Die unterschätzte Gefahr

ITD: Herr Hoffmann, immer wieder liest man den Begriff Schatten-IT. Was hat es damit genau auf sich?
Alex Hoffmann: Im Grunde genommen verbirgt sich hinter diesem Begriff einfach nur der Umstand, dass Mitarbeiter in einem Unternehmen Konten erstellen, sich Software herunterladen oder Cloud-Dienste nutzen, ohne dafür vorher Genehmigungen einzuholen. Das hat in den meisten Fällen einen völlig harmlosen Hintergrund – z.B. wollen die Kollegen nur Apps runterladen, um produktiver arbeiten zu können oder stellen Recherchen an. Aber genau hier schlummern auch einige Nachteile und Risiken für Unternehmen jedweder Größe.

ITD: Nämlich welche?
Hoffmann: Die IT-Verantwortlichen in den Unternehmen tun ihr Bestes, um Sicherheitslücken zu finden und diese zu schließen. Schatten-IT fliegt dabei häufig unter ihrem Radar und kann Einfallstore für Dritte bieten, ohne dass das Unternehmen überhaupt von ihnen weiß. Aber nicht nur in Sachen Cybersicherheit kann Schatten-IT zu Problemen führen: Häufig ist Software-Anschaffung mit gekauften Lizenzen verbunden und ohne passenden Überblick kommt es hier zu unnötigen Kosten für das Unternehmen.

ITD: Ist Schatten-IT denn ein verbreitetes Problem?
Hoffmann: Wir haben zu diesem Thema eine Umfrage in den USA durchgeführt: Etwa 62 Prozent aller Befragten gaben an, am Arbeitsplatz schon einmal mindestens ein Konto angelegt zu haben, ohne dass die IT-Verantwortlichen im Unternehmen etwas davon wussten. Auch in Sachen Passwörtern halten sich dabei nicht immer alle an die Vorgaben der Unternehmen: Etwa jeder Dritte nutzt wiederholt dieselben sehr einprägsamen Passwörter. Ganze 48 Prozent räumen ein, immer wiederkehrende Muster bei ihren Passwörtern zu verwenden. Besonders bemerkenswert ist, dass 37 Prozent schon einmal Passwörter über E-Mail, Messaging Dienste oder mündlich an Kollegen weitergegeben haben.

ITD: Was passiert, wenn Mitarbeiter das Unternehmen verlassen?
Hoffmann: Fast 21 Prozent aller Beschäftigten haben schon einmal den Zugriff auf ein berufliches Konto verloren, nachdem ein Kollege das Unternehmen verlassen hat. Zudem kann es auch immer wieder vorkommen, dass ehemalige Mitarbeiter weiterhin Zugriff auf Konten haben, wenn sie diese ohne Wissen der IT-Abteilung erstellt haben. Darüber können dann natürlich auch Geschäftsgeheimnisse abfließen.

ITD: Was können Unternehmen ganz konkret gegen Schatten-IT unternehmen?
Hoffmann: Alle Mitarbeiter sollten passend geschult und über die Risiken von nicht autorisierten Konten und Programmen aufgeklärt werden. Wenn diese verstehen, warum bestimmte Richtlinien eingehalten werden müssen, halten sie sich auch mit höherer Wahrscheinlichkeit an die Maßnahmen. Zudem sollte es allen Mitarbeitern möglichst einfach gemacht werden, Zugriffe zu beantragen. Und zwar auf Anwendungen, Speichernutzung, Abonnements, in der Cloud gehostete Dokumente und eben alles, womit sie es im Arbeitsalltag so zu tun haben. Wenn die Wege kurz und einfach gehalten werden, müssen sich die Angestellten keine Abkürzungen suchen, die dann ein Risiko für das Unternehmen darstellen können.

Dies ist ein Artikel aus unserer Print-Ausgabe 4/2022. Bestellen Sie ein kostenfreies Probe-Abo.

Und zu guter Letzt empfehle ich natürlich, einen unternehmensweiten Passwortmanager zu verwenden und die Mitarbeiter darin zu schulen, diesen sicher zu verwenden. Einzigartige und starke Passwörter sind wortwörtlich der Schlüssel für die Sicherheit eines Unternehmens. Und wenn ein guter Passwortmanager die Arbeit abnimmt, sich unzählige Kennwörter zu merken und sich gut in den Arbeitsalltag implementieren lässt, wird er mit Sicherheit gut angenommen.

Bildquelle: 1Password