In jedem Betrieb, den wir übernehmen, finden wir Werkzeuge, die niemand eingeführt hat. Ein Konto bei einem Dateidienst. Eine WhatsApp-Gruppe, in der Aufträge laufen. Eine private Dropbox mit Plänen darin.
Das nennt sich Schatten-IT, und es ist fast nie böse gemeint.
Warum es entsteht
Weil jemand eine Aufgabe hatte und das vorhandene Werkzeug sie nicht gelöst hat. Eine Datei war zu groß für den Mailanhang, also WeTransfer. Der Monteur brauchte schnell ein Foto von der Baustelle, also WhatsApp.
Schatten-IT ist kein Disziplinproblem. Sie ist eine Rückmeldung darüber, wo die offizielle Lösung nicht reicht.
Warum es trotzdem ein Problem ist
Datenschutz. Wer Kundendaten über einen Dienst schickt, mit dem kein Auftragsverarbeitungsvertrag besteht, verstößt gegen Art. 28 DSGVO. Bei US-Diensten kommt die Frage des Drittlandtransfers dazu.
Verlust. Was im privaten Konto einer Person liegt, gehört nicht dem Betrieb. Verlässt die Person die Firma, sind die Daten weg — oder schlimmer, sie sind noch da, aber niemand kommt daran.
Kein Backup. Der Betrieb sichert seinen Server. Die private Dropbox sichert niemand.
Keine Übersicht. Bei einer Datenpanne muss man sagen können, wo welche Daten liegen. Das geht nicht, wenn ein Teil davon in Konten liegt, von denen man nichts weiß.
Wie man es findet
Nicht durch Überwachung. Durch Fragen.
Setz dich mit den Leuten zusammen und frag: Wie schickst du eine große Datei an einen Kunden? Wo legst du Fotos von der Baustelle ab? Wie stimmst du dich mit den Kollegen ab, wenn du unterwegs bist?
Die Antworten sind die Liste. Und sie kommen ehrlich, solange klar ist, dass es nicht um Schuld geht.
Wie man es abstellt
Erst die Lücke schließen, dann verbieten. Ein Verbot ohne Ersatz führt dazu, dass es heimlich weiterläuft. Wer eine große Datei verschicken muss, braucht einen Weg dafür — dann nimmt er auch den offiziellen.
Der offizielle Weg muss der bequemere sein. Wenn der Umweg schneller geht, gewinnt der Umweg. Immer.
Einmal zeigen. Ein Werkzeug, das niemand erklärt bekommen hat, wird nicht benutzt.
Was wir dabei einrichten
Meist eine Nextcloud auf unseren Servern: Dateifreigaben per Link mit Ablaufdatum und Passwort, Ordner für Baustellen, Zugriff vom Handy. Damit sind die drei häufigsten Gründe für Schatten-IT weg — große Dateien, Fotos von unterwegs, Zugriff ohne VPN.
Der Rest ist ein Gespräch, kein Projekt.