Schatten-IT: Risiken und Lösungsansätze für Unternehmen

Ausgangslage

Diese Praxis birgt erhebliche Sicherheitsrisiken, da sie Angriffsflächen für Cyberkriminalität schafft. An der Swiss Cyber Storm 2026 in Bern wurde das Thema ausführlich behandelt.

Hannes Lubich beschrieb vier Arten unsichtbarer IT-Systeme. Er erweiterte seinen Blickwinkel. Private Geräte und illegale Anwendungen waren nicht der Fokus. Er erwähnte klassische Schatten-IT. Auch versteckte Computertechnik in Geräten nannte er. Eigenmächtig abonnierte Onlinedienste waren ein weiterer Punkt. IT in nachgelagerten Lieferketten schloss er ein. Diese Vielfalt macht es für Unternehmen schwierig, einen vollständigen Überblick über alle IT-Komponenten zu behalten. Besonders problematisch ist, dass Schatten-IT oft aus gutem Willen entsteht, etwa wenn Mitarbeiter produktiver arbeiten wollen.

Karen Gibson hat darauf hingewiesen, dass externe Dienstleister gewisse Risiken bergen. Diese Risiken entstehen, weil deren Systeme nicht vom eigenen Sicherheitsteam überwacht oder kontrolliert werden können. Dies erschwert die Absicherung der IT-Infrastruktur zusätzlich. Unternehmen müssen daher auch die IT-Sicherheit ihrer Dienstleister berücksichtigen.

Hintergrund

Christian Folini arbeitet als Security Engineer bei Netnea. Er leitet zudem die Swiss-Cyber-Storm-Konferenz. Bei dieser Veranstaltung hob er die Bedeutung von Schatten-IT hervor. Er verwies darauf, dass Schatten-IT durch die zunehmende Nutzung von Künstlicher Intelligenz (KI) noch komplexer wird. Die Konferenz bot eine Plattform für Experten, um Lösungsansätze zu präsentieren und zu diskutieren.

Christian Folini betonte, dass die Swiss Cyber Storm bewusst nicht spezifische Schwachstellen thematisiert, sondern die Konzepte und Muster dahinter. Dies ermöglicht eine breitere Diskussion und hilft Unternehmen, allgemeine Strategien zu entwickeln. Die Konferenz zeigte auf, dass Schatten-IT ein komplexes Thema ist, das unterschiedliche Perspektiven erfordert.

Schatten-IT entsteht häufig aus dem Wunsch nach Produktivität, wie Karen Gibson erklärte. Mitarbeiter nutzen private Geräte oder unerlaubte Anwendungen, um ihre Arbeit effizienter zu gestalten. Dies kann jedoch zu Sicherheitslücken führen, die schwer zu erkennen und zu beheben sind.

Einordnung für die Schweiz

Die Konferenz zeigte auf, dass die Herausforderung in verschiedenen Branchen und Organisationen besteht.

Was das für Unternehmen bedeutet

Unternehmen müssen sich der Risiken von Schatten-IT bewusst sein und Strategien entwickeln, um diese zu minimieren. Dazu gehören regelmässige Schwachstellenbewertungen und Awareness-Trainings für Mitarbeiter. Wichtig ist auch die Bereitstellung sicherer Alternativen, um die Nutzung unsicherer Systeme zu vermeiden.

Dazu gehört die Bereitstellung von benutzerfreundlichen und sicheren Alternativen. Schulungen allein reichen nicht aus, um Schatten-IT zu verhindern. Wichtig ist auch die Schaffung einer Kultur der Sicherheit, in der Mitarbeiter sich bewusst für sichere Lösungen entscheiden.

Ausblick

Die Konferenz machte deutlich, dass Schatten-IT ein anhaltendes Problem darstellt. Unternehmen sollten kontinuierlich ihre IT-Sicherheitsmassnahmen überprüfen und anpassen.

Einordnung

Schatten-IT entsteht oft aus dem Wunsch der Mitarbeiter, ihre Arbeit effizienter zu gestalten. Unternehmen müssen diese Motive verstehen und sichere Lösungen anbieten, um die Nutzung unsicherer Systeme zu vermeiden.

Was das für KMU bedeutet

Für Schweizer KMU ist die Thematik besonders relevant, da sie oft über weniger Ressourcen für IT-Sicherheit verfügen. Regelmässige Schulungen und klare Richtlinien können helfen, die Risiken zu minimieren.