Eigentümern. Was dort fehlt, kann das Unternehmen weder bewerten noch absichern. Shadow IT ist deshalb zuerst eine Lücke im Inventar und erst danach ein Einfallstor für Angreifer.
Ein verbreiteter Irrtum lautet, Shadow IT entstehe durch nachlässige Mitarbeitende. In der Praxis entsteht sie dort, wo der offizielle Weg langsamer ist als der inoffizielle. Wer für ein Tool drei Abteilungen anschreiben muss, während eine kostenlose Testversion nach zwei Minuten läuft, handelt aus Sicht seines Teams vernünftig. Auch Fachbereiche beschaffen ohne die IT, etwa mit der Firmenkreditkarte, weil das Budget bei ihnen liegt.
Beispiele für Shadow IT im Unternehmensalltag
Shadow IT zeigt sich in fünf Bereichen: Geräte, Software, Cloud-Dienste, Verbindungen zwischen Apps und KI-Dienste. Die folgende Übersicht zeigt, welches Risiko typischerweise daran hängt und wo Sie ansetzen.
Die App-Verbindungen werden am häufigsten unterschätzt. Wer einer App einmal Zugriff auf Postfach oder Cloud-Speicher erteilt hat, hat eine Verbindung geschaffen, die in keiner Asset-Liste auftaucht. Wiederholte Berechtigungsabfragen führen außerdem dazu, dass Nutzer sie irgendwann ungeprüft bestätigen.
Welche Risiken entstehen durch Shadow IT?
Shadow IT erzeugt drei Arten von Risiko: Datenschutzverstöße, Sicherheitslücken und fehlende Nachweisbarkeit. Alle drei haben dieselbe Ursache, nämlich dass niemand weiß, was im Einsatz ist.
Datenschutz
Sobald ein nicht freigegebener Dienst personenbezogene Daten verarbeitet, fehlen die Grundlagen der DSGVO. Ohne Auftragsverarbeitungsvertrag verstößt der Einsatz gegen Art. 28, ohne Eintrag im Verzeichnis von Verarbeitungstätigkeiten gegen Art. 30. Sitzt der Anbieter in einem Drittland, kommen die Regeln aus Kapitel V (Art. 44 bis 49) hinzu. Verstöße gegen Art. 28, 30, 32 und 33 fallen unter Art. 83 Abs. 4 (bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes), unzulässige Drittlandübermittlungen unter Art. 83 Abs. 5 (bis 20 Mio. € oder 4 %). Jeweils gilt der höhere Betrag. Den Wortlaut finden Sie im offiziellen Gesetzestext.
Wie Sie personenbezogene Daten über alle Systeme hinweg auffinden, beschreibt unser Beitrag zu Data Discovery in der DSGVO-Compliance. Die rechtlichen Grundlagen fasst der DSGVO-Leitfaden für Unternehmen zusammen. Und wie ein Datenschutzbeauftragter einen Vertrag mit einem Dienstleister prüft, zeigt der Beitrag zum Auftragsverarbeitungsvertrag prüfen.
Informationssicherheit
Was die IT nicht kennt, patcht sie nicht. Nicht freigegebene Dienste tauchen in keinem Schwachstellenscan auf, und Endpoint-Schutz sowie das Security Operations Center sehen sie nicht, solange dort nichts installiert und nichts angebunden ist. Hinzu kommen Konten, die nach einem Austritt aktiv bleiben, weil sie nie in einer Zugriffsliste standen. Wie Sie Zugriffsrechte bei Eintritt, Wechsel und Austritt sauber regeln, lesen Sie im Beitrag zum On- und Offboarding-Prozess.
Bei einer Datenpanne läuft zudem die Uhr: Nach Art. 33 DSGVO melden Sie sie unverzüglich und möglichst innerhalb von 72 Stunden nach Bekanntwerden an die Aufsichtsbehörde. Wer nicht weiß, welche Dienste im Einsatz sind, kann nach einem Vorfall beim Anbieter nicht einmal sagen, welche Daten betroffen sein könnten.
Nachweisbarkeit
Ein Szenario zur Veranschaulichung, kein Kundenfall: Ein SaaS-Unternehmen mit 80 Mitarbeitenden bereitet seine erste ISO-27001-Zertifizierung vor. Im IT-Inventar stehen 40 freigegebene Dienste. Beim Abgleich mit den Single-Sign-on-Anmeldungen und den Kartenabrechnungen tauchen 15 weitere Tools auf, drei davon mit Kundendaten: ein Notiz-Tool, ein Transkriptionsdienst und ein KI-Chatbot. Für alle drei fehlen der Auftragsverarbeitungsvertrag und der Eintrag im Verzeichnis.
Im Audit geht es weniger um die Frage, ob Sie Shadow IT haben, als darum, woher Sie wissen, dass Ihr Inventar vollständig ist. Für Unternehmen, die unter NIS2 fallen, kommt die Verantwortung der Geschäftsleitung hinzu: Sie muss die Maßnahmen nach § 30 BSIG umsetzen und ihre Umsetzung überwachen (§ 38 Abs. 1 BSIG). In Deutschland gilt das seit dem 6. Dezember 2025. Welche Pflichten das im Einzelnen sind, erklärt der Leitfaden zur NIS2-Richtlinie.
Shadow AI: der neue Teil des Problems
Shadow AI ist Shadow IT mit anderen Eingaben: Mitarbeitende kopieren Texte, Kundendaten oder Quellcode in einen Chatbot, die vorher in internen Systemen geblieben wären. Technisch ist jede Eingabe eine Datenübermittlung an einen Anbieter. Enthält sie personenbezogene Daten, braucht dieser Anbieter einen Auftragsverarbeitungsvertrag (Art. 28 DSGVO), und bei einem Sitz außerhalb der EU gelten zusätzlich die Regeln aus Kapitel V.
Dazu kommt, dass auch freigegebene Tools KI-Funktionen erhalten, etwa Meeting-Transkription oder Textassistenten, die je nach Voreinstellung bereits aktiv sein können. Prüfen Sie deshalb bei jedem Anbieter, ob Eingaben für das Training genutzt werden und wo sie gespeichert werden. Welche Pflichten der EU AI Act für Unternehmen bringt, die KI einsetzen, erklärt unser Beitrag zu EU AI Act Compliance.
Ein Verbot wirkt wie die einfache Lösung, schafft aber selten Klarheit. Die Nutzung verschwindet dann nicht, sie weicht eher auf private Geräte aus, auf denen die IT noch weniger sieht. Wirksamer ist eine kurze Regel, welche Daten nie in einen Chatbot gehören (Kundendaten, Quellcode, Zugangsdaten), kombiniert mit einem freigegebenen Zugang.
Wie Sie Shadow IT erkennen und beherrschen
Es gibt vier Schritte, und die Reihenfolge ist wichtig: Wer Regeln schreibt, bevor er den Bestand kennt, regelt am Bedarf vorbei.
- Sichtbar machen (IT und Informationssicherheit). Kein einzelner Weg zeigt alles, deshalb gleichen Sie mehrere Quellen ab: Single-Sign-on-Anmeldungen und OAuth-Berechtigungen, Cloud-Konten mit Firmenadresse, Kartenabrechnungen und Erstattungsanträge, Netzwerkprotokolle. Gerade kleine Beträge auf Spesenabrechnungen verraten viele Abos, die sonst niemand meldet.
- Bewerten (Informationssicherheit und Datenschutz). Klären Sie für jeden gefundenen Dienst drei Fragen: Welche Daten liegen dort? Wer ist der Anbieter und wo sitzt er? Gibt es einen Auftragsverarbeitungsvertrag? Tragen Sie den Dienst anschließend in das Verzeichnis der Verarbeitungstätigkeiten und in das Inventar nach A.5.9 ein.
- Entscheiden (Fachbereich und IT gemeinsam). Jeder Dienst wird freigegeben, ersetzt oder abgeschaltet. Legen Sie eine Zielzeit für neue Anfragen fest, etwa fünf Arbeitstage. Je schneller die offizielle Antwort kommt, desto weniger Grund gibt es für den Umweg.
- Regeln und Schulung nachweisen (Geschäftsleitung und ISB). Eine Richtlinie zur zulässigen Nutzung (A.5.10), ein einfacher Prozess für neue Tools, Schulungen mit Teilnahmenachweis (A.6.3) und eine wiederkehrende Kontrolle, etwa quartalsweise.
Welche Maßnahmen Anhang A im Einzelnen verlangt, lesen Sie in der Übersicht der 93 Maßnahmen aus Anhang A. Die folgende Tabelle zeigt, welche Anforderung welcher Rahmen an welcher Stelle stellt. Die Spalte zu NIS2 gilt nur, wenn Ihr Unternehmen unter das BSIG fällt.
Wie Kertos hilft, Shadow IT sichtbar zu machen und zu dokumentieren
Die Shadow IT Data Discovery von Kertos scannt Website, SSO und Cloud-Konten, findet Tools und Datenquellen, die niemand gemeldet hat, und übernimmt sie in Ihr Verzeichnis. Damit ist Schritt 1 und ein Teil von Schritt 2 automatisiert. Die Grenze liegt bei den Quellen, die der Scan sieht: Ein privat bezahltes Abo, das nie mit einem Firmenkonto angelegt wurde, taucht dort nicht auf. Dafür bleibt der Blick auf Spesen und Kartenabrechnungen sinnvoll.
Für jeden gefundenen Dienst führt das Vendor Management das Verzeichnis, holt Auftragsverarbeitungsverträge und Nachweise ein und erinnert an die Wiedervorlage. So entsteht der Nachweis zu Art. 28 DSGVO und zu A.5.19 nicht im Audit, sondern im laufenden Betrieb.
Die Regeln aus Schritt 4 setzen Sie mit dem Policy Management um: Vorlagen für die Richtlinien, die ISO 27001 verlangt, Freigabe, Versionierung und die dokumentierte Kenntnisnahme. Die Mitarbeitertrainings weisen die Schulungen zu und halten den Abschluss je Person als Nachweis im ISMS fest. Zertifizierte Experten von Kertos begleiten Sie beim Aufbau Ihres ISMS. Wenn Sie sehen möchten, wie das in Ihrer Umgebung aussieht, buchen Sie eine Demo.
Häufig gestellte Fragen
Ist Shadow IT dasselbe wie Schatten-IT?
Ja. Beide Begriffe bezeichnen Hardware, Software und Cloud-Dienste, die ohne Wissen oder Freigabe der IT im Unternehmen genutzt werden. "Shadow IT" ist die englische Originalbezeichnung, "Schatten-IT" die deutsche Übersetzung.
Warum ist Shadow IT gefährlich?
Weil ein Unternehmen nicht schützen kann, was es nicht kennt. Nicht freigegebene Dienste haben meist keinen Auftragsverarbeitungsvertrag (Art. 28 DSGVO), keinen Eintrag im Verzeichnis (Art. 30) und keine Patch- und Zugriffskontrolle. Verstöße gegen die Art. 28, 30, 32 und 33 können nach Art. 83 Abs. 4 DSGVO mit bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes geahndet werden.
Ist Shadow IT verboten?
Kein Gesetz verbietet Shadow IT als solche. Verboten sind ihre Folgen: Wer personenbezogene Daten ohne Auftragsverarbeitungsvertrag und ohne Eintrag im Verzeichnis verarbeitet, verstößt gegen die DSGVO. Wer eine ISO-27001-Zertifizierung anstrebt, muss außerdem ein vollständiges Inventar nachweisen (A.5.9), und Unternehmen im Anwendungsbereich von NIS2 müssen ihre Anlagen und ihre Lieferkette im Griff haben.
Wie erkennt man Shadow IT im Unternehmen?
Kein einzelner Weg zeigt alles, deshalb gleichen Sie vier Quellen ab: Single-Sign-on-Anmeldungen und OAuth-Berechtigungen, Cloud-Konten mit Firmenadresse, Spesen- und Kartenabrechnungen sowie Netzwerkprotokolle. Plattformen wie Kertos automatisieren den Abgleich für Website, SSO und Cloud-Konten und übernehmen die Funde in das Verzeichnis.
Was ist Shadow AI?
Shadow AI bezeichnet KI-Dienste wie Chatbots oder Transkriptionstools, die Mitarbeitende ohne Freigabe nutzen. Jede Eingabe ist eine Datenübermittlung an den Anbieter. Enthält sie personenbezogene Daten, braucht der Anbieter einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, und bei einem Sitz außerhalb der EU gelten zusätzlich die Regeln aus Kapitel V.
