Sicherheitsrisiko Mitarbeitende
Security-Handlungsbedarf. Tausende genutzte Dienste außerhalb der betrieblichen IT-Landschaft. Die Schatten-IT mit Cloud-Diensten, Software-Anwendungen, Social-Media & Co. stellen Unternehmen vor immer größere Herausforderungen beim Thema Sicherheit. Eine gemeinsame Studie von EY und Risikomonitor zeigt die aktuellen Entwicklungen.
Mitarbeitende registrieren sich bei Cloud-Diensten, Plattformen oder Software-Anwendungen, um schneller zusammenzuarbeiten, Dateien auszutauschen oder Projekte umzusetzen. Viele dieser Werkzeuge werden jedoch genutzt, ohne dass sie zentral erfasst oder verwaltet werden. Dieses Phänomen wird auch als Schatten-IT bezeichnet.
Eine gemeinsame Studie von EY Österreich und Risikomonitor zeigt nun erstmals, wie groß dieses oft unsichtbare Risiko in Österreich tatsächlich ist. Die Analyse identifiziert Angaben zufolge mehr als 1,3 Millionen Firmen-Mail-Adressen in 944 Datenquellen bzw. Datenlecks externer Dienste und macht deutlich, wie groß die Lücke zwischen offiziell verwalteter IT und tatsächlich genutzten Anwendungen vielerorts schon geworden ist.
Unternehmen verlieren zunehmend den Überblick
Bei den gefundenen Vorfällen entfallen 1,1 Millionen dieser „Findinge“ auf 37 besonders häufig genutzte Anbieter, das ergibt einen Wert von fast 90 Prozent. Die Ergebnisse beleuchten, welche externen Dienste mit beruflichen E‑Mail-Adressen genutzt wurden und später in öffentlich bekannten Datenlecks aufgetaucht sind. Zu den am häufigsten identifizierten Plattformen zählen Adobe, Dropbox sowie verschiedene Marketing- und Datendienste.
Die Daten zeigen nicht, dass diese Anwendungen grundsätzlich problematisch sind. Sie verdeutlichen jedoch, wie groß die Zahl jener Werkzeuge ist, die außerhalb etablierter IT- und Beschaffungsprozesse genutzt werden. Besonders bemerkenswert: Bei fast neun von zehn der am häufigsten genutzten externen Dienste fanden sich keine Hinweise darauf, dass diese offiziell eingeführt oder zentral verwaltet werden. Mitarbeitende nutzen diese Anwendungen somit offenbar außerhalb der üblichen Governance‑, Sicherheits- und Freigabeprozesse.
Schatten-IT ist vor allem ein Transparenzproblem
„Viele Unternehmen investieren viel in ihre IT-Sicherheit, haben aber dennoch keinen vollständigen Überblick über die tatsächlich genutzten Anwendungen. Genau diese Lücke macht Schatten-IT so relevant. Das Risiko entsteht nicht nur durch die Technologie selbst, sondern vor allem durch fehlende Transparenz“, sagt Robert Pölzelbauer, Senior Manager bei EY Österreich.
Die Studienergebnisse zeigen, dass Schatten-IT in den meisten Fällen nicht aus Nachlässigkeit oder vorsätzlichem Fehlverhalten entsteht. Mitarbeitende suchen nach pragmatischen Lösungen für ihren Arbeitsalltag und greifen deshalb auf zusätzliche Anwendungen zurück, die ihre Arbeit erleichtern. Dadurch entstehen jedoch parallele Tool-Landschaften, über die Unternehmen oft nur begrenzte Informationen haben.
Starke Abhängigkeit von US-Anbietern
Sie wissen nicht immer, wo Daten gespeichert werden, welche externen Anbieter darauf zugreifen können oder ob bestehende Sicherheits- und Compliance-Vorgaben eingehalten werden. „Die Ergebnisse zeigen, dass es eine deutliche Differenz zwischen offizieller IT und tatsächlicher Nutzung gibt. Mitarbeitende verwenden oft zusätzliche Tools, um effizienter zu arbeiten. Unternehmen sollten diese Realität nicht ignorieren, sondern sichtbar machen und aktiv steuern“, so Manuel Löw-Beer, Geschäftsführer von Risikomonitor.
Die Analyse zeigt außerdem eine klare geografische Konzentration. Gut 70 Prozent der identifizierten Schatten-IT-Treffer entfallen auf US-Unternehmen. Dahinter folgen mit deutlichem Abstand Anbieter aus Belgien, Brasilien, Frankreich und Deutschland. Die Ergebnisse verdeutlichen damit auch große Abhängigkeiten und eine zunehmende Governance- und Compliance-Dimension. Werden Unternehmensdaten über Dienste verarbeitet, die außerhalb der offiziell freigegebenen IT-Landschaft liegen, erschwert dies den Überblick über Datenflüsse, Zugriffsrechte und regulatorische Anforderungen.
Alte Systeme und vergessene Domains erhöhen die Angriffsfläche
Schatten-IT zeigt sich nicht nur bei Software, sondern auch in der digitalen Infrastruktur. Die Studie identifiziert insgesamt 16,7 Millionen Subdomains bei österreichischen Unternehmen. Knapp 3.000 Firmen betreiben mehr als 100 Subdomains. Gleichzeitig fanden die Analysten mehr als 806.000 Domains, die aktuell nicht aktiv genutzt werden. Solche digitalen Altlasten entstehen häufig nach Projektabschlüssen, Systemwechseln oder organisatorischen Veränderungen.
Werden diese Altlasten nicht regelmäßig überprüft, können sie für Phishing-Angriffe, Markenmissbrauch oder andere betrügerische Aktivitäten genutzt werden. „Gerade diese Kombination aus unübersichtlichen Anwendungen und vergessener Infrastruktur erhöht die Komplexität für Unternehmen deutlich“, unterstreicht Pölzelbauer von EY Österreich.
Identitätsmanagement mit transparenten Freigabeprozessen und ein zentraler Überblick der Anwendungen
EY Österreich und Risikomonitor empfehlen Unternehmen, die tatsächliche Nutzung von Anwendungen regelmäßig zu überprüfen und stärker in bestehende Sicherheits- und Governance-Prozesse einzubinden. Besonders wichtig sind transparente Freigabeprozesse, ein zentraler Überblick über genutzte Anwendungen sowie die konsequente Einbindung von Single-Sign-on- und Identitätsmanagement-Lösungen.
Ebenso sollten Unternehmen ihre digitale Infrastruktur regelmäßig überprüfen, nicht mehr benötigte Domains und Subdomains identifizieren und konsequent bereinigen. So lässt sich die Angriffsfläche deutlich reduzieren. „Schatten-IT lässt sich nicht einfach verbieten. Erfolgreiche Unternehmen schaffen sichere und einfache Alternativen, integrieren häufig genutzte Anwendungen in bestehende Prozesse und sorgen dafür, dass Mitarbeitende nicht auf inoffizielle Lösungen ausweichen müssen“, so Robert Pölzelbauer, Senior Manager bei EY Österreich. (red/czaak)