Schatten-IT als Kostenfaktor
Schatten-IT wird meist als Sicherheitsthema behandelt: unkontrollierte Werkzeuge, unklare Datenflüsse, offene Zugänge. Das stimmt und greift zu kurz. Für die Geschäftsführung ist der greifbarere Zugang ein anderer — Schatten-IT ist ein Kostenposten, und zwar einer, den niemand budgetiert hat.
Dieser Blickwinkel hat einen praktischen Vorteil: Sicherheitsrisiken sind schwer zu beziffern, Abbuchungen nicht. Wer Schatten-IT über die Zahlungen angeht, hat eine Zahl — und mit einer Zahl lässt sich argumentieren.
Schatten-IT entsteht, wenn der offizielle Weg langsamer ist als der inoffizielle. Sie kostet doppelt: über die Abonnements selbst und über Doppelungen mit vorhandenen Werkzeugen. Sichtbar wird sie nicht über Systemabfragen, sondern über wiederkehrende Zahlungen — vor allem auf Firmenkreditkarten. Wirksam bekämpft wird sie nicht durch Verbote, sondern durch einen Freigabeweg, der schneller ist als die Eigenbeschaffung.
Warum Schatten-IT entsteht
Die Ursache ist selten Böswilligkeit und fast immer Zeitdruck. Fachbeiträge zum Thema benennen das übereinstimmend: Zeitdruck und Effizienzanforderungen treiben Mitarbeitende dazu, eigenständig nach Lösungen zu suchen.
Das ergibt eine unangenehme Logik. Wer ein Werkzeug beschafft, ohne zu fragen, will in der Regel seine Arbeit machen — nicht Regeln umgehen. Der offizielle Weg erscheint als Hindernis, weil er länger dauert als die Aufgabe drängt.
Daraus folgt, dass Verbote wenig ausrichten. Sie ändern nichts an dem Zeitdruck, der die Beschaffung ausgelöst hat — sie machen sie nur unsichtbarer.
Die drei Kostenarten
| Kostenart | Entsteht durch | Sichtbar in |
|---|---|---|
| Direkte Abo-Kosten | Werkzeuge, die niemand kennt | Kreditkartenabrechnung |
| Doppelungen | zweites Werkzeug für vorhandene Funktion | Vergleich mit dem Bestand |
| Folgeaufwand | Anbindung, Datenübernahme, Support | nirgends — fällt als Arbeitszeit an |
Die zweite Zeile ist meist die teuerste. Ein eigenständig beschafftes Projektwerkzeug kostet vielleicht 12 € im Monat — daneben läuft aber eine Suite, in der dieselbe Funktion bereits enthalten und bezahlt ist. Der Verlust ist nicht das neue Abo, sondern die doppelte Zahlung.
Die dritte Zeile erscheint in keiner Rechnung. Wenn ein eigenständig eingeführtes Werkzeug später angebunden, abgesichert oder bei Problemen unterstützt werden muss, fällt Aufwand bei der IT an — für eine Entscheidung, an der sie nicht beteiligt war.
Die Sicherheitsseite, kurz gefasst
Auch wenn der Kostenblick praktischer ist, gehört die Sicherheitsfrage dazu. Erhebungen zum Thema nennen als Hauptrisiken Datenverlust und mangelnde Transparenz — beides folgt direkt daraus, dass niemand weiß, welche Daten in welchem Dienst liegen.
Drei Fragen bleiben bei jedem Werkzeug offen, das ohne Prüfung eingeführt wurde: Wo liegen die Daten? Gibt es einen Auftragsverarbeitungsvertrag? Was passiert mit dem Zugang, wenn die Person das Unternehmen verlässt?
Die dritte Frage verbindet die Sicherheits- mit der Kostenseite. Ein Abonnement, das auf eine ausgeschiedene Person läuft, ist gleichzeitig ein offener Zugang und eine laufende Zahlung — und es fällt bei keinem Offboarding auf, weil es in keiner Liste steht.
Sichtbar machen: über die Zahlungen
Systemabfragen finden Schatten-IT nicht, weil sie nur erfassen, was installiert oder ausgerollt wurde. Browserbasierte Werkzeuge erscheinen dort nicht.
Die verlässliche Quelle sind die Zahlungen — insbesondere Firmenkreditkarten. Sie sind der Weg, auf dem Software ins Unternehmen kommt, ohne einen Beschaffungsprozess zu durchlaufen: keine Freigabe, kein Angebot, keine Rechnung an die Buchhaltung.
Ein Durchgang durch zwölf Monate Kreditkartenabrechnungen fördert in mittelständischen Betrieben regelmäßig fünf bis fünfzehn Positionen zutage, die niemandem bekannt waren. Werkzeuge, die wiederkehrende Abbuchungen automatisch erkennen und zuordnen, machen daraus einen laufenden Abgleich statt einer jährlichen Suchaktion.
Ergänzend: die Anmeldedaten
Wo eine zentrale Anmeldung im Einsatz ist, liefert sie eine zweite Spur: Anwendungen, bei denen sich Beschäftigte mit ihrem Firmenkonto angemeldet haben, tauchen dort auf — auch wenn sie nie beschafft wurden.
Diese Quelle ist unvollständig, weil viele Werkzeuge eine eigene Anmeldung nutzen. Als Ergänzung zur Zahlungsanalyse ist sie trotzdem nützlich, vor allem für kostenlose Dienste, die keine Spur in der Buchhaltung hinterlassen und trotzdem Unternehmensdaten verarbeiten.
Was mit den Funden geschieht
Der Reflex, alles Gefundene abzuschalten, ist verständlich und meist falsch. Jedes dieser Werkzeuge löst ein reales Problem — sonst hätte es niemand beschafft.
Brauchbarer ist eine Einteilung in drei Gruppen:
Übernehmen
- + Werkzeug erfüllt einen echten Zweck
- + Keine kritischen Daten oder AVV vorhanden
- + In den offiziellen Bestand aufnehmen
- + Zuständige benennen, Vertrag ordnen
Ersetzen oder beenden
- − Funktion ist bereits bezahlt vorhanden
- − Kein AVV bei personenbezogenen Daten
- − Niemand nutzt es mehr
- − Zugang läuft auf eine ausgeschiedene Person
Die dritte Gruppe sind die Fälle, in denen sich keine Entscheidung treffen lässt, weil unklar ist, wer das Werkzeug nutzt. Hier hilft nur die Nachfrage — und die Erfahrung zeigt, dass sich bei etwa der Hälfte niemand meldet.
Ein Rechenbeispiel
Wie sich Schatten-IT in Zahlen niederschlägt, zeigt ein typischer Befund in einem Betrieb mit 70 Beschäftigten. Die Werte sind Größenordnungen aus der Praxis, keine Messung.
| Fund | Monatlich | Bewertung |
|---|---|---|
| Projektwerkzeug einer Abteilung | 48 € | Funktion in vorhandener Suite enthalten |
| Zweiter Cloud-Speicher | 30 € | Doppelung, Daten außerhalb der Ablage |
| Designprogramm | 65 € | echter Bedarf, übernehmen |
| Terminbuchungsdienst | 19 € | echter Bedarf, übernehmen |
| Vier Kleinabos unter 15 € | 42 € | zwei ungenutzt, zwei unklar |
| Summe | 204 € | rund 2.450 € im Jahr |
Von diesen 204 € entfallen etwa 120 € auf Doppelungen und ungenutzte Abos — sie lassen sich ohne Funktionsverlust beenden. Die restlichen 84 € sind berechtigt und werden in den offiziellen Bestand übernommen, wodurch sie planbar werden und beim nächsten Austritt nicht durchrutschen.
Bemerkenswert ist die Verteilung: Kein Einzelposten hätte für sich eine Prüfung ausgelöst. Erst die Summe erreicht eine Größenordnung, für die im Unternehmen ein Freigabeprozess existiert — und genau deshalb bleibt sie ohne Auswertung unsichtbar.
Vorbeugen: den offiziellen Weg schneller machen
Wenn Zeitdruck die Ursache ist, muss die Gegenmaßnahme an der Zeit ansetzen. Ein Freigabeprozess, der zwei Wochen dauert, produziert Schatten-IT — unabhängig davon, wie klar er kommuniziert wird.
Bewährt hat sich eine zweistufige Regelung. Für Werkzeuge ohne personenbezogene Daten und unterhalb eines Betragsschwellenwerts genügt eine kurze Anmeldung: wofür, was kostet es, wer ist zuständig. Antwort innerhalb weniger Tage. Erst darüber greift die vollständige Prüfung.
Diese Trennung nimmt dem Prozess die Schwerfälligkeit, ohne die kritischen Fälle durchzulassen. Und sie hat einen Nebeneffekt: Wer den schnellen Weg kennt, nutzt ihn — allein schon, weil die Kosten dann nicht auf der eigenen Kreditkarte landen.
Der Ablauf für den ersten Durchgang
- Zahlungen auswerten Zwölf Monate Kreditkarten- und Kontoabrechnungen, wiederkehrende Posten markieren.
- Gegen den Bestand halten Was davon ist bekannt, was nicht? Die unbekannten Posten sind der Fund.
- Zuständige suchen Bei jedem unbekannten Posten: Wer nutzt das, wofür? Ohne Vorwurf gefragt, sonst kommt keine Antwort.
- In drei Gruppen einteilen Übernehmen, ersetzen, beenden — mit Begründung je Fall.
- Freigabeweg einrichten Zweistufig, mit zugesagter Antwortzeit. Ohne diesen Schritt wiederholt sich der Befund.
Schritt drei entscheidet über den Erfolg. Wird die Nachfrage als Kontrolle empfunden, bekommt man ausweichende Antworten und beim nächsten Mal noch mehr Schatten-IT. Wird sie als Angebot formuliert — wir übernehmen das offiziell, dann läuft es nicht mehr über deine Karte —, funktioniert sie.
Was sich nach dem ersten Durchgang ändert
Der wichtigste Effekt ist nicht die Ersparnis, sondern die Verlagerung der Zuständigkeit. Ein übernommenes Werkzeug hat danach eine benannte Person, einen dokumentierten Zweck und ein Vertragsende im Kalender — es ist damit Teil des Bestands und nicht mehr Schatten.
Das wirkt über die Kosten hinaus. Beim nächsten Austritt fällt auf, wenn ein Zugang zu einem übernommenen Werkzeug gehört; bei einem unbekannten fällt nichts auf. Und bei der nächsten Beschaffungsfrage lässt sich prüfen, ob die Funktion nicht längst vorhanden ist.
Der zweite Durchgang ein Jahr später zeigt dann, ob der Freigabeweg funktioniert. Findet er wieder ein Dutzend unbekannte Posten, war die Antwortzeit zu lang — findet er zwei oder drei, ist der Prozess angenommen worden.
Häufige Fragen
Was ist Schatten-IT?
Software und Dienste, die im Unternehmen genutzt werden, ohne dass die IT davon weiß oder sie freigegeben hat. Typisch sind browserbasierte Werkzeuge, die eine Person selbst abonniert hat — meist mit Firmenkreditkarte und ohne Beteiligung eines Beschaffungsprozesses.
Warum entsteht Schatten-IT?
Überwiegend durch Zeitdruck. Fachbeiträge nennen übereinstimmend, dass Effizienzanforderungen Mitarbeitende dazu bringen, eigenständig nach Lösungen zu suchen. Wer ein Werkzeug selbst beschafft, will in der Regel seine Arbeit erledigen — der offizielle Weg erschien als Hindernis, weil er länger dauert als die Aufgabe drängt.
Wie findet man Schatten-IT?
Über die Zahlungen, nicht über Systemabfragen. Browserbasierte Werkzeuge erscheinen in keiner Installationsliste, erzeugen aber wiederkehrende Abbuchungen — vor allem auf Firmenkreditkarten. Ergänzend liefert eine zentrale Anmeldung Hinweise auf Dienste, bei denen sich Beschäftigte mit dem Firmenkonto angemeldet haben.
Was kostet Schatten-IT?
Drei Dinge: die Abonnements selbst, Doppelungen mit bereits bezahlten Funktionen und den Folgeaufwand für Anbindung und Support. Die Doppelungen sind meist der größte Posten — ein zusätzliches Werkzeug für eine Funktion, die in einer vorhandenen Suite enthalten ist, wird zweimal bezahlt.
Helfen Verbote?
Kaum. Sie ändern nichts am Zeitdruck, der die Eigenbeschaffung ausgelöst hat, und machen sie nur unsichtbarer. Wirksamer ist ein zweistufiger Freigabeweg: eine kurze Anmeldung für unkritische Werkzeuge mit Antwort in wenigen Tagen, die vollständige Prüfung erst bei personenbezogenen Daten oder höheren Beträgen.