Schatten-IT aufspüren: Tools, die niemand freigegeben hat

Inhalt in Kürze

• Schatten-IT ist jede Software, die im Unternehmen genutzt, aber nie freigegeben wurde. Sie entsteht nicht aus Nachlässigkeit, sondern weil jemand seine Arbeit erledigen wollte und der offizielle Weg zu lange dauerte.
• Eine Umfrage im Team findet Schatten-IT nicht. Wer selbst ein Tool bestellt hat, meldet es in einer Abfrage zur Compliance selten freiwillig — und die Hälfte der Nutzer hält ihr Tool ohnehin nicht für „IT”.
• Der Kontoauszug ist das ehrlichste Inventar, das ein Unternehmen hat. Jedes Abo erzeugt eine Abbuchung, zwölf Monate rückwärts gelesen fällt jedes wiederkehrende Tool auf.
• Datenschutzrechtlich zählt nicht, ob Sie es wussten. Verantwortlich für die Verarbeitung ist das Unternehmen — auch für das Tool, von dem die Geschäftsführung nie gehört hat.

Der Anruf kommt meistens nach einer Kündigung. Ein Mitarbeiter geht, und plötzlich merkt jemand, dass die Kundendaten in einem Tool liegen, das niemand außer ihm kannte. Das ist kein Einzelfall, sondern das übliche Muster, in dem Schatten-IT sichtbar wird.

Schatten-IT entsteht nicht aus Bosheit

Schatten-IT ist jede Anwendung, jeder Cloud-Dienst und jedes Gerät, das für die Arbeit genutzt wird, ohne dass IT oder Geschäftsführung davon wissen. Der Klassiker: Die Marketingabteilung braucht ein Tool zur Terminabstimmung, die Anfrage an die IT läuft, nach drei Wochen ist noch nichts passiert — also bucht jemand für 12 Euro im Monat selbst. Verständlich. Und genau deshalb passiert es überall.

Der Bedarf ist real. Laut dem Cloud Report 2026 des Bitkom nutzen 86 Prozent der Unternehmen in Deutschland Cloud-Dienste, 38 Prozent davon parallel bei mehreren Anbietern. Für die Studie hat Bitkom Research 603 Unternehmen ab 20 Beschäftigten telefonisch befragt. Je mehr Dienste parallel laufen, desto leichter verschwindet einer davon aus dem Blick.

Wie wenig Unternehmen über die eigene Tool-Landschaft wissen, zeigt eine zweite Bitkom-Erhebung: Nach der Umfrage zu Schatten-KI (604 Unternehmen ab 20 Beschäftigten) sind sich nur 29 Prozent sicher, dass ihre Beschäftigten keine privaten KI-Zugänge für die Arbeit nutzen. Die übrigen gut sieben von zehn Unternehmen können es schlicht nicht ausschließen.

Warum die Umfrage im Team ins Leere läuft

Der erste Reflex ist fast immer eine Rundmail: „Bitte melden Sie alle genutzten Programme.” Das Ergebnis ist regelmäßig enttäuschend — aus drei Gründen.

Erstens meldet niemand gern etwas, das nach Regelverstoß klingt. Zweitens halten viele ihr Tool gar nicht für meldepflichtige IT: Ein Browser-Add-on, ein kostenloser Konverter, ein Notiz-Dienst auf dem Privathandy — das fühlt sich nicht wie „Software” an. Drittens erinnert sich nach zwölf Monaten kaum jemand an das Testkonto, das damals angelegt wurde und seither still weiterläuft.

Der Kontoauszug verrät jedes Abo

Hier liegt der Weg, der tatsächlich funktioniert: Nicht die Menschen fragen, sondern das Geld. Jedes Abo erzeugt eine Abbuchung, und die lügt nicht. Wer die Kontobewegungen und Kreditkartenabrechnungen der letzten zwölf Monate systematisch durchgeht, findet die Tools, die keine Umfrage je zutage fördert.

1. Zwölf Monate rückwärts exportieren: Geschäftskonto, alle Firmenkreditkarten, PayPal. Zwölf Monate deshalb, weil Jahres-Abos sonst durchs Raster fallen.
2. Wiederkehrende Beträge markieren: Gleicher Empfänger, gleicher oder ähnlicher Betrag, regelmäßiger Abstand. Auch Kleinbeträge unter 20 Euro — dort sitzen die meisten Funde.
3. Jeden Empfänger einem Verantwortlichen zuordnen: Wer hat das bestellt, wer nutzt es, wofür? Bleibt die Frage offen, ist das bereits der Befund.
4. Prüfen, ob personenbezogene Daten fließen: Kundennamen, E-Mail-Adressen, Bewerberdaten, Fotos von Beschäftigten. Sobald ja, greift die DSGVO.
5. Ergebnis ins Verarbeitungsverzeichnis übertragen — oder das Tool abschalten.

Diese Auswertung von Hand zu machen, ist bei ein paar hundert Buchungen im Monat mühsam, aber machbar. Wer sie regelmäßig braucht, lässt die Zahlungsströme automatisch auswerten: Software wie Yupana ordnet wiederkehrende SaaS-Kosten den Buchungen zu und meldet neue Abbuchungen, die vorher nie auf dem Konto standen. Für die Erstinventur reicht aber auch ein Vormittag mit dem Kontoauszug und einer Tabelle.

Ergänzend lohnt der Blick in die Anmeldeprotokolle Ihres Identity-Providers. Dort taucht auf, wer sich mit der Firmen-Mailadresse bei welchem Dienst registriert hat — auch bei kostenlosen Diensten, die auf keinem Kontoauszug erscheinen.

Aus der Praxis

Wenn wir bei einem Mandanten mit dem Verarbeitungsverzeichnis anfangen, bekommen wir eine Liste mit acht, neun Systemen. Nach dem Blick in die Buchhaltung sind es regelmäßig doppelt so viele. Das ist kein Vorwurf an irgendjemanden — die Leute wollten arbeiten. Aber unterschrieben hat den AVV eben niemand, und im Ernstfall steht die Geschäftsführung dafür gerade.

Nils OehmichenDatenschutzberater bei frag.hugo

Was der Fund datenschutzrechtlich bedeutet

Ein unbekanntes Tool ist nicht per se ein Verstoß. Problematisch wird es an drei Stellen, und die sind schnell geprüft:

• Verarbeitungsverzeichnis. Nach Art. 30 DSGVO müssen alle Verarbeitungen dokumentiert sein. Ein Tool, das Kundendaten verarbeitet und nirgends steht, ist eine Lücke im Verzeichnis. Wie Sie das Verzeichnis pragmatisch aufbauen, steht in unserer Anleitung zum Verarbeitungsverzeichnis für KMU.
• Auftragsverarbeitungsvertrag. Verarbeitet der Anbieter Daten in Ihrem Auftrag, brauchen Sie einen AVV nach Art. 28 DSGVO. Bei selbst bestellten Tools fehlt er praktisch immer. Was dabei zu beachten ist, haben wir für den Fall IT-Betrieb auslagern ausführlich beschrieben.
• Drittlandtransfer. Viele kleine Tools hosten in den USA. Das ist regelbar, aber nicht ohne Prüfung — und ganz sicher nicht nebenbei.

Verbieten hilft nicht — abkürzen schon

Die Reaktion „Ab sofort darf niemand mehr etwas bestellen” beseitigt den Bedarf nicht, der zur Bestellung geführt hat. Sie verlagert ihn nur auf das Privathandy, wo Sie ihn gar nicht mehr sehen.

Was wir bei Mandanten wirken sehen, ist unspektakulär: ein Freigabeweg, der zwei Tage dauert statt sechs Wochen. Eine Liste der bereits freigegebenen Tools, in der man erst nachsieht, bevor man sucht. Und ein fester Termin — einmal im Quartal, eine Stunde — an dem jemand den Kontoauszug durchgeht. Wer den Weg kurz hält, bekommt die Meldungen freiwillig.

Wo Sie beim Datenschutz insgesamt stehen, zeigt Ihnen der kostenlose Hugo Check in wenigen Minuten. Wenn Sie die Tool-Landschaft strukturiert aufräumen wollen, hilft auch unser Überblick über Datenschutz-Audit-Software.

Fazit: Erst zählen, dann urteilen

Schatten-IT ist ein Symptom, kein Vergehen. Sie zeigt, wo der offizielle Weg zu langsam war. Die Inventur über die Zahlungsströme dauert einen Vormittag und liefert ein ehrlicheres Bild als jede Umfrage — und sie ist die Voraussetzung dafür, dass Ihr Verarbeitungsverzeichnis überhaupt stimmen kann.

Häufige Fragen (FAQ)

Was ist Schatten-IT?

Schatten-IT ist jede Software, jeder Cloud-Dienst und jedes Gerät, das im Unternehmen für die Arbeit genutzt wird, ohne dass die IT oder die Geschäftsführung davon weiß. Typisch sind einzelne Abo-Zugänge, die eine Fachabteilung selbst bestellt und per Kreditkarte bezahlt hat.

Ist Schatten-IT ein DSGVO-Verstoß?

Nicht automatisch. Zum Verstoß wird sie, sobald personenbezogene Daten in einem Tool verarbeitet werden, das nicht im Verarbeitungsverzeichnis nach Art. 30 DSGVO steht und für das kein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO vorliegt. Genau das ist bei selbst bestellten Tools der Regelfall.

Wie finde ich Schatten-IT im Unternehmen?

Am zuverlässigsten über die Zahlungsströme: Kontoauszug, Kreditkartenabrechnungen und PayPal-Umsätze der letzten zwölf Monate durchgehen. Jedes Abo hinterlässt dort eine Spur, auch wenn niemand im Team es meldet. Ergänzend hilft ein Blick in die Anmeldeprotokolle des Identity-Providers.

Wer haftet für Schatten-IT?

Die Verantwortung liegt beim Unternehmen als Verantwortlichem im Sinne der DSGVO, nicht bei der Mitarbeiterin, die das Tool bestellt hat. Ein Bußgeld trifft die Geschäftsführung, auch wenn sie von dem Tool nichts wusste. Unwissenheit entlastet hier nicht.

Sollte man Schatten-IT einfach verbieten?

Ein Verbot allein verlagert das Problem nur, weil der Bedarf bleibt, der zur Anschaffung geführt hat. Wirksamer ist ein kurzer, ehrlicher Freigabeweg: Wer in zwei Tagen eine Antwort bekommt, fragt vorher. Wer sechs Wochen wartet, bestellt selbst.