Oft beginnt es ganz harmlos: Eine Excel-Tabelle erleichtert die Kalkulation. Eine Access-Datenbank bringt Ordnung in Kundendaten. Ein kleines selbstgebautes Tool automatisiert einen lästigen Arbeitsschritt. Die Lösung funktioniert – und wächst. Nur: Die IT-Abteilung weiß davon wenig. Oder es gibt sie gar nicht. Wenn sich aus einem pragmatischen Ansatz Schatten-IT entwickelt: Wann wird sie tatsächlich zum Problem?
Unter Schatten-IT versteht man Anwendungen, Software oder IT-Infrastruktur, die außerhalb der offiziell verwalteten IT-Landschaft eines Unternehmens eingesetzt werden. Dazu gehören Cloud-Dienste ebenso wie die klassische Excel-Tabelle oder individuell entwickelte Tools.
Dass solche Lösungen entstehen, ist meist nachvollziehbar: Ein konkretes Problem soll möglichst schnell behoben werden. Standardsoftware bildet den Prozess nicht ausreichend ab, eine offizielle Lösung dauert zu lange oder erscheint für den Anwendungsfall zu aufwendig. Schatten-IT kann damit sogar ein Hinweis darauf sein, wo im Unternehmen echter Digitalisierungsbedarf besteht.
Arbeitserleichterung! Geschäftsrisiko?
Kritisch wird es erst, wenn aus der Zwischen- unbemerkt eine Dauerlösung wird und von dieser Schatten-IT wichtige Prozesse abhängen, die dafür nie konzipiert wurden. Was passiert beispielsweise, wenn nur eine Person versteht, wie die komplexe Excel-Datei funktioniert – und das Unternehmen verlässt? Was, wenn Daten falsch überschrieben werden? Gibt es Backups? Sind Zugriffsrechte geregelt? Und wer wartet eine selbst entwickelte Anwendung, wenn sich Betriebssysteme, Schnittstellen oder andere Systeme verändern?
Je geschäftskritischer eine Anwendung wird, desto wichtiger werden Anforderungen wie Datensicherheit,Verfügbarkeit, Wartbarkeit, Dokumentation und Skalierbarkeit. Denn aus dem praktischen Helfer kann unbemerkt eine Abhängigkeit entstehen: von der einzigen Person, die weiß, wie das Tool genau funktioniert; von Daten, die ausschließlich im Tool liegen oder von Ergebnissen, auf denen weitere Arbeitsschritte basieren.
Diese unsichtbare technische, fachliche und organisatorische Abhängigkeit wird häufig erst dann bemerkt, wenn die Anwendung ausfällt, etwa durch eine geänderte Schnittstelle, und auch die davon abhängigen Prozesse nicht mehr wie gewohnt funktionieren.
KI verschärft das Problem
Mit generativer KI bekommt Schatten-IT eine neue Dimension. Denn noch nie war es so einfach, ohne professionelle Softwareentwicklung eigene digitale Lösungen zu bauen.
KI kann Formeln schreiben, Skripte erzeugen, Daten auswerten und inzwischen bei der Entwicklung kompletter kleiner Anwendungen unterstützen. Das eröffnet enorme Möglichkeiten: Fachbereiche können Ideen ausprobieren und Abläufe automatisieren, ohne für jedes Experiment ein Entwicklungsprojekt starten zu müssen.
Doch „funktioniert“ ist nicht dasselbe wie „produktionsreif“.
Aber: KI-generierter Code kann auch Sicherheitslücken, Fehler oder unnötige Abhängigkeiten enthalten. Darüber hinaus fehlen oft Tests, Dokumentation und ein Konzept für Wartung und Weiterentwicklung, um aus einem „Schnellschuss“ eine nachhaltige Lösung zu machen. Zudem braucht es Leitlinien, welche Unternehmensdaten Mitarbeitende in externe KI-Dienste eingeben und wo diese verarbeitet werden dürfen, und die Definition von Prozessen, die die Anwendung abbilden soll. Fragen, die ein Unternehmen eigentlich im Vorfeld klären müsste.
Die Einstiegshürde für eigene Software sinkt also – die Anforderungen an professionell betriebene Software jedoch nicht.
Wie lässt sich Schatten-IT in den Griff bekommen?
Ein vollständiges Verbot ist aus unserer Sicht selten die beste Antwort. Denn damit verschwindet der Bedarf hinter den selbstgebauten Lösungen nicht. Ob analog oder digital: Wesentlich ist zu analysieren, welche Notwendigkeit im echten Betrieb Mitarbeiter durch Improvisation kompensieren.
Sinnvoller ist es demnach, Transparenz zu schaffen: Welche inoffiziellen Tools werden eingesetzt? Welche Prozesse bilden sie ab? Welche Daten verarbeiten sie? Und was würde passieren, wenn sie morgen ausfallen? Unternehmen müssen sich also mit elementaren Fragen zu Prozessdokumentation, Innovations- und Changemanagement auseinandersetzen. Eine Herausforderung, bei der Softwareunternehmen professionell begleiten können.
Anschließend lässt sich anhand des tatsächlichen Risikos entscheiden, ob eine Lösung bestehen bleibt oder eine andere technische Grundlage benötigt. Idealerweise passiert das, bevor die Schatten-IT zum akuten Problem geworden ist: wenn ein Tool zunehmend geschäftskritisch wird, immer mehr Nutzer hinzukommen, Integrationen notwendig werden oder Sicherheit und Verfügbarkeit eine größere Rolle spielen.
Bei der Abwägung des Risikos helfen einige grundsätzliche Fragen:
- Wie geschäftskritisch ist der unterstützte Prozess?
- Wie viele Menschen arbeiten mit der Lösung?
- Werden sensible oder personenbezogene Daten verarbeitet?
- Ist das Wissen über die Anwendung auf einzelne Personen konzentriert?
- Muss die Lösung mit anderen Systemen kommunizieren?
- Wird sie voraussichtlich weiter wachsen?
Je häufiger diese Fragen kritisch beantwortet werden, desto eher sollte aus der pragmatischen Einzellösung eine professionell betreute Anwendung werden.
Wann professionelle Softwareentwicklung ins Spiel kommt
Das bedeutet nicht zwangsläufig, eine vorhandene Lösung komplett neu zu entwickeln. Der erste Schritt professioneller Softwareentwicklung kann darin bestehen, die gewachsene Lösung mit dem dahinterliegenden Geschäftsprozess zu verstehen – mit den notwendigen Funktionen, mit den Daten und Abhängigkeiten, mit ihrem Potenzial, aber auch den technischen Risiken. Je nachdem kann sie stabilisiert und weiterentwickelt, durch Standardsoftware ersetzt oder in eine individuelle Anwendung überführt werden.
Professionelle Softwareentwicklung macht dabei aus der guten Idee hinter einer improvisierten Anwendung eine belastbare technische Lösung – mit einer passenden Architektur, geregelten Zugriffsrechten, Tests, Dokumentation, Schnittstellen und einem Konzept für Betrieb und Weiterentwicklung.
Fazit
Schatten-IT entsteht selten ohne Grund. Oft zeigt sie, dass Mitarbeitende ein konkretes Problem erkannt und pragmatisch gelöst haben. Gefährlich wird sie dort, wo Unternehmen von diesen Lösungen abhängig werden, ohne ihre Risiken zu kennen. Oder wo ihr Einsatz unerwünscht ist oder sogar gegen geltendes Recht oder Verträge verstößt. Durch KI wird es noch einfacher, eigene Tools zu entwickeln. Umso wichtiger wird die Grenze zwischen Experiment und geschäftskritischer Software.
Unternehmen sollten Schatten-IT deshalb weder ignorieren noch grundsätzlich verhindern. Entscheidend ist, sie frühzeitig sichtbar zu machen, Risiken zu bewerten und erfolgreiche Lösungen rechtzeitig auf ein professionelles Fundament zu stellen. Damit sich ein Unternehmen auch morgen noch auf sie verlassen kann.
__________
Bei Unterstützungsbedarf melden Sie sich gerne bei uns, zum Beispiel über das Kontaktformular. Wir helfen bei der Risikoanalyse Ihrer Schatten-IT und wenn nötig beim Aufsetzen einer „sauberen“ und nachhaltigen IT-Landschaft.
