Robert Pölzelbauer, Senior Manager bei EY Österreich. | © EY/Christina Häusler
Eine gemeinsame Studie von EY Österreich und Risikomonitor zeigt, wie stark externe Software und Cloud-Dienste abseits der offiziellen IT-Strukturen österreichischer Unternehmen genutzt werden. Mehr als 1,3 Millionen Treffer von Firmen-Mail-Adressen fanden die Analysten in bekannten Datenlecks externer Dienste. Gleichzeitig deuten die Ergebnisse darauf hin, dass ein großer Teil häufig verwendeter Anwendungen nicht zentral verwaltet wird.
Für die Untersuchung wurden mehr als 1,3 Millionen Firmen-Mail-Treffer aus 944 Datenquellen analysiert. Rund 1,1 Millionen davon entfallen auf lediglich 37 besonders häufig genutzte Anbieter. Zu den identifizierten Plattformen zählen unter anderem Adobe und Dropbox sowie verschiedene Marketing- und Datendienste.
Die Analyse sagt dabei nichts darüber aus, ob die jeweiligen Dienste grundsätzlich unsicher sind. Sie zeigt vielmehr, dass berufliche E-Mail-Adressen dort verwendet wurden und später in öffentlich bekannten Datenlecks aufgetaucht sind.
Viele Anwendungen offenbar außerhalb der IT-Prozesse
Bei fast neun von zehn der besonders häufig genutzten externen Dienste fanden die Studienautoren keine Hinweise darauf, dass diese offiziell eingeführt oder zentral verwaltet werden. Damit entsteht eine Lücke zwischen der von Unternehmen kontrollierten IT-Landschaft und den Werkzeugen, die Beschäftigte tatsächlich verwenden.
„Viele Unternehmen investieren viel in ihre IT-Sicherheit, haben aber dennoch keinen vollständigen Überblick über die tatsächlich genutzten Anwendungen“, sagt Robert Pölzelbauer, Senior Manager bei EY Österreich. „Das Risiko entsteht nicht nur durch die Technologie selbst, sondern vor allem durch fehlende Transparenz.“
Schatten-IT entsteht der Studie zufolge häufig, weil Beschäftigte für konkrete Aufgaben auf schnell verfügbare externe Lösungen zurückgreifen. Für Unternehmen wird dadurch allerdings schwerer nachvollziehbar, wo Daten gespeichert werden, wer darauf zugreifen kann und ob interne Sicherheits- und Compliance-Vorgaben eingehalten werden.
„Mitarbeitende verwenden oft zusätzliche Tools, um effizienter zu arbeiten. Unternehmen sollten diese Realität nicht ignorieren, sondern sichtbar machen und aktiv steuern“, sagt Manuel Löw-Beer, Geschäftsführer von Risikomonitor.
70 Prozent der Treffer bei US-Anbietern
Auch die geografische Verteilung der untersuchten Dienste ist relevant. Gut 70 Prozent der identifizierten Schatten-IT-Treffer entfallen laut Studie auf US-Unternehmen. Mit deutlichem Abstand folgen Anbieter aus Belgien, Brasilien, Frankreich und Deutschland.
Damit betrifft Schatten-IT nicht nur die Cybersicherheit, sondern auch Fragen der Daten-Governance und Compliance. Werden Unternehmensdaten über nicht freigegebene Dienste verarbeitet, kann der Überblick über Datenflüsse und Zugriffsrechte verloren gehen.
806.000 ungenutzte Domains identifiziert
Zusätzliche Risiken sieht die Untersuchung in gewachsenen und teilweise vergessenen digitalen Infrastrukturen. Insgesamt wurden 16,7 Millionen Subdomains österreichischer Unternehmen identifiziert. Knapp 3.000 Unternehmen betreiben demnach jeweils mehr als 100 Subdomains.
Hinzu kommen mehr als 806.000 Domains, die derzeit nicht aktiv genutzt werden. Solche digitalen Altlasten können etwa nach abgeschlossenen Projekten, Systemwechseln oder organisatorischen Veränderungen zurückbleiben. Werden sie nicht kontrolliert und bereinigt, können sie laut Studie unter anderem für Phishing oder Markenmissbrauch genutzt werden.
„Schatten-IT beschränkt sich nicht auf einzelne Anwendungen. Sie umfasst auch gewachsene digitale Strukturen, die im Laufe der Zeit aus dem Blickfeld geraten“, sagt Pölzelbauer.
Schatten-IT sichtbar machen statt verbieten
EY Österreich und Risikomonitor empfehlen deshalb, die tatsächliche Softwarenutzung regelmäßig zu erfassen und in bestehende Governance- und Sicherheitsprozesse einzubeziehen. Dazu zählen zentrale Übersichten über verwendete Anwendungen, transparente Freigabeprozesse sowie Single-Sign-on- und Identitätsmanagement-Lösungen.
Auch nicht mehr benötigte Domains und Subdomains sollten regelmäßig identifiziert und bereinigt werden. Ein generelles Verbot zusätzlicher Anwendungen greift aus Sicht der Studienautoren hingegen zu kurz.
„Schatten-IT lässt sich nicht einfach verbieten. Erfolgreiche Unternehmen schaffen sichere und einfache Alternativen, integrieren häufig genutzte Anwendungen in bestehende Prozesse und sorgen dafür, dass Mitarbeitende nicht auf inoffizielle Lösungen ausweichen müssen“, so Pölzelbauer.