Private Cloud, WeTransfer, KI-Tools: Wie Schatten-IT im Alltag entsteht

Die Datei ist zu groß für eine E-Mail. Der Kunde wartet, der vorgesehene Austauschweg ist umständlich, und ein kostenloser Dienst verspricht die Lösung in wenigen Sekunden. Also wird das Dokument hochgeladen. An anderer Stelle lässt jemand einen Text von einem KI-Werkzeug zusammenfassen oder legt eine Projektliste im privaten Cloud-Konto an.

So entsteht Schatten-IT: Anwendungen und Dienste werden für die Arbeit verwendet, ohne dass sie als betrieblicher Ablauf geprüft und freigegeben sind. Dahinter steckt nicht zwangsläufig Gleichgültigkeit. Häufig fehlt schlicht ein guter, bekannter Weg für eine konkrete Aufgabe.

Das eigentliche Problem ist der Kontrollverlust

Ein bestimmter Dienst ist nicht allein deshalb ungeeignet, weil er außerhalb der bisherigen IT-Landschaft liegt. Entscheidend sind Nutzung, Kontomodell und Daten. Wer betreibt den Zugang? Welche Unterlagen werden gespeichert? Kann das Unternehmen Berechtigungen entziehen und Daten herausbekommen? Was passiert, wenn der Mitarbeiter geht?

Ein privates Konto kann diese Fragen offenlassen, selbst wenn das Produkt technisch gut gemacht ist. Die Rechnung kommt dann nicht nur vom Anbieter. Sie besteht aus verlorenen Zugängen, verstreuten Daten und Abläufen, die niemand vertreten kann.

Das betrifft kleine Helfer genauso wie große Plattformen. Ein Browser-Zusatz, der Dokumente verarbeitet, kann ebenso relevant sein wie ein zusätzlicher Cloud-Speicher. Die Größe des Programms sagt nichts darüber aus, welche Informationen es sehen darf.

Erst verstehen, dann einschränken

Ein pauschales Verbot beseitigt nicht die Aufgabe, die den Umweg ausgelöst hat. Wenn ein Team regelmäßig große Dateien austauschen muss, braucht es dafür einen funktionierenden Dienst. Wer schnelle Transkriptionen benötigt, wird mit „Benutzen Sie das nicht“ allein nicht weit kommen.

Beginnen Sie deshalb mit einer einfachen Frage an die Mitarbeiter: Welche Werkzeuge verwenden Sie, um Ihre Arbeit zu erledigen, und was fehlt Ihnen bei den vorhandenen Lösungen? Das Gespräch sollte auf die Arbeitsabläufe zielen, nicht auf eine öffentliche Suche nach Schuldigen.

Ergänzend können vorhandene Sicherheitswerkzeuge Hinweise auf tatsächlich genutzte Cloud-Anwendungen liefern. Solche Auswertungen sind jedoch von Datenquellen, Konfiguration und Sichtbarkeit abhängig. Sie zeigen nicht automatisch jede Nutzung und nicht zwingend den Inhalt einer Übertragung. Microsoft beschreibt die Erkennung und Bewertung als mehrstufigen Prozess. Dokumentation zu Shadow IT.

Eine kleine Freigabeliste ist besser als ein dickes Regelwerk

Für typische Aufgaben sollte klar sein, welches Werkzeug vorgesehen ist: Dateien senden, gemeinsam bearbeiten, Passwörter teilen, Besprechungen dokumentieren oder Texte mit KI bearbeiten. Zu jedem Dienst gehören ein geschäftlicher Verantwortlicher und einfache Nutzungsregeln.

Dabei sind vier Punkte besonders hilfreich:

• Welche Daten dürfen hinein, und welche ausdrücklich nicht?
• Wird ein verwaltetes Unternehmenskonto statt eines privaten Kontos verwendet?
• Wer vergibt Rechte, prüft externe Zugriffe und beendet sie wieder?
• Wie werden Ergebnisse und wichtige Unterlagen in die reguläre Ablage übernommen?

Die Liste muss leicht auffindbar sein. Ein neues Teammitglied sollte nicht erst mehrere Kollegen fragen müssen, welcher Dateidienst tatsächlich freigegeben ist. Und es braucht einen kurzen Weg für neue Anforderungen, sonst wird die Liste schnell vom Arbeitsalltag überholt.

Bei KI reicht der Produktname nicht

„Dieses KI-Tool ist erlaubt“ ist als Regel zu ungenau. Ein privater Gratiszugang, ein verwaltetes Unternehmensangebot und eine technische Integration können unterschiedliche Bedingungen und Einstellungen haben. Vor dem Einsatz müssen daher der konkrete Zugang, die Datenverarbeitung, Aufbewahrung, Berechtigungen und vertraglichen Rahmenbedingungen geprüft werden.

Auch nach einer technischen Freigabe bleibt die Inhaltsentscheidung: Ein öffentlich verfügbarer Informationstext ist etwas anderes als eine vollständige Mandantenakte oder eine Personalbeurteilung. Wer nur eine Formulierung verbessern möchte, sollte nicht unnötig den gesamten Vorgang übertragen. Außerdem braucht das Ergebnis eine fachliche Prüfung, bevor es weiterverwendet wird.

Das ist kein Argument gegen KI. Es ist derselbe Anspruch, der auch für andere Werkzeuge gilt: Die Aufgabe muss zum freigegebenen Einsatz passen, und die Verantwortung bleibt im Unternehmen.

Bestehende Umwege geordnet ablösen

Wenn ein ungeprüfter Dienst bereits im Einsatz ist, beginnt die Bereinigung mit einer Bestandsaufnahme. Welche Daten liegen dort, welche Links wurden geteilt, und wer arbeitet noch damit? Anschließend werden benötigte Inhalte kontrolliert übernommen und die neue Arbeitsweise getestet. Alte Zugänge werden nicht blind gelöscht, solange wichtige Unterlagen nur dort vorhanden sind.

Danach folgen das Entfernen nicht mehr benötigter Freigaben und Integrationen sowie die Prüfung möglicher Kopien. Eine abgeschlossene Migration sollte auch im Team ankommen. Sonst benutzt die nächste Person wieder den alten Link aus einer gespeicherten E-Mail.

Fazit

Schatten-IT ist oft ein Hinweis auf eine Lücke zwischen Vorgabe und Praxis. Gute Regeln schließen diese Lücke mit brauchbaren Alternativen, verständlichen Grenzen und klarer Verantwortung. Wer das benötigte Werkzeug bereitstellt, muss weniger Umwege verbieten. Und behält seine Geschäftsdaten dort, wo sie kontrolliert werden können.

Sie möchten Ihre Werkzeuge und Datenwege ordnen? Sprechen Sie mit shinpo IT.