Schatten IT im Team: Warum gute Tools ohne Regeln teuer werden

Ihr Team hat gerade wieder ein neues Tool im Slack-Channel gefeiert. Niemand hat die IT gefragt. Niemand hat Finance gefragt. Und in sechs Monaten wundert sich jemand, warum drei Abteilungen dasselbe Problem mit drei verschiedenen Anbietern lösen.

Das ist Schatten-IT. Nicht als Buzzword, sondern als Rechnung, die irgendwann fällig wird.

Für die fachliche Einordnung helfen zusätzlich CISA-Empfehlungen zu Identity and Access Management.

Schatten IT ist kein Sicherheitsproblem, sondern ein Rechnungsproblem

Seien wir ehrlich: Die meiste Berichterstattung über Schatten IT klingt wie eine Gruselgeschichte aus der Security-Abteilung. Hacker, Datenlecks, Compliance-Albträume. Alles nicht falsch, aber es lenkt vom eigentlichen Kern ab.

Die harte Wahrheit: Schatten IT wird vor allem dann teuer, wenn niemand hinschaut, wer was bezahlt. LeanIX beschreibt Schatten-IT treffend als nicht explizit genehmigte Beschaffung und Nutzung von Hardware und Software, wobei besonders Cloud-Services, SaaS und IaaS betroffen sind, weil sie sich mit einer Kreditkarte in fünf Minuten buchen lassen. Kein Beschaffungsprozess. Keine Rücksprache. Keine Ahnung, dass es das Tool schon in der Marketing-Abteilung gibt.

Slack bringt es in seinem Blog-Beitrag zu Schatten IT auf den Punkt: Es geht um Hardware, Software und Cloud-Dienste, die ohne Wissen, Freigabe oder Dokumentation der zentralen IT genutzt werden. Die Folge sind doppelt bezahlte oder parallel laufende Abonnements. Das klingt banal. Ist es aber nicht, wenn man sich anschaut, was daraus wird.

Was Schatten IT wirklich kostet

Ein Forschungsprojekt der Hochschule Konstanz, über das die Computerwoche berichtet hat, fand bei einzelnen Tools „Nebenkosten“ von bis zu 90.000 Euro pro Tool und Jahr. Das ist ein Einzelfall aus einem konkreten Forschungsprojekt, keine Pauschalzahl für jedes Unternehmen. Aber sie zeigt die Größenordnung, in der sich vermeintlich kleine Tool-Entscheidungen bewegen können, wenn sie sich unkontrolliert vervielfachen.

Slack verweist zusätzlich auf Studien, die den Anteil nicht erfasster Schatten IT auf schätzungsweise 30 bis 40 Prozent des effektiven IT-Budgets taxieren. Das ist ausdrücklich eine Schätzung, keine belastbare Messgröße mit einheitlicher Methodik. Trotzdem: Selbst wenn die reale Zahl in Ihrem Unternehmen deutlich niedriger liegt, ist jeder Euro, der an der Buchhaltung vorbeiläuft, ein Euro, den niemand steuern kann.

Klartext: Es geht nicht um ein einzelnes teures Tool. Es geht um die Summe aus Zombie-Abos, die niemand kündigt, weil niemand weiß, dass sie existieren. Um Doppellizenzen, weil zwei Teams unabhängig voneinander dieselbe Funktion eingekauft haben. Um nachträgliche Sicherheitsanpassungen, die deutlich teurer sind als eine vorherige Prüfung gewesen wäre. Genau diesen Zusammenhang zwischen Schatten-IT, Schatten-KI und teuren nachträglichen Korrekturen beschreibt auch MHL in seiner Einordnung zum Thema, die dabei explizit auf Governance-Lücken bei agentenbasierten KI-Systemen verweist, die sich still und unbemerkt in Fachabteilungen einschleichen.

Warum gute Tools trotzdem zum Problem werden

Hier liegt die eigentliche Ironie. Die Tools, die als Schatten IT auftauchen, sind selten schlecht. Meistens sind sie sogar besser als das, was die zentrale IT offiziell anbietet. Schneller, moderner, näher am tatsächlichen Arbeitsalltag des Teams.

Genau das macht sie gefährlich für das Budget. Ein schlechtes Tool würde niemand heimlich einführen, weil niemand es freiwillig nutzt. Ein gutes Tool verbreitet sich von allein, ganz ohne Rollout-Plan, ohne Schulung, ohne Lizenzverhandlung. Ein Teammitglied testet es privat, zeigt es der Kollegin, die zeigt es dem nächsten Team, und plötzlich läuft eine Anwendung in der halben Organisation, die in keinem Software-Inventar steht.

Die Computerwoche formuliert es so: Schatten IT entsteht dort, wo die IT nicht schnell genug liefert, was Teams tatsächlich brauchen. Das ist keine Entschuldigung für unkontrollierten Tool-Wildwuchs. Es ist aber die realistischere Erklärung als das beliebte Narrativ vom eigenwilligen Mitarbeiter, der absichtlich Regeln umgeht.

Schluss damit, Schatten IT als reines Disziplinproblem zu behandeln. Wer schnelle, brauchbare Werkzeuge sucht und in der offiziellen IT-Landschaft nichts Passendes findet, wird sich woanders bedienen. Das ist menschlich, nicht böswillig.

Ein Praxisszenario: Wie Schatten IT in einem Team wirklich entsteht

Stellen Sie sich ein mittelständisches Unternehmen vor, in dem das Marketingteam seit Jahren mit einer trägen internen Projektmanagement-Software arbeitet. Die Freigabe für neue Tools dauert im Schnitt acht Wochen, weil jede Anschaffung über drei Abteilungen läuft, bevor überhaupt eine Testversion aktiviert werden darf. Eine Teamleiterin testet an einem Freitagnachmittag ein neues Kollaborationstool, das sie aus einem Podcast kennt. Es funktioniert sofort besser als die interne Lösung. Am Montag zeigt sie es zwei Kolleginnen, am Mittwoch nutzt die halbe Abteilung die kostenlose Testversion, und nach vier Wochen bucht jemand aus Eigeninitiative den kostenpflichtigen Tarif über die Firmenkreditkarte, weil die Testphase ausläuft.

Zu diesem Zeitpunkt weiß niemand außerhalb des Teams, dass dieses Tool überhaupt existiert. Es taucht in keiner Softwareliste auf, es gibt keinen Vertrag, keine Datenschutzprüfung, keine Absprache mit der IT-Sicherheit. Sechs Monate später entdeckt die Buchhaltung bei einer Routineprüfung der Kreditkartenabrechnungen eine wiederkehrende Position, die niemand zuordnen kann. Erst jetzt beginnt die Aufarbeitung: Wer hat das Tool eingeführt? Welche Daten liegen dort? Gibt es eine Kündigungsfrist? Läuft parallel noch die interne Lösung, die eigentlich hätte abgelöst werden sollen?

Dieses Szenario ist bewusst nüchtern gehalten, weil es genau so in vielen Unternehmen passiert, ohne dass irgendjemand vorsätzlich gegen Regeln verstoßen wollte. Niemand hat betrogen. Jemand hat einfach ein Problem gelöst, das die eigene Organisation nicht schnell genug gelöst hat. Genau deshalb greifen reine Sanktionsmaßnahmen so selten, wenn sie als einzige Antwort auf Schatten IT dienen.

Die unterschätzte Kategorie: Schatten KI

Was vor zwei, drei Jahren noch primär SaaS-Tools und Cloud-Speicher betraf, hat sich deutlich erweitert. MHL benennt es klar: Schatten IT und Schatten KI gehören inzwischen zusammen gedacht, weil KI-Anwendungen längst dasselbe Muster zeigen wie klassische Schatten-IT-Tools vorher.

Ein Mitarbeiter kopiert vertrauliche Kundendaten in einen KI-Chatbot, um sich eine Zusammenfassung erstellen zu lassen. Eine Marketingkollegin nutzt einen KI-Bildgenerator für Kampagnenmaterial, ohne dass jemand die Lizenzlage geprüft hat. Ein Entwicklerteam bindet eine KI-Programmierhilfe in den Workflow ein, ohne dass Security je einen Blick auf die Datenflüsse geworfen hat. Genau dieses Muster – schnelle Einzelentscheidung, keine zentrale Prüfung, plötzlich breite Nutzung – zeigt sich auch bei Anwendungen, die auf agentenbasierten Such- und Antwortsystemen aufbauen, wo Freigabeprozesse oft hinter der tatsächlichen Nutzung zurückbleiben.

Die Konsequenz ist doppelt teuer. Erstens die klassischen Governance-Kosten wie bei jeder anderen Schatten-IT-Anwendung. Zweitens ein Risiko, das deutlich schwerer wiegt: unklare Datenflüsse in Systeme, die außerhalb der eigenen Kontrolle liegen. Wer glaubt, Schatten IT sei ein Thema der 2010er-Jahre, unterschätzt, wie stark sich das Problem mit generativer KI gerade neu aufstellt.

Wie man Schatten IT im Unternehmen überhaupt findet

Die gute Nachricht: Schatten IT ist kein unsichtbares Phänomen. Sie hinterlässt Spuren, wenn man weiß, wo man suchen muss.

Erste Spur sind die Rechnungen. Kreditkartenabrechnungen einzelner Teams, Spesenabrechnungen mit SaaS-Positionen, wiederkehrende Kleinbeträge, die nie über die zentrale Beschaffung gelaufen sind. Zweite Spur ist der Netzwerkverkehr. Wer einen Blick auf DNS-Anfragen und Cloud-App-Nutzung wirft, findet meist deutlich mehr Anwendungen, als das offizielle Software-Inventar ausweist. Dritte Spur sind einfache Gespräche. Fragen Sie Teams direkt, welche Tools sie tatsächlich täglich nutzen, nicht nur welche offiziell freigegeben sind. Die Antworten überraschen fast immer.

Slack empfiehlt in diesem Zusammenhang einen mehrstufigen Ansatz: erst Discovery, also das systematische Auffinden bestehender Schatten-IT-Nutzung, dann eine Risikobewertung, anschließend die Entscheidung zwischen offizieller Freigabe oder Migration auf eine Alternative, danach Governance-Regeln und schließlich kontinuierliches Monitoring. Das ist kein Hexenwerk, sondern ein Prozess, der Zeit braucht, aber messbar günstiger ist als das ständige Aufräumen hinterher.

Wichtig dabei: Diese Inventur ist keine einmalige Aktion. Neue Tools tauchen ständig auf, alte verschwinden nicht automatisch, wenn niemand sie kündigt. Genau diese Zombie-Abos sind laut LeanIX einer der zuverlässigsten Kostentreiber im SaaS-Wildwuchs.

Der Denkfehler bei den meisten Gegenmaßnahmen

Viele IT-Abteilungen reagieren auf entdeckte Schatten IT mit einem Verbot. Firewall-Regeln, Blocklisten, strengere Beschaffungsrichtlinien. Kurzfristig wirkt das. Mittelfristig verschiebt es das Problem nur.

Die harte Wahrheit ist unbequem: Ein Verbot ohne Alternative löst keine Ursache, es verschiebt nur die Umgehungsstrategie. Wenn ein Team ein Tool nutzt, weil die offizielle Lösung zu langsam, zu unflexibel oder schlicht schlechter ist, bringt ein Verbot dieses Tools nichts, solange das eigentliche Bedürfnis unbeantwortet bleibt. Das Team sucht sich das nächste Tool. Nur eben noch heimlicher als vorher, weil jetzt bekannt ist, dass genau hingeschaut wird.

MHL formuliert die realistischere Strategie: klare Regeln kombiniert mit attraktiven, offiziell freigegebenen Alternativen. Nicht Verbot allein, sondern Verbot plus Angebot. Das bedeutet für IT-Abteilungen mehr Arbeit im Vorfeld, aber deutlich weniger Aufräumarbeit im Nachhinein.

LeanIX schlägt konkret einen beschleunigten Freigabeprozess vor, ergänzt durch ein Business-Case-Template, mit dem Teams neue Toolwünsche strukturiert einreichen können, statt Umgehungslösungen zu suchen. Das ist unspektakulär, aber wirksam, weil es die Reibung reduziert, die Schatten IT überhaupt erst attraktiv macht. Ähnliche Mechanismen kennt man aus Diskussionen darüber, wer neue Systeme eigentlich prüft, bevor sie produktiv gehen – auch dort zeigt sich, dass schnelle, transparente Prüfprozesse besser funktionieren als reine Verbotslisten.

Gegenargumente: Ist etwas Schatten IT nicht sogar gesund?

Es gibt eine Gegenposition, die man nicht einfach wegwischen sollte. Manche Organisationsforscher argumentieren, dass ein gewisses Maß an unkontrollierter Tool-Nutzung Innovationsräume schafft, die eine zentral geplante IT niemals liefern könnte. Wenn Teams eigenständig experimentieren dürfen, entstehen manchmal genau die Lösungen, die später offiziell übernommen werden. Ein Tool, das aus der Schatten-IT-Ecke kommt, hat sich in der Praxis bereits bewährt, bevor es überhaupt offiziell evaluiert wird. Das ist ein reales Argument, nicht nur eine Ausrede fauler IT-Abteilungen.

Das Problem an dieser Position ist nicht die Grundidee, sondern die fehlende Begrenzung. Ein Team, das drei Wochen lang ein Tool testet, um eine konkrete Frage zu klären, ist etwas anderes als eine Organisation, in der niemand mehr weiß, wie viele parallele Abonnements über Jahre gewachsen sind. Der Unterschied liegt in der Sichtbarkeit, nicht im Experiment selbst. Ein Testzeitraum mit klarer Deadline und anschließender Entscheidung ist unternehmerisch sinnvoll. Ein Tool, das sich unbemerkt über Jahre in mehreren Abteilungen festsetzt, ohne dass es jemals eine offizielle Entscheidung dafür gab, ist das Gegenteil davon.

Die vernünftige Synthese lautet deshalb nicht „Schatten IT verbieten“, sondern „Experimentierräume erlauben, aber mit Verfallsdatum und Meldepflicht“. Ein Team darf ein neues Tool testen, muss dies aber innerhalb eines definierten Zeitraums der IT oder einem zentralen Ansprechpartner melden, sobald es über die reine Testphase hinausgeht. Das bewahrt die Innovationsfreiheit, ohne dass daraus unkontrollierte Dauerkosten werden.

Governance heißt nicht Bürokratie, sondern Tempo

Hier liegt der eigentliche Hebel, und er hat wenig mit klassischer IT-Sicherheit zu tun. Wenn eine Freigabe für ein neues Tool sechs Wochen dauert, während ein Team das Problem heute lösen muss, gewinnt fast immer die Schatten-Lösung. Wenn eine Freigabe innerhalb weniger Tage möglich ist, sinkt der Anreiz, den offiziellen Weg zu umgehen, drastisch.

Das bedeutet konkret: Finance-Teams müssen früher eingebunden werden, nicht erst nach der Anschaffung. Regelmäßige Software-Reviews gehören in den Kalender, nicht nur ins Krisenmanagement nach einem Sicherheitsvorfall. Und die IT-Abteilung muss sich selbst als Dienstleister verstehen, der schneller liefert als der nächste Cloud-Anbieter mit Self-Service-Anmeldung.

Ist das aufwendiger, als einfach zu verbieten? Ja. Ist es günstiger, als jedes Jahr erneut Doppellizenzen und Zombie-Abos zu entdecken? Ebenfalls ja, und zwar deutlich.

Ein Punkt, der in der Diskussion oft untergeht: Governance-Prozesse müssen nicht nur klassische SaaS-Tools erfassen, sondern auch Browser-Erweiterungen, private KI-Chatbots und Low-Code-Anwendungen, die einzelne Fachabteilungen selbst bauen. GFOS weist in seiner Einordnung zum Thema Schatten IT darauf hin, dass genau diese Grauzonen zwischen offizieller IT-Landschaft und Eigeninitiative der Fachbereiche am schwersten zu kontrollieren sind, weil sie selten wie „klassische Software“ aussehen.

Konkrete Schritte für Führungskräfte und Teams

Wer nach der Lektüre dieses Artikels tatsächlich etwas verändern möchte, braucht keinen kompletten Umbau der IT-Organisation. Ein paar konkrete, überschaubare Schritte reichen für den Anfang aus:

• Erstellen Sie innerhalb der nächsten vier Wochen eine erste, grobe Bestandsaufnahme über Kreditkartenabrechnungen und Spesenbelege der vergangenen zwölf Monate. Schon diese einfache Übung deckt in der Regel mehrere unbekannte Abonnements auf.
• Führen Sie kurze, informelle Gespräche mit Teamleitungen darüber, welche Tools tatsächlich im Alltag genutzt werden, unabhängig von der offiziellen Softwareliste. Schaffen Sie dabei bewusst eine Atmosphäre ohne Sanktionsandrohung, damit ehrliche Antworten möglich sind.
• Definieren Sie einen verkürzten Freigabeprozess für Tools unterhalb einer bestimmten Kostenschwelle, der innerhalb weniger Tage statt Wochen abgeschlossen werden kann.
• Legen Sie fest, dass jedes neu getestete Tool automatisch nach einem festen Zeitraum entweder offiziell freigegeben, abgelöst oder beendet werden muss. Kein Tool bleibt unbegrenzt im Testmodus.
• Nehmen Sie Schatten KI explizit in bestehende Datenschutz- und Sicherheitsrichtlinien auf, statt sie implizit unter „sonstige Software“ mitlaufen zu lassen.

Keiner dieser Schritte erfordert ein großes Budget oder ein neues Tool-Management-System. Sie erfordern vor allem die Bereitschaft, ehrlich hinzuschauen, was im Unternehmen ohnehin schon passiert, statt so zu tun, als gäbe es nur die Software, die auf der offiziellen Liste steht.

Was ein realistischer Fahrplan leisten muss

Ein Unternehmen, das Schatten IT ernst nimmt, ohne in Kontrollwahn zu verfallen, braucht wenige, aber klare Bausteine. Erstens eine funktionierende Inventur, die regelmäßig aktualisiert wird, nicht nur einmal im Jahr bei der Budgetplanung. Zweitens einen Freigabeprozess, der in Tagen misst, nicht in Wochen. Drittens eine Instanz, die Finance und IT verbindet, damit Rechnungen und Systemzugriffe zusammen betrachtet werden, statt in getrennten Excel-Tabellen zu verstauben.

Viertens braucht es Ehrlichkeit gegenüber den Teams: Wenn ein offizielles Tool schlechter ist als die Schatten-Alternative, ist das ein Signal, das Tool zu wechseln, nicht die Nutzer zu bestrafen. Fünftens gehört Schatten KI explizit auf die Agenda, nicht als Fußnote zum klassischen Schatten-IT-Thema, sondern als eigener Risikobereich mit eigenen Regeln für Datenverarbeitung und Freigabe.

Meine persönliche Einschätzung nach der Recherche zu diesem Thema: Die meisten Unternehmen unterschätzen nicht das Risiko von Schatten IT, sie unterschätzen den Aufwand, gute Alternativen bereitzustellen. Es ist leichter, eine Richtlinie zu schreiben, als einen Freigabeprozess zu bauen, der tatsächlich schneller ist als eine Kreditkarte. Genau da liegt aber die eigentliche Arbeit.

Was bleibt am Ende dieser Bestandsaufnahme? Die Frage ist nicht, ob in Ihrem Unternehmen Schatten IT existiert. Sie existiert, in praktisch jeder Organisation mit mehr als einer Handvoll Mitarbeitenden. Die eigentliche Frage lautet, ob jemand die Rechnung dafür schon kennt, oder ob sie erst kommt, wenn es zu spät ist, günstig zu reagieren.