Kommentar von Alexander Laubert, Lakeside Software IT-Sicherheit stärken – so verhindern Unternehmen Schatten-IT und Datenschutzverletzungen

Anbieter zum Thema

Disy Informationssysteme GmbH

INFOMOTION GmbH

QUNIS GmbH

Schatten-IT kann dazu führen, dass sensible Daten außerhalb der kontrollierten und sicheren Umgebung des Unternehmens gespeichert und verarbeitet werden. Das erhöht das Risiko von Verstößen gegen Datenschutzgesetze und kann empfindliche Strafen nach sich ziehen. Der Artikel beleuchtet, wie IT-Strategien es Unternehmen ermöglichen, Schatten-IT zu identifizieren, zu überwachen und zu kontrollieren. Die Integrität und Effizienz der IT-Infrastruktur muss dabei sichergestellt werden.

In unserer dynamischen und technologieorientierten Arbeitswelt ist Flexibilität von entscheidender Bedeutung. Gerade im Zusammenspiel mit neuen KI-Technologien suchen Mitarbeiter in Unternehmen ständig nach neuen Möglichkeiten, ihre Aufgaben effizienter und effektiver zu erledigen. Dabei gehen sie häufig über die Grenzen der von der IT-Abteilung bereitgestellten Tools und Systeme hinaus. Diese Entwicklung hat zur Entstehung der sogenannten Schatten-IT geführt. Schatten-IT, auch bekannt als „Shadow-IT“, bezeichnet die Nutzung von IT-Systemen, Anwendungen oder Cloud-Diensten durch Mitarbeiter eines Unternehmens ohne Wissen oder Zustimmung der IT-Abteilung.

Wie entsteht Schatten-IT?

Schatten-IT entsteht vor allem dann, wenn die offiziellen und standardisierten Services der eigenen IT-Abteilung nicht den tatsächlichen Bedürfnissen der Mitarbeiter entsprechen. Die Gründe für eine solche Diskrepanz zwischen dem aktuellen IT-Angebot und den Anforderungen der Mitarbeiter sind vielfältig: Ressourcenmangel in der IT-Abteilung, schlechte Abstimmung zwischen IT und Fachabteilungen, technologische Trends wie BYOD (Bring Your Own Device), der Wunsch nach mehr Flexibilität und Schnelligkeit sowie mangelnde Kommunikation. Unzureichende IT-Governance und Innovationsdruck spielen ebenfalls eine Rolle.

Die Folge ist, dass Mitarbeiter auf eigene Faust nach schnelleren, einfacheren und benutzerfreundlicheren Wegen suchen, um ihre Arbeit zu erledigen. Infolgedessen nutzen sie verstärkt nicht autorisierte Anwendungen, die außerhalb der Kontrolle und den Sicherheitsprotokollen der IT-Abteilung laufen.

Die Risiken von Schatten-IT

Die Nutzung nicht autorisierter Ressourcen birgt erhebliche Sicherheitsrisiken. Nicht autorisierte Software und Anwendungen entsprechen häufig nicht den unternehmensinternen Compliance-Richtlinien und können Schwachstellen aufweisen, die Hackern als Einfallstor dienen. Datenschutzverletzungen, insbesondere in Bezug auf die DSGVO, sind ebenfalls ein großes Problem, da sensible Unternehmensdaten durch die unkontrollierte Nutzung von Cloud-Diensten oder privaten Geräten leicht kompromittiert werden können.

Darüber hinaus führt Schatten-IT zum Kontrollverlust der IT-Abteilung über Daten und Systeme, was Compliance und Disaster Recovery, also Maßnahmen zur Wiederherstellung gelöschter Dateien oder anderer IT-Dienste, erschwert. Wenn unkoordinierte Software-Integrationen zu Sicherheitslücken führen – insbesondere, wenn kritische Updates nicht installiert werden – entstehen Integrationsprobleme. Darüber hinaus können doppelte Softwareanschaffungen, z. B. aufgrund eines mangelnden Überblicks über Lizenzen, zu höheren IT-Kosten führen.

Strategische Antwort

Es ist wichtig, die Auswirkungen von Schatten-IT zu verstehen. Insbesondere vor dem Hintergrund, dass Unternehmen zunehmend KI-Technologien und -Tools einsetzen und Mitarbeiter proaktiv entsprechende Dienste ausprobieren. Wirksame IT-Strategien sollten nicht nur den Zugang zu und die Nutzung von IT-Ressourcen kontrollieren, sondern auch die User Experience verbessern. Eine solche strategische Antwort geht dabei weit über das bloße Verbot oder die Einschränkung solcher Praktiken hinaus.

Hier kommt das Stichwort IT- und KI-Governance ins Spiel: Unternehmen müssen klare Richtlinien aufstellen, Mitarbeiter schulen, regelmäßige Audits durchführen und eine offene Kommunikation zwischen IT- und Fachabteilungen fördern. Vertrauen und Verantwortungsbewusstsein sind die Grundlagen jeder KI- und IT-Governance-Praxis. Es muss stets ein tiefes Verständnis für die Herkunft, die Sensibilität und den Lebenszyklus aller verwendeten Daten vorhanden sein – insbesondere, wenn KI in bestehende Infrastrukturen integriert werden soll.

Unternehmen sollten dabei die Bedürfnisse und Arbeitsweisen der Mitarbeiter genau kennen. Nur so können darauf aufbauende IT-Strategien sowohl sicher als auch unterstützend sein. Auf diese Weise kann die IT-Abteilung nicht nur die Compliance sicherstellen, sondern auch als echter Partner für die Mitarbeiter agieren.

IT-Strategien zur Kontrolle der Schatten-IT

1. Erkennen und Verstehen

Der erste Schritt zur Kontrolle der Schatten-IT ist die Identifizierung aller IT-Ressourcen und -Geräte, die im Netzwerk verwendet werden. Tools und Plattformen wie beispielsweise Lakeside SysTrack bieten einen umfassenden Überblick über die gesamte IT-Umgebung, sodass IT-Abteilungen nicht autorisierte Anwendungen schnell identifizieren können. Die Identifizierung aller IT-Ressourcen sollte auf KI-Systeme und deren Datenflüsse ausgeweitet werden. Das hilft dabei, ein besseres Gefühl dafür zu entwickeln, welche Art von Daten im Unternehmen kursieren, gespeichert und verwendet werden.

2. Risikobewertung

Nach der Identifizierung unautorisierter Ressourcen ist es wichtig, das Risiko zu bewerten, das diese für die Datensicherheit und Compliance des Unternehmens darstellen. Zu diesem Zweck sollten Unternehmen ein tiefes Verständnis der Herkunft, der Sensibilität und des Lebenszyklus aller verwendeten Daten haben. Die Bewertung sollte die spezifischen Risiken einschließen, die sich aus dem Einsatz von KI ergeben, insbesondere wenn diese außerhalb der regulären IT-Infrastruktur betrieben wird.

3. Entwicklung von Richtlinien und Governance

Eine effektive IT-Governance ist entscheidend, um sicherzustellen, dass alle IT-Ressourcen den internen und externen Datenschutz- und Compliance-Anforderungen entsprechen. Dazu gehören die Erstellung klarer Richtlinien für die Nutzung von IT-Ressourcen und die Umsetzung internationaler Sicherheitsstandards wie ISO 27001 und SOC 2 Typ II. Die IT-Governance sollte auch spezifische Richtlinien für KI-Implementierungen enthalten.

Unternehmen, die von Anfang an interne Data-Governance-Standards für die Erfassung, Speicherung, Verarbeitung und Vernichtung von Daten festgelegt haben, sind hier klar im Vorteil. Das Problem: In vielen Unternehmen fehlt es an Manpower: Angesichts des Fachkräftemangels stehen 27 Prozent der Unternehmen vor der Herausforderung, eine KI-Implementierung mit entsprechendem Know-how durchzuführen und zu begleiten. Zudem ist die Wahrscheinlichkeit hoch, dass die vorhandene Infrastruktur für komplexe generative KI-Tools nicht geeignet ist – insbesondere mit Blick auf die hohen Anforderungen an Rechenressourcen und Datenschutz. Tatsächlich hat mehr als ein Viertel der Unternehmen große Bedenken hinsichtlich des Datenschutzes und der Einhaltung von Compliance-Regeln (28 %).

4. Verantwortung und Bewusstsein fördern

Um das Bewusstsein für die Risiken der Schatten-IT zu schärfen und eine Kultur der Verantwortung zu fördern, spielt die Schulung der Mitarbeiter eine entscheidende Rolle. Auch hier kommt das Stichwort KI ins Spiel: Es ist elementar, dass Mitarbeiter lernen, KI-Technologien sicher und verantwortungsvoll einzusetzen.

5. Implementierung von Sicherheitstechnologien

Um die Kontrolle über alle Datenströme und IT-Ressourcen zu behalten, sollten Unternehmen in Technologien wie Datenverschlüsselung und erweiterte Netzwerküberwachung investieren, insbesondere wenn Dienste und Server außerhalb der EU genutzt werden. Dies gilt auch für den Einsatz von KI-Tools.

Auch wenn die Rechenzentren der großen Global Player im Bereich der generativen KI-Technologie häufig außerhalb der EU liegen, können sich deutsche Unternehmen darauf verlassen, dass die strengen Datenschutzbestimmungen eingehalten werden. Große multinationale Rechenzentrumsanbieter wie Microsoft Azure, die einen weltweiten Kundenstamm bedienen, sind mit allen einschlägigen Vorschriften, einschließlich der DSGVO, bestens vertraut.

Fazit

Schatten-IT stellt nicht nur ein Sicherheitsrisiko dar, sondern bietet auch die Chance, die IT-Strategie eines Unternehmens zu überdenken und an die tatsächlichen Bedürfnisse der Anwender anzupassen. Durch ein besseres Verständnis und ein proaktives Management kann die IT-Abteilung eine sichere und effiziente IT-Infrastruktur gewährleisten, die sowohl die betrieblichen Anforderungen des Unternehmens unterstützt als auch die Compliance und Datensicherheit stärkt.

(ID:50155420)