Was ist Schatten-IT und warum ist sie ein Sicherheitsrisiko?

In fast jedem Unternehmen gibt es sie: die WhatsApp-Gruppe fürs Team, den privaten Cloudspeicher für «schnell mal eine Datei teilen» oder das Gratis-KI-Tool auf dem Handy, mit dem E-Mails formuliert werden. Niemand hat diese Tools offiziell eingeführt, und oft weiss die Geschäftsleitung gar nicht, dass sie genutzt werden. Genau das nennt man Schatten-IT. In diesem Leitfaden erfährst du, was Schatten-IT ist, warum sie entsteht, welche Risiken sie für Datenschutz, Sicherheit und Unternehmenswissen mit sich bringt und wie du sie mit klaren Regeln und guten Alternativen zurück unter Kontrolle bringst, ohne die Produktivität deines Teams auszubremsen. Was ist Schatten-IT? Schatten-IT bezeichnet alle Tools und Dienste, die Mitarbeitende für die Arbeit nutzen, ohne dass sie vom Unternehmen freigegeben oder verwaltet werden. Typische Beispiele sind private Cloudspeicher wie Dropbox oder Google Drive für Firmendokumente, Chat-Apps wie WhatsApp für die Abstimmung im Team oder mit Kunden, persönliche Notiz-Apps mit Kundeninformationen, kostenlose KI-Tools wie ChatGPT, Claude oder Gemini mit privaten Konten sowie Online-Tools für Umfragen, Projektplanung oder Dateikonvertierung, die jemand auf eigene Faust einsetzt. Warum Schatten-IT entsteht. Schatten-IT ist selten böser Wille. Meist ist sie ein Zeichen dafür, dass Mitarbeitende ein echtes Bedürfnis haben, für das es im Unternehmen keine gute Lösung gibt. Wer im Büro keine einfache Möglichkeit hat, grosse Dateien zu teilen oder mit KI zu arbeiten, greift auf das zurück, was er privat kennt. Schatten-IT zeigt also oft sehr genau, wo die offizielle IT-Ausstattung Lücken hat. Die Risiken von Schatten-IT. Datenschutz: Kunden- und Geschäftsdaten liegen bei Anbietern, mit denen das Unternehmen keinen Vertrag hat. Das kann gegen das Schweizer Datenschutzgesetz (nDSG) und gegen Vereinbarungen mit Kunden verstossen. Sicherheit: Private Konten sind oft nicht mit Zwei-Faktor-Authentifizierung geschützt und werden von niemandem überwacht. Ein gehacktes Privatkonto wird so zum Einfallstor ins Unternehmen. Wissensverlust: Verlässt jemand das Unternehmen, nimmt er sein privates Setup samt aller dort gespeicherten Informationen mit. Kundenverläufe, Notizen und Dateien sind dann einfach weg. Fehlende Übersicht: Niemand weiss, welche Daten wo liegen. Im Ernstfall, etwa bei einem Datenschutzvorfall oder einer Anfrage einer betroffenen Person, lässt sich das kaum nachvollziehen. Versicherung und Compliance: Cyberversicherungen und Kunden verlangen zunehmend Nachweise darüber, wie mit Daten umgegangen wird. Mit Schatten-IT sind solche Nachweise kaum möglich. Sonderfall KI: das grösste Schatten-IT-Risiko. Mit generativer KI hat Schatten-IT eine neue Dimension bekommen. Viele Mitarbeitende nutzen privat längst KI-Tools und greifen auch bei der Arbeit darauf zurück, wenn das Unternehmen keine Alternative bietet. Dabei landen E-Mail-Entwürfe, interne Dokumente, Kundendaten oder sogar strategische Unterlagen in kostenlosen Diensten. Gratisversionen bieten oft keine Garantie, dass Eingaben vertraulich bleiben oder nicht zum Training weiterer Modelle verwendet werden. Mehr dazu im Video Dieser KI-Fehler kostet dich deine besten Talente. Warum Verbote nicht funktionieren. Die naheliegende Reaktion ist ein Verbot. In der Praxis wirkt es kaum: Die Tools sind auf jedem privaten Handy verfügbar, und wer damit schneller arbeitet, nutzt sie im Zweifel trotzdem, nur eben unsichtbar. Ein Verbot verdrängt Schatten-IT aus dem Blickfeld, statt sie zu beseitigen. Gleichzeitig verschenkt das Unternehmen die Produktivitätsgewinne, die zum Beispiel KI bei E-Mails, Protokollen oder der Dokumentensuche bringen kann. Und gerade die engagiertesten Mitarbeitenden empfinden ein striktes Verbot schnell als Rückschritt. So holst du Schatten-IT zurück unter Kontrolle. Ehrliche Bestandsaufnahme: Frag dein Team ohne Schuldzuweisung, welche Tools es nutzt und warum. Die Antworten zeigen, welche Bedürfnisse heute nicht abgedeckt sind. Gute offizielle Alternativen bereitstellen: Für jedes echte Bedürfnis gibt es eine sichere Lösung, etwa einen geschäftlichen Cloudspeicher, ein Team-Chat-Tool oder eine KI-Plattform für Unternehmen mit klaren Datenschutzgarantien. Die Alternative muss mindestens so einfach sein wie das private Tool, sonst wird sie nicht genutzt. Klare Regeln festlegen: Eine kurze Liste erlaubter Tools und eine KI-Richtlinie legen fest, welche Daten in welche Tools dürfen. Befähigen statt kontrollieren: Praxisnahe Schulungen zeigen, wie die offiziellen Tools und KI sinnvoll und sicher eingesetzt werden. Neue Wünsche ernst nehmen: Ein einfacher Weg, neue Tools vorzuschlagen und prüfen zu lassen, verhindert, dass die nächste Schatten-IT entsteht. Beim Austritt von Mitarbeitenden gehört die Rückgabe aller Firmendaten fest in die Checkliste. Was in eine KI-Richtlinie gehört: welche KI-Tools im Unternehmen erlaubt sind und mit welchem Konto sie genutzt werden, welche Daten eingegeben werden dürfen und welche nicht, zum Beispiel keine Personendaten in nicht freigegebenen Tools, dass KI-Ergebnisse vor der Verwendung von einem Menschen geprüft werden, wer für Fragen und neue Anwendungsfälle zuständig ist und wie Fehler oder Vorfälle gemeldet werden. Eine solche Richtlinie muss nicht lang sein. Eine Seite, die alle kennen und verstehen, ist wirksamer als ein Dokument, das niemand liest. Fazit. Schatten-IT lässt sich nicht verbieten, aber sie lässt sich überflüssig machen. Wer die Bedürfnisse des Teams ernst nimmt, sichere Alternativen bereitstellt und klare, einfache Regeln aufstellt, schützt Daten und Wissen und macht gleichzeitig das Team produktiver. Wie Schatten-IT in ein umfassendes Sicherheitskonzept passt, zeigt der Leitfaden Wie erhöhe ich die IT-Sicherheit in meinem KMU? Zum Thema verlorenes Wissen findest du mehr im Video Wissensverlust im Unternehmen verhindern. BeeBase hilft Schweizer KMU, sichere Tools einzuführen und KI kontrolliert in den Arbeitsalltag zu bringen. Im KI-Orientierungs-Workshop erarbeiten wir unter anderem eine DSG-konforme KI-Richtlinie für dein Unternehmen. Wenn du eine konkrete Frage klären möchtest, kannst du eine Expertensession buchen.