WWW-Day am 1. August: Schatten-IT – das unterschätzte Risiko im Web

Der World Wide Web Day am 1. August bietet Anlass, die Erfolgsgeschichte des Internets zu würdigen. Remote-Arbeit, Cloud-Anwendungen und digitale Kollaboration haben Unternehmen effizienter und flexibler gemacht. Doch die zunehmende Geschwindigkeit und Vielfalt webbasierter Tools hat auch ein oft unterschätztes Risiko hervorgebracht: Schatten-IT. Mitarbeiter greifen auf nicht genehmigte Webanwendungen und Cloud-Dienste zurück, um Prozesse zu vereinfachen und produktiver zu arbeiten – meist nicht aus böser Absicht, sondern weil bestehende Lösungen den Arbeitsalltag nicht ausreichend unterstützen. Die zentrale Herausforderung für die Entscheiderebene ist es, die Balance zwischen Innovationsfreiheit und IT-Sicherheit zu finden.

Vun unserem Gastautor Dr. Kawin Boonyapredee, CISO Advisor bei KnowBe4

[datensicherheit.de, 29.07.2026] Am Tag des World Wide Webs am 1. August lohnt es sich auf die Erfolge des Internets zurückzublicken: Remote-Arbeit, SaaS-Plattformen und eine Zusammenarbeit über gemeinsam genutzte Dokumente, Chats, Whiteboards und sonstige Tools hinweg. Sie alle sind Teil der Erfolgsgeschichte.

Das Internet hat zu einer Beschleunigung in der weltweiten Zusammenarbeit geführt, doch genau diese veränderte Geschwindigkeit hat auch eine neue Art von Risiko mit sich gebracht: Schatten-IT, also nicht genehmigte Webanwendungen und Cloud-Dienste, die Mitarbeiter nutzen, um ihre Arbeit einfacher und schneller zu erledigen. Wichtig festzuhalten ist, dass Schatten-IT in der Regel nicht aus böswilliger Absicht entsteht. Sie entsteht aus Dynamik, Druck und Reibungspunkten.

Dr. Kawin Boonyapredee, CISO Advisor bei KnowBe4, Bild: KnowBe4

Schatten-IT breitet sich aus

Wenn das Arbeitstempo hoch ist, suchen die Menschen nach dem schnellsten Weg zum Ergebnis. Das vernetzte Web macht es einfach ein Tool sofort nach der Anmeldung auszuprobieren, Dateien hochzuladen und Inhalte per Link mit einem Klick zu teilen.

Gleichzeitig verläuft die Absicherung neuer Tools oft in längeren Zyklen, die Überprüfung, Genehmigung, Implementierung und Schulung umfassen. Diese Lücke schafft einen Anreiz: Wenn das Unternehmen die benötigten Funktionen nicht schnell bereitstellen kann, suchen sich Mitarbeiter diese anderswo.

Schatten-IT ist so erfolgreich, weil moderne Arbeitsabläufe miteinander vernetzt sind. Ein Team führt ein Tool ein, andere folgen, denn wenn ein Team es nutzt, dann muss es für die anderen auch gut sein. Mit der Zeit führt dies zu einer unkontrollierten Ausbreitung innerhalb der Organisation. Die Gefahr wird besonders in einer vernetzten Umgebung groß, in der sich Daten und Zugriffspfade vervielfachen.

Zu den wichtigsten Risiken gehören:

• Unkontrollierte Offenlegung von Daten: Mitarbeiter können interne Dokumente, Kundendaten, Anmeldedaten oder sensible Informationen in Anwendungen von Drittanbietern hochladen, deren Sicherheits-, Aufbewahrungs- oder Freigabeverhalten unklar ist.
• Unsichere Freigabe und Konfiguration: Viele Web-Apps fördern eine weitreichende Freigabe oder standardmäßig öffentliche Link-Modelle. Eine einzige Fehlkonfiguration kann den Kreis der Personen erweitern, die Inhalte anzeigen oder herunterladen können.
• Vergrößerte Angriffsfläche: Jeder zusätzliche SaaS-Dienst ist ein weiteres Ziel für Phishing, Diebstahl von Anmeldedaten, Sitzungsmissbrauch und missbräuchlich genutzte Integrationen – oft bei begrenzter Überwachung.
  Abweichung von Compliance-Vorgaben: Vorschriften interessieren sich nicht dafür, ob ein Tool „nicht autorisiert“ ist. Schatten-Systeme können es erschweren, nachzuweisen, wohin Daten gelangt sind und wie sie geschützt wurden.
• Uneinheitliche Sicherheitslage: Zugelassene Plattformen verfügen in der Regel über grundlegende Schutzmaßnahmen und Überwachungsmechanismen. Bei Schatten-Tools ist dies möglicherweise nicht der Fall, sodass das Risikoniveau ungleichmäßig und unvorhersehbar wird.

Kanalisieren statt verbieten

Wenn Sicherheitsexperten Schatten-IT nur als ein Problem bei der Durchsetzung von Richtlinien betrachten, werden sie scheitern. Mitarbeiter werden diese entweder weiterhin verheimlichen oder umgehen finden. Das Ziel besteht darin, Anreize zu verringern, indem sichere Alternativen schnell, benutzerfreundlich und eindeutig unterstützt werden, während gleichzeitig die Transparenz erhöht wird, damit die Sicherheitsabteilung frühzeitig Maßnahmen ergreifen kann.

Für Sicherheitsfachleute gilt es, Reibungsverluste bei genehmigten Tools zu reduzieren, damit Geschwindigkeit und Benutzerfreundlichkeit nicht mit Risiken einhergehen. Sie müssen Transparenz schaffen, um unbekannte Apps in zugängliche, kontrollierbare Systeme zu verwandeln. Außerdem müssen die das Bewusstsein für die Risiken der Schatten-IT stärken, damit Mitarbeiter verstehen, dass sie Daten und Informationen sicher Teilen, verantwortungsvoll mit diesen umgehen und riskantes Nutzungsverhalten erkennen.

Eine Checkliste mit sechs Tipps

Schatten-IT verschwindet dann, wenn Sicherheitsfachleute diese erkennen, steuern und schnell genug durch legitime Anwendungen ersetzen können. Die folgenden sechs Tipps helfen ihnen dabei.

1. Schatten-IT-Aktivitäten messen: Sie müssen nicht genehmigte Apps und Services identifizieren und diese nach ihrem Risiko einstufen.
2. Identitäts- und Zugriffskontrollen verbessern: Sie sollten eine starke Authentifizierung sicherstellen und diese in Onboarding- und Offboarding-Prozesse integrieren sowie den Standardzugriff auf sensible Daten reduzieren.
3. Unsichere Freigaben reduzieren: Freigabeberechtigungen gilt es zu überprüfen, öffentliche Links und externen Zugriff zu überwachen sowie bei ungewöhnlichem Upload-/Download-Verhalten davor zu warnen.
4. Gezielte Sensibilisierungsmaßnahmen durchführen: Mitarbeiter sollten mit Security Awareness-Trainings in sicheren Praktiken der Zusammenarbeit und über die tatsächlichen Risiken von „schnellen Anmeldungen“ und der Freigabe über Links geschult werden.
5. Kontinuierliches und schrittweise optimiertes Monitoring: Sie sollten regelmäßige Neubewertungen durchführen, KPIs wie die Reduzierung nicht genehmigter Apps, die Nutzung genehmigter Alternativen und Vorfälle im Zusammenhang mit unbekannten Diensten verfolgen.
6. Reaktion auf Vorfälle: Bei Sicherheitsvorfällen gilt es die Kontrollen und Schulungen anzupassen, damit nicht erneut derselbe Weg eingeschlagen wird.

Fazit

Am Tag des World Wide Webs gilt es einmal mehr sich über die Risiken zu informieren, die all der Fortschritt über die Jahre gebracht hat. Sicherheitsfachleute können Schatten-IT von einem unlösbaren Rätsel in einen kontrollierten Zustand verwandeln und damit weiterhin die Errungenschaften von Remote-Arbeit und Zusammenarbeit in Echtzeit zu ermöglichen.

Weitere Informationen zum Thema:

datensicherheit.de, 16.11.2022
Schatten-IT verhindern: Datensicherheit und Nutzerfreundlichkeit in Einklang bringen