An einem Montagmorgen, mitten im Jahresabschluss, stoesst Sophie B. auf ein scheinbar harmloses Detail: Eine Mitarbeiterin verschickt seit Monaten die Lohnabrechnungen mehrerer Kunden ueber eine kleine, kostenlose Sharing-App auf ihrem privaten Handy. Nichts Boeswilliges — nur schneller als der interne Weg an einem hektischen Tag. Niemand hatte es entschieden, niemand hatte es freigegeben, und vor allem wusste in der Geschaeftsleitung niemand davon. Genau so entsteht Schatten-IT.
Schatten-IT, die Werkzeuge, die dem Unternehmen entgleiten
Schatten-IT bezeichnet alle Werkzeuge, Anwendungen und digitalen Dienste, die fuer die Arbeit genutzt werden, ohne dass die Geschaeftsleitung oder die IT-Verantwortlichen sie ausgewaehlt, genehmigt oder auch nur bemerkt haben. Ein privates E-Mail-Konto, um einem Kunden abends auszuhelfen, eine Notiz-App im Netz, ein im Web gefundener PDF-Wandler, ein kostenloses Sharing-Konto, eine Tabelle in der privaten Cloud einer Mitarbeiterin: Jedes einzelne ist nuetzlich, keines war je eine Entscheidung.
Der Begriff klingt etwas beaengstigend, doch das Phaenomen ist alltaeglich — und meist gut gemeint. Ihre Leute wollen keine Regeln umgehen: Sie wollen schnell arbeiten, mit Werkzeugen, die sie aus dem Privatleben schon kennen. Das Problem ist nicht der boese Wille, sondern die Unsichtbarkeit. Was die Geschaeftsleitung nicht sieht, kann sie weder einrahmen noch schuetzen noch kontrollieren.
Fuer eine Treuhandfirma wie jene von Sophie B. ist der Einsatz unmittelbar. Ein Dienstleistungsbetrieb ohne interne IT beruht weitgehend auf Vertrauen: Jede und jeder organisiert sich mit den vorhandenen Mitteln. Nur sind die Daten, die dabei zirkulieren, keine Ferienfotos — es sind Loehne, Steuererklaerungen, Bankauszuege von Dutzenden Kunden-KMU. An dem Tag, an dem eine dieser Informationen auf dem kostenlosen Server einer App landet, deren Anbieter niemand kennt, entgleitet sie dem Unternehmen. Und mit ihr ein Teil des Berufsgeheimnisses, auf dem die gesamte Kundenbeziehung ruht.
Genau hier zeigt sich das eigentliche Risiko der Schatten-IT: der Datenabfluss. Nicht unbedingt ein spektakulaerer Hack — weit oefter schlicht ein Kontrollverlust. Ein kostenloses Konto, das ueber Nacht geschlossen wird, und die Dateien sind nicht mehr erreichbar. Dasselbe schwache Passwort ueberall wiederverwendet, und ein einziges Leck oeffnet mehrere Tueren. Ein Dienst, der Dokumente auf Servern speichert, deren Standort Sie nicht kennen — manchmal ausserhalb der Schweiz — ohne dass Sie je einen Vertrag unterschrieben haben. Viele kostenlose Werkzeuge finanzieren sich ueberdies mit Daten: Ihre Nutzungsbedingungen, die niemand liest, erlauben es ihnen oft, diese Daten zu analysieren oder weit ueber Ihre Nutzung hinaus zu behalten.
Das revDSG, das revidierte schweizerische Datenschutzgesetz, erwartet von einem Unternehmen jedoch genau, dass es fuer die Daten, die es haelt, "angemessene" Sicherheitsmassnahmen trifft. Es ist schwer, das zu sichern, von dessen Existenz man nicht einmal weiss. Schatten-IT ist also nicht nur eine technische Frage: Sie ist ein toter Winkel, der unmittelbar Ihre Verantwortung betrifft.
Klartext. Schatten-IT ist kein Hacker, der die Tuer aufbricht. Es ist eine Tuer, die man unbemerkt angelehnt gelassen hat, weil sie bequemer war als der Haupteingang. Die Gefahr geht nicht vom Werkzeug selbst aus — oft voellig in Ordnung — sondern davon, dass es ausserhalb Ihres Blickfelds lebt: Niemand weiss, wer Zugriff hat, wo die Dateien landen oder was davon uebrig bleibt an dem Tag, an dem die Mitarbeiterin, die es nutzte, das Unternehmen verlaesst.
Was Sie mitnehmen sollten
Drei Gedanken genuegen, um das Thema zu fassen.
Erstens ist Schatten-IT kein zu bestrafender Fehler, sondern ein Signal, dem man zuhoeren sollte. Wenn eine Mitarbeiterin das offizielle Werkzeug umgeht, liegt das oft daran, dass dieses zu langsam, zu kompliziert oder schlicht nicht vorhanden ist. Die richtige Reaktion ist nicht die Sanktion, sondern das Beduerfnis zu verstehen und eine saubere Alternative anzubieten. Sonst kommt das Schattenwerkzeug durch eine andere Tuer zurueck.
Zweitens ist die Unsichtbarkeit der Kern des Problems. Daten, die durch einen bekannten Kanal fliessen, lassen sich einrahmen; Daten, die durch einen unbekannten fliessen, nicht. Die Kontrolle zurueckzugewinnen beginnt also mit dem Sehen, noch bevor man irgendetwas absperrt.
Drittens bleibt fuer ein Schweizer KMU, das mit sensiblen Daten umgeht, die Verantwortung bei Ihnen, ganz gleich welches Werkzeug. Eine Lohndatei einer kostenlosen App anzuvertrauen, uebertraegt diese Verantwortung nicht auf deren Anbieter: Im Fall eines Lecks ist es Ihre Organisation, die die Folgen tragen muss — und die Verletzung noetigenfalls dem EDÖB, der schweizerischen Datenschutzbehoerde, meldet. Ein Kunde, dessen Daten abgeflossen sind, fragt nicht, welches Werkzeug schuld war: Er fragt, warum Sie es nicht wussten.
Die Schritte fuer diese Woche
Gute Nachricht: Die Kontrolle zurueckzugewinnen braucht kein Budget, keinen IT-Fachmann, kein Grossprojekt. Drei einfache Schritte genuegen zum Start, und sie passen alle in eine gewoehnliche Woche, zwischen zwei Dossiers.
1. Eine Bestandsaufnahme machen, ohne zu urteilen
Nehmen Sie sich dreissig Minuten im Team und stellen Sie eine einzige Frage: "Mit welchen Werkzeugen arbeiten Sie im Alltag wirklich?" Nicht um zu ueberwachen — um zu entdecken. Notieren Sie jede Anwendung, jeden Dienst, jedes Konto, das zur Bearbeitung von Unternehmensdaten genutzt wird, auch jene auf privaten Handys. Ziel ist eine ehrliche Liste, was nur moeglich ist, wenn niemand eine Sanktion fuerchtet. Stellen Sie die Uebung so dar, wie sie ist: kein Audit, sondern ein Weg, das Team besser auszustatten. Die Laenge der Liste wird Sie wohl ueberraschen — das ist normal, und es ist schon der halbe Weg, denn man schuetzt nur gut, was man zuerst schwarz auf weiss festgehalten hat.
2. Festlegen, was "offiziell" ist
Fuer die haeufigsten Beduerfnisse — eine grosse Datei teilen, ein sensibles Dokument austauschen, Notizen machen, ein Dokument unterschreiben — waehlen Sie ein offizielles Werkzeug und sagen Sie es klar. In einem KMU, das bereits mit einer professionellen Bueroloesung ausgestattet ist, gibt es die meisten dieser Funktionen schon intern, ohne etwas zusaetzlich zu installieren. Es geht nicht darum, zehn Werkzeuge zu verbieten, sondern eines zu benennen, einfach und allen bekannt, fuer jeden Zweck. Ein offensichtlicher offizieller Kanal laesst einen grossen Teil der Schatten-IT verschwinden, ohne sie ueberhaupt verbieten zu muessen.
3. Eine einfache Regel fuer sensible Daten aufstellen
Ein einziger Satz genuegt, sofern ihn alle verstehen: Kundendaten — Loehne, Buchhaltungsbelege, Steuerunterlagen — verlassen niemals die freigegebenen Werkzeuge des Unternehmens. Keine privaten Konten, keine nicht genehmigten Gratis-Apps, kein USB-Stick, der in einer Tasche herumliegt. Schreiben Sie sie auf, teilen Sie sie, wiederholen Sie sie bei jeder neuen Person. Eine kurze, lebendige Regel schuetzt besser als ein zehnseitiges Reglement, das niemand je oeffnet.
Wo stehen Sie wirklich?
Diese drei Schritte draengen die Schatten-IT zurueck, doch fuer sich allein beantworten sie nicht die eigentliche Frage: Wo genau ist Ihre Organisation stabil, und wo ruht sie noch auf Gewohnheiten, die nie jemand geprueft hat? Genau darum geht es bei einer strukturierten Selbstbewertung.
Cyber Passport zertifiziert nichts und erklaert Sie fuer "konform" mit keiner Norm: Es hilft Ihnen, Ihre digitalen Gewohnheiten Frage fuer Frage abzuschreiten — welche Werkzeuge, welche Daten, welche Kanaele — um eine diffuse Sorge in ein klares, mit Kunden und Pruefern teilbares Bild zu verwandeln. Der Rest, naemlich der detaillierte Aktionsplan, um Ihre Werkzeuge dauerhaft zu ordnen und die Schatten-IT ins Licht zu holen, ist Gegenstand eines eigenen Blueprints.
