1. Schatten-IT ist eine Lücke in der Steuerung
Schatten-IT bezeichnet Technologien, die ausserhalb der etablierten Genehmigungs-, Beschaffungs- oder Verwaltungsprozesse einer Organisation eingeführt oder genutzt werden. Dazu gehören kostenpflichtige Teamabonnements, kostenlose Dateiaustauschdienste oder individuell angelegte Konten. Eine unbekannte Anwendung ist nicht automatisch unzulässig: Möglicherweise fehlt lediglich der Genehmigungsnachweis.
Das operative Problem ist die Unsicherheit. Teams wissen unter Umständen nicht, wer den Dienst verantwortet, welche Informationen dort liegen, wer zugreifen kann oder welche Verpflichtung verlängert wird. Diese Unsicherheit erfordert Klärung und Zuständigkeit, nicht lediglich eine längere Liste erkannter Namen.
- Definieren Sie Genehmigungspflichten und unterscheiden Sie unbekannte, freigegebene, eingeschränkt zulässige und noch zu prüfende Anwendungen.
2. Den Bedarf hinter dem Werkzeug verstehen
Beschäftigte führen häufig neue Werkzeuge ein, weil freigegebene Angebote eine benötigte Funktion nicht bieten, die Beschaffung zu lange dauert oder die Zusammenarbeit mit Kunden einen anderen Dienst erfordert. Doppelte Anwendungen entstehen, wenn Abteilungen ähnliche Probleme unabhängig lösen oder Werkzeuge nach Zusammenschlüssen und Teamwechseln behalten.
Eine ausschliesslich sanktionierende Reaktion kann Meldungen verhindern und den eigentlichen Bedarf ungelöst lassen. Fragen Sie, welche Arbeit das Werkzeug ermöglicht, warum eine freigegebene Option ungeeignet war und ob eine unterstützte Alternative die Anforderungen tatsächlich erfüllen kann.
- Schaffen Sie einen klaren Weg, Werkzeuge zu melden und ihre Bewertung anzufragen.
- Gruppieren Sie Anwendungen nach Geschäftszweck, bevor Sie sie als Doppelungen einstufen.
3. Sicherheit, Datenschutz und Kosten getrennt bewerten
Ein unverwalteter Dienst kann Geschäftsinformationen ohne vereinbarte Zugriffskontrollen, Wiederherstellungsverfahren oder verantwortliche Person enthalten. Datenschutzfragen hängen von den personenbezogenen Daten, ihrem Verwendungszweck und den jeweiligen Verarbeitungsvereinbarungen ab. Kostenrisiken umfassen doppelte Abonnements, unklare Rechnungsverantwortung und Verpflichtungen, die nach dem Ausscheiden einer Person fortbestehen.
Diese Dimensionen verlaufen nicht immer parallel. Ein kostenloses Werkzeug kann erhebliche Informationsrisiken verursachen, während eine teure Doppelung fachlich begründet sein kann. Priorisieren Sie nach Datensensibilität, Zugriffsexposition, betrieblicher Abhängigkeit und vertraglicher Unsicherheit statt allein nach dem Preis.
- Geben Sie Fragen zu sensiblen Daten an die zuständigen Datenschutz- oder Sicherheitsverantwortlichen weiter.
4. Rechtmässig und verhältnismässig erfassen
Beginnen Sie mit zulässigen Quellen wie Beschaffungsunterlagen, Rechnungen, freigegebenen Identitätsdaten und Angaben der Beschäftigten. Vereinbaren Sie Zweck und erforderlichen Mindestumfang, bevor weitere Erhebungsmethoden hinzukommen. Beziehen Sie bei Beschäftigtendaten Datenschutz, Rechtsberatung und gegebenenfalls Arbeitnehmervertretungen entsprechend den örtlichen Anforderungen ein.
Anwendungserkennung darf nicht zur uneingeschränkten Überwachung von Beschäftigten werden. Klären Sie vor der Erhebung Berechtigung, Transparenz, Zugriffsbeschränkungen und angemessene Aufbewahrung. Eine Zahlung oder ein Domainverweis ist ein zu prüfender Hinweis, kein abschliessender Beweis für geschäftliche Nutzung oder persönliches Fehlverhalten.
- Dokumentieren Sie Abdeckung und blinde Flecken jeder Quelle.
- Erheben Sie keine Nachrichteninhalte oder sachfremden privaten Aktivitäten, nur um das Anwendungsverzeichnis zu erweitern.
5. Eine Ausgangsbasis schaffen, die Unsicherheit sichtbar hält
Erfassen Sie je Anwendung Name, Zweck, Zuständigkeit, Genehmigungsstatus, bekannte Datenkategorien, Nachweisquelle und letztes Prüfdatum. Kennzeichnen Sie ungeklärte Felder ausdrücklich als unbekannt. Gleichen Sie Namensvarianten sorgfältig ab, damit unterschiedliche Dienste nicht versehentlich zusammengeführt werden.
In einem fiktiven Beispiel importiert die Finanzabteilung eine Rechnung für einen Umfragedienst, während ein Team den Zweck manuell angibt. Eine passende E-Mail-Domain deutet auf eine Beziehung hin, die zunächst nur abgeleitet ist. Anschliessend bestätigt die Teamleitung Zuständigkeit und geschäftliche Nutzung. Ob ausgeschiedene Beschäftigte noch Konten besitzen, bleibt bis zur Prüfung beim Dienst unbekannt.
- Halten Sie importierte, manuell erfasste, abgeleitete und überprüfte Informationen unterscheidbar.
- Weisen Sie ungeklärten Datensätzen eine verantwortliche Person und einen nächsten Prüfschritt zu.
6. Lojycal für Prüfungen nutzen, nicht als allwissende Instanz
Lojycal kann anwendungsbezogene Inventar-, Lizenz-, Beschaffungs- und Mitarbeiterinformationen in verbundenen Betriebsdatensätzen zusammenführen. Verfügbare Erkennungssignale und Aktionen hängen von eingerichteten Quellen, Anbieterberechtigungen, Zuordnungen sowie Tarif- und Rollenanforderungen ab. Bestätigen Sie diese für Ihren Arbeitsbereich. Setzen Sie nicht voraus, dass Lojycal jede Anwendung erkennt oder jede Netzwerkverbindung untersucht.
Bewerten Sie zunächst eine begrenzte Bestandsaufnahme. Prüfen Sie bekannte Dienste stichprobenartig, vergleichen Sie verfügbare Datensätze mit Bestätigungen der Verantwortlichen und bestimmen Sie verbleibende Lücken. Vereinbaren Sie anschliessend Prüfwege für Freigabe, Konsolidierung oder weitere Untersuchung, mit menschlicher Bewertung vor folgenreichen Änderungen.
- Bestätigen Sie relevante Quellen und unterstützte Aktionen über /contact.
- Bewerten Sie den Erfolg anhand geklärter Zuständigkeiten und besserer Entscheidungen, nicht anhand der blossen Anzahl aufgeführter Anwendungen.