Unterschätztes Risiko „Schatten-IT“

14.9.2026 – In vielen Unternehmen verwenden Mitarbeiter IT-Anwendungen, die zwar ihre Arbeit erleichtern, aber außerhalb der üblichen Governance-, Sicherheits- und Freigabeprozesse genützt werden. Das ergab eine Studie des Beratungsunternehmens EY. Für Unternehmen ergibt sich damit das Problem, dass sie nicht immer wissen, wo ihre Daten gespeichert sind und wer darauf zugreifen kann. Ein weiteres Risiko stellen nicht mehr genutzte Domains dar, warnt EY.

Robert Pölzelbauer, Senior
Manager bei EY Österreich
(Bild: EY/Christina Häusler)

Die Prüfungs- und Beratungsorganisation EY Österreich hat gemeinsam mit dem auf Cybersicherheit spezialisierten Unternehmen Risikomonitor.com eine Studie über die tatsächliche Verwendung digitaler Werkzeuge außerhalb offizieller IT-Prozesse in österreichischen Unternehmen erstellt.

Mitarbeiter in Unternehmen würden sich häufig bei Cloud-Diensten, Plattformen oder Software-Anwendungen registrieren, um schneller zusammenzuarbeiten, Dateien auszutauschen oder Projekte umzusetzen, ohne dass diese Werkzeuge zentral erfasst oder verwaltet werden.

In den meisten Fällen entstehe diese Schatten-IT nicht aus Nachlässigkeit oder vorsätzlichem Fehlverhalten, sondern deshalb, weil Mitarbeiter nach pragmatischen Lösungen für ihren Arbeitsalltag suchen und auf zusätzliche Anwendungen zurückgreifen, die ihre Arbeit erleichtern.

Wie groß dieses Risiko ist, zeige die Analyse, so EY: Man habe mehr als 1,3 Millionen Firmen-Mail-Adressen in Datenlecks externer Dienste identifiziert. Diese Dienste seien mit beruflichen E-Mail-Adressen genutzt worden und tauchten später in öffentlich bekannten Datenlecks auf.

Compliance- und Governance-Dimension

Von den 1,3 Millionen analysierten Firmen-Mail-Treffern würden rund 1,1 Millionen auf 37 besonders oft genutzte Anbieter entfallen, so ein Ergebnis der Studie. Zu den am häufigsten identifizierten Plattformen würden Adobe, Dropbox und verschiedene Marketing- und Datendienste zählen.

Diese Anwendungen seien zwar nicht grundsätzlich problematisch, sie würden aber außerhalb der üblichen Governance-, Sicherheits- und Freigabeprozesse genutzt. Das Risiko entstehe nicht durch die Technologie selbst, sondern vor allem durch fehlende Transparenz.

Problematisch für Unternehmen sei, dass damit parallele Tool-Landschaften entstehen; sie wüssten nicht immer, wo Daten gespeichert werden, wer auf diese zugreifen kann und ob bestehende Sicherheits- und Compliance-Vorgaben eingehalten werden.

Dazu komme, dass mit rund 70 Prozent die überwiegende Mehrheit der Schatten-IT-Treffer auf US-amerikanische Anbieter entfalle. Dies beinhalte eine zunehmende Governance- und Compliance-Dimension, wenn Unternehmensdaten über Dienste verarbeitet werden, die außerhalb der offiziell freigegebenen IT-Landschaft liegen.

Digitale Altlasten

Schatten-IT betreffe aber auch die digitale Infrastruktur, so EY. Man habe bei österreichischen Unternehmen 16,7 Millionen Subdomains identifiziert und 806.000 Domains gefunden, die aktuell nicht aktiv genutzt werden.

Es handle sich dabei oft um gewachsene digitale Strukturen, die im Lauf der Zeit, beispielsweise nach Projektabschlüssen, Systemwechseln oder organisatorischen Veränderungen, aus dem Blickfeld geraten.

Werden diese aber nicht regelmäßig überprüft, könnten sie für Phishing-Angriffe, Markenmissbrauch oder andere betrügerische Aktivitäten genutzt werden, warnen die Studienautoren.

Empfehlungen für Unternehmen.

Schatten-IT lasse sich nicht einfach verbieten, betont Robert Pölzelbauer, Senior Manager bei EY Österreich. Notwendig sei es deshalb, sichere und einfache Alternativen zu schaffen und häufig genutzte Anwendungen in bestehende Prozesse zu integrieren, damit Mitarbeiter nicht auf inoffizielle Lösungen ausweichen müssen.

Wichtig seien transparente Freigabeprozesse, ein zentraler Überblick über genutzte Anwendungen und die konsequente Eibindung von Single-Sign-on- und Identitätsmanagementlösungen. Außerdem sollten Unternehmen die digitale Infrastruktur regelmäßig überprüfen und nicht benötigte Domains und Subdomains bereinigen.