Shadow IT bezeichnet Hard- und Software, die ohne Wissen der IT-Abteilung eingesetzt wird. Sie entzieht sich jeder Kontrolle und vergrößert die Angriffsfläche oft erheblich.
Shadow IT, auf Deutsch Schatten-IT, umfasst alle Systeme, Anwendungen und Dienste, die Mitarbeitende oder Fachabteilungen ohne Wissen und Freigabe der IT einsetzen. Das reicht vom privaten Cloud-Speicher für Firmendokumente über selbst abonnierte SaaS-Tools bis zu einem schnell aufgesetzten Server, der nie in das offizielle Inventar gelangt ist.
Shadow IT entsteht selten aus böser Absicht, sondern aus dem Wunsch, schneller arbeiten zu können. Das Problem: Was die IT nicht kennt, kann sie weder patchen noch überwachen noch absichern. Jedes unbekannte System vergrößert die Angriffsfläche, ohne dass es im Risikobild auftaucht. Besonders heikel wird es, wenn Zugangsdaten für solche Dienste wiederverwendet werden oder sensible Dokumente in Umgebungen landen, über die das Unternehmen keinerlei Kontrolle mehr hat.
Typische Erscheinungsformen
- privat genutzte Cloud-Speicher und Messenger für geschäftliche Daten,
- eigenmächtig abonnierte SaaS-Anwendungen mit Zugriff auf Unternehmensdaten,
- vergessene Test- und Entwicklungssysteme, die online erreichbar bleiben,
- private Geräte ohne Verwaltung im Netzwerk,
- veraltete Webanwendungen und Subdomains, die niemand mehr pflegt.
Bedeutung für Unternehmen
Laut BSI-Lagebericht 2025 waren 47 Prozent der untersuchten IP-Adressen mit öffentlich erreichbaren sensiblen Informationen auffällig – ein Hinweis darauf, wie viel unkontrolliert exponiert ist. Für Entscheider ist Shadow IT ein doppeltes Risiko: Es entzieht sich der Sicherheitsarchitektur und gefährdet zugleich die Compliance, etwa wenn personenbezogene Daten unbemerkt in nicht geprüfte Dienste abfließen. Ein veraltetes, vergessenes System ist oft der bequemste Einstieg für einen Angreifer.
Härtung und Prüfung aus Red-Team-Sicht
In der Aufklärungsphase eines Einsatzes suchen wir mit OSINT und Attack-Surface-Analysen gezielt nach vergessenen Systemen – genau dort, wo das interne Inventar lückenhaft ist. Empfohlene Maßnahmen:
- kontinuierliches Attack Surface Management, das die eigene externe Angriffsfläche fortlaufend erfasst,
- klare, einfache Prozesse zur Freigabe neuer Dienste, damit Umgehung unattraktiv wird,
- regelmäßige Inventur von Cloud-Abonnements und Subdomains,
- technische Kontrolle über Datenabflüsse (etwa CASB oder DLP),
- Sensibilisierung der Fachabteilungen für die Risiken eigenmächtiger IT.
Die externe Angriffsfläche prüfen wir im Rahmen eines Penetrationstests oder Red Teamings.